えきねっと「会員情報更新と退会手続きのご案内」詐欺が再来【続報】——送信基盤はMicrosoft Azureに、自ら明かした「spam-solutions」の迂闊さ

2026年8月19日

みなさん、こんにちは。街のIT専門家、Heartland-Lab（ハートランド・ラボ）です。旅行や帰省で新幹線を予約する機会が増える時期ですが、その「えきねっと」を騙る詐欺メールが、1年7ヶ月ぶりに同じ件名で戻ってきました。

【続報】えきねっと「会員情報更新と退会手続きのご案内」詐欺が再来——送信基盤はMicrosoft Azureに、自ら明かした「spam-solutions」の迂闊さ

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

2025年1月に一度取り上げた（『詐欺メール』えきねっとから『会員情報更新と退会手続きのご案内』と、来た件）のと全く同じ件名の詐欺メールが、2026年8月18日、1年7ヶ月ぶりに確認されました。文面はほぼ同一ですが、送信に使われている基盤やドメインの作り方は大きく変わっています。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★☆（4/5）※誘導サイトの構成は多段階で巧妙
前回確認からの経過	約1年7ヶ月ぶりの再来（2025年1月→2026年8月）

※重要：「情報更新をしないとアカウントが停止される」という期限付きの脅し文句で焦らせる、典型的な心理誘導です。本文中のリンクは絶対にクリックせず、必ず公式サイト（ブックマーク）からログインしてください。

ご覧の通り、このメールはえきねっと（JR東日本）を装った真っ赤な偽物です。同じ手口が繰り返し再来しているため、身近な人にもこの記事を転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定
3. ■ フィッシングサイト詳細解析
4. ■ 前回記事との関連
5. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

件名：[spam] 会員情報更新と退会手続きのご案内
送信者："えきねっと" <info@mail24.zbjcky.com>

会員情報更新と退会手続きのご案内
2026/8/18

「えきねっと」をご利用いただきありがとうございます。

重要なご連絡です。システムが大幅に更新され、もし個人情報が未更新のままであれば、今後のサービス利用に大きな影響を与える可能性があります。情報を更新していないお客様は、速やかにログインし、必要な情報を更新してください。

『ログインはこちら』
https://eki-net.fosmob.com/Personal-expectice-Login-jp

情報更新を08月20日までに完了してください。期限を過ぎると、アカウントが一時停止され、再開するためには手続きが必要となりますのでご注意ください。

※このメールは「えきねっと」より自動配信されています。
返信いただきましても対応致しかねますので、あらかじめご了承ください。

お問い合わせ先
　えきねっとサポートセンター
　TEL　050-2016-5000

「えきねっと」
　サイト運営・管理
　JR東日本ネットステーション

実際に届いたメールの画面

■ 送信ルート及び偽装判定

※メールヘッダー詳細は個人情報保護のため非掲載です。受信者情報はすべて伏字処理しています。

■ メールヘッダー解析（送信者情報）

送信元IP（Received-SPF: client-ip）：20.89.145.76

HELO名：mail24.zbjcky.com

SPF認証：Pass　DKIM認証：Pass

送信元IPを調べたところ、プロバイダ名はMicrosoft Corporation（Azure）で確認できました。前回（2025年1月）の記事では別の送信基盤が使われていましたが、今回はMicrosoft Azureに乗り換えており、攻撃者が定期的にインフラを切り替えていることがうかがえます。ここでもSPF・DKIMともに「Pass」ですが、これは攻撃者が自分のドメイン（zbjcky.com）に正しく設定しているだけで、本物のえきねっとからのメールであることの証明にはなりません。

さらにヘッダーの奥を調べると、面白い発見がありました。中継記録の一つにsmtp.spam-solutions.mext.jpというホスト名が使われていたのです。攻撃者が自らの仕組みを「スパムソリューション」と名乗ってしまったのだとしたら、なんとも間抜けな話です。加えてsmtp.hint-configuration.taito.tokyo.jpという、東京都台東区の公式ドメインを装ったもっともらしいホスト名も見つかりました。実際の台東区とは一切関係がなく、受信者を油断させるための偽装とみられます。

なお、この中継記録には米国の実在企業（社名非公開）の企業ネットワークに割り当てられたIPアドレスも記録されていました。この企業が詐欺に関与しているとは考えにくく、企業ネットワークの一部が乗っ取られたか、何らかの形で踏み台にされた可能性があります。実在する事業者への配慮から、当ラボでは具体的な社名の公開は控えます。

💡 ここで！豆知識：「eki-net.」から始まる偽ドメインの罠

今回の誘導リンクはeki-net.fosmob.comという形をしています。パッと見ると本物の「eki-net.com」の一部のように見えますが、実際にドメインとして登録されているのは「fosmob.com」の方で、「eki-net.」はその前に付け足された飾りの文字列に過ぎません。アドレスバーの表示を「.com」の直前、つまり本当のドメイン名がどこかまで目で追う習慣をつけることが、この手口を見破る一番の近道です。

■ フィッシングサイト詳細解析

メール内のリンクhxxps://eki-net［.］fosmob.com/Personal-expectice-Login-jpをたどると、まず「アクセス確認」という認証画面が2段階挟まれる構成になっていました。

本物のセキュリティ確認を装った「アクセス確認」画面

「確認中です」と表示されるが、実際には偽ログインページへの準備段階とみられる

この確認画面を経由した先、hxxps://eki-net［.］qaaqaa.com/Personal-experctice-Login-jp/にアクセスすると、ウイルスバスターが危険と判定してブロックしていました。

IPアドレス	43.165.166.8
プロバイダ	Tencent Cloud Computing (Beijing) Co., Ltd.（AS132203）
ロケーション	日本・東京都渋谷区
IP詳細解析リンク	【ip-sc.netで確認する】

ウイルスバスターがフィッシングと判定し、アクセスをブロックした画面

興味深いのは、メール内リンクのeki-net.fosmob.comと、ブロックされたeki-net.qaaqaa.comが、全く同じIPアドレス（43.165.166.8）にホスティングされていることです。ドメイン名だけを使い捨てながら、裏側の実体は同じサーバーを使い回している典型例です。実際に着地する偽サイトはこのような姿をしています。

最終着地点の偽ログイン画面。デザインは本物に近いが、URLは「eki-net.qaaqaa.com」で公式とは無関係

なお、メール本文のURLでは「expectice」、ブロック画面に記録されたURLでは「experctice」と、綴りが微妙に食い違っている点も見つかりました。攻撃者側でも表記が揺れているようで、これもキットの雑さを示す一例といえそうです。

■ 前回記事との関連

当ラボでは2025年1月27日に同じ件名の詐欺メールを取り上げています。文面はほぼ変わらない一方、送信基盤（今回はMicrosoft Azure）や誘導サイトのドメインの作り方は世代を経て少しずつ変化しており、同じテンプレートを使い回しながら攻撃者側もインフラを更新し続けていることがわかります。

■ 注意点と対処法

■ こんなメールに要注意

URLをクリックしない：「アクセス確認」画面を経由しても、最終的には情報を盗むための偽サイトです。
アドレスバーをよく見る：「eki-net.」で始まっていても、その後に続く本当のドメイン名（.comの直前）が違えば偽物です。
「期限までに更新しないとアカウントが停止される」という煽り文句に反応せず、まず公式サイトから直接ログインして確認してください。
JR東日本公式でもえきねっとをかたる偽メール・偽サイトへの注意喚起ページを公開しています。心当たりのない不審なメールは、公式ページの案内に沿って対応してください。

本レポートの結論

えきねっとを騙る詐欺メールは、1年7ヶ月の時を経てほぼ同じ文面で再来しました。送信基盤はMicrosoft Azureに切り替わり、ヘッダーには攻撃者自身の迂闊さを示す痕跡も見つかりましたが、手口の根本（期限を切って焦らせる、eki-net.から始まる偽ドメイン）は変わっていません。身近な人が慌ててリンクを開いてしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Navy