「ファイルの準備ができました」ShareFileなりすまし詐欺——実在サービス名の裏でSPF未設定ドメインと乗っ取りサイトが使われた手口

2026年8月17日

本日最後にご紹介するのは、これまで当サイトで扱ったことのない新顔のブランド「ShareFile」を騙る詐欺メールです。ビジネス向けファイル共有サービスという性質上、企業の管理部門を狙い撃ちにした、少し毛色の違う手口でした。

1. 「ファイルの準備ができました」ShareFileなりすまし詐欺
2. ■ 送信ルートおよび偽装判定
3. ■ テンプレート使い回しの痕跡
4. ■ 誘導先サイトの解析
5. ■ 注意点と対処法

「ファイルの準備ができました」ShareFileなりすまし詐欺

Heartland-Lab（ハートランド・ラボ）専門調査レポート

実在するビジネス向けファイル共有サービス「ShareFile」を騙り、「法務・コンプライアンス文書」の共有を装って偽サイトへ誘導するフィッシングメールです。※メールヘッダー詳細は個人情報保護のため非掲載です。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★☆☆（3/5・デザインは精巧だが実装に不備あり）
受信日時	2026年8月17日 10:04頃

■ メールヘッダー解析（送信インフラ情報）

件名：共有ファイルの準備が完了しました 2026-8-17 a.m. 10:04:21。

送信者表示名：“ShareFile” <customer@sharefile.co.jp>

SPF判定：None（SPFレコードそのものが存在しない）

送信元IP（Received-SPF client-ip）：61.41.159.90（韓国）

受信日時：2026年8月17日 10:04頃

ご覧の通り、このメールはShareFile公式ではありません。詐欺メールです。「法務・コンプライアンス文書」という緊迫感のある件名で、企業の管理者を狙っています。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（宛先の組織名は「○○株式会社」に伏せています）。

SF  ShareFile                                          安全な共有

ファイルの準備ができました

○○株式会社 管理者 がShareFileを通じて暗号化されたドキュメントを
あなたと共有しました。

［ファイル］ 法務・コンプライアンス文書.pdf

共有者：○○株式会社 管理者
アクセス期限：admin@○○株式会社
受信者：admin@○○株式会社
転送方法：安全なダウンロードリンク

セキュリティ保護のため、このリンクは承認された受信者のみが利用でき、
有効期限を過ぎると使用できなくなります。

［共有ファイルを表示］

○○株式会社 管理者 uses ShareFile to share documents securely.
Do not forward this message. Access is tracked for security purposes.

実際に受信した詐欺メールの画面。ShareFile公式に似せたデザインで「法務・コンプライアンス文書」の共有を装っている

■ 送信ルートおよび偽装判定

まず押さえておきたいのが、実在するShareFileというサービスそのものです。ShareFileは米国Progress Software Corporationが提供する、企業向けの本物のファイル共有サービスで、メール末尾のコピーライト表記もこの実在企業名と一致しています。しかし公式ドメインは「sharefile.com」であり、今回使われた「sharefile.co.jp」は無関係の偽装ドメインです。実在するサービス名・実在する運営会社名を巧妙に組み合わせつつ、肝心のドメインだけをすり替える手口でした。

さらに注目したいのが、Received-SPFヘッダーに記載された判定結果です。今回は「SPF: None」——つまりSPFレコード自体が設定されていない状態でした。本日ご紹介した他の詐欺メールはいずれもSPFが「Pass」でしたが、今回のドメインは認証の土台となる設定すら存在しません。真の送信元IP（61.41.159.90）は韓国に割り当てられたものでした。

■ テンプレート使い回しの痕跡

メールのHTMLソースを確認したところ、興味深い不備が見つかりました。本文中で「○○株式会社」やメールアドレスとして表示されている部分の裏に張られたリンク（mailtoリンク）が、実際には画面上の表示とは全く無関係な、別の実在企業らしきメールアドレスに向けられていたのです。

おそらく、以前に別の標的企業へ送った際のメール文面をテンプレートとして使い回した際、宛先情報だけを差し替えて、内部のリンク先URLを更新し忘れたものとみられます。手の込んだデザインの一方で、こうした基本的なミスが残っているのは、量産型の詐欺キットにありがちな特徴です（笑）。

■ 誘導先サイトの解析

本文中の「共有ファイルを表示」ボタンから誘導される先は、次のURLでした（直リンク防止のためhxxps表記にしています）。

hxxps://flachshuilar-gugge[.]de/wp-includes/theme-compat/csihgft/zcqdybp/ukfhybe/bak/index.html

このURLパスには「/wp-includes/theme-compat/」というWordPress特有のディレクトリ構造が含まれています。攻撃者が新たにサイトを用意したのではなく、既存の正規WordPressサイトが乗っ取られ、目立たない内部フォルダにフィッシングページが仕込まれた可能性が高いとみられます。実際にアクセスを試みたところ、現時点では「ERR_CONNECTION_REFUSED（接続が拒否されました）」という表示になり、サイト自体に接続できない状態でした。既に閉鎖・是正された可能性があります。

誘導先URLへアクセスした際の画面。「このサイトにアクセスできません」と表示され、接続が拒否された

■ 注意点と対処法

「法務」「コンプライアンス」など、緊迫感を煽る文書名でファイル共有を装うメールには、まず送信元ドメインを確認してください。ShareFileの正規ドメインは「sharefile.com」です。
身に覚えのないファイル共有通知が届いた場合、メール内のリンクは開かず、送信元とされる社内の担当者や部署に、メール以外の方法（電話や社内チャットなど）で確認してください。
リンク先のURLに見慣れないドメインが使われている場合、特に海外のドメイン（今回は.deドイツ）や、不自然に長いパスが続く場合は要注意です。
社内で「ファイル共有サービスを装った詐欺メール」の実例を共有し、管理部門・経理部門など、業務上ファイルのやり取りが多い部署に周知しておくことが有効です。

ビジネス向けサービスを騙る手口は、業務中についリンクを開いてしまいがちです。この記事のURLをコピーして、職場の同僚やご家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Charcoal