Apple「サービス更新日のご確認とお支払い情報の更新について」は詐欺——同日既報の「ストレージプラン」詐欺と同一犯、着地キットを完全に使い回し

2026年8月19日

みなさん、こんにちは。街のIT専門家、Heartland-Lab（ハートランド・ラボ）です。本日すでに一件、Appleを騙る「ストレージプラン」詐欺を解析しましたが、今度は同じ日に届いた別文面のApple詐欺メールから、驚くほどはっきりした「同一犯」の証拠が見つかりました。

Apple「サービス更新日のご確認とお支払い情報の更新について」は詐欺——同日既報の「ストレージプラン」詐欺と同一犯、着地キットを完全に使い回し

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

「News+ プレミアムプラン」の更新と称し、具体的な金額を提示して信頼させようとする詐欺メールです。技術解析を進めたところ、スマートフォンでの着地先URLが、本日すでに解析した「ストレージプラン」を騙る詐欺メールと完全に一致することが判明しました。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）※端末別クローキング＋具体的な金額表示
同一犯の証拠	スマホ着地先のURLパス・IPアドレスが本日既報の別記事と完全一致

※重要：「¥1,955（税込）」という具体的な金額を提示することで、受信者に「本当に契約している何かかもしれない」と錯覚させる手口です。本文中のリンクは絶対にクリックせず、必ず公式のサインインページから確認してください。

ご覧の通り、このメールはApple公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定
3. ■ フィッシングサイト詳細解析：同日記事と完全一致する着地キット
4. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

件名：[spam] 【重要】サービス更新日のご確認とお支払い情報の更新についてNo.48680625
送信者："Apple News" <UKOEWP@ypjhpa.mail03.zh-zhuafanzb.com>

（お客様） 様

平素よりAppleのサービスをご利用いただき、誠にありがとうございます。

お客様のアカウントに関連付けられたサービスの更新日が近づいています。引き続きサービスをご利用いただくため、現在のご登録内容をご確認ください。

■ 更新内容の確認
サービス内容：News+ プレミアムプラン
ご請求金額：¥1,955（税込）
お支払い方法：要確認

■ ご確認のお願い
お支払い方法の有効期限が切れている場合、バックアップや同期などの重要な機能が一時的に停止されることがあります。

お支払い情報を確認する：
https://login.fcwhlw.com/?ETjzMIQc2lGWNyfHfdPQQrLW
※ 更新を希望される場合、特別な操作は必要ありません。キャンセルは更新日の24時間前まで可能です。

Copyright (C) 2026 Apple Inc. All rights reserved.
〒106-6140 東京都港区六本木6丁目10番1号 六本木ヒルズ森タワー（日本）

実際に届いたメールの画面。「News+ プレミアムプラン ¥1,955（税込）」という具体的な金額が記載されている

■ 送信ルート及び偽装判定

※メールヘッダー詳細は個人情報保護のため非掲載です。受信者情報はすべて伏字処理しています。

■ メールヘッダー解析（送信者情報）

送信元IP（Received-SPF: client-ip）：35.215.16.62

HELO名：mail03.zh-zhuafanzb.com

SPF認証：Pass　DKIM認証：Pass

送信元IPを逆引きするとgoogleusercontent.comというホスト名が確認でき、本日解析した「ストレージプラン」詐欺と同じくGoogleクラウド基盤が使われていました。SPF・DKIMともに「Pass」ですが、攻撃者が自分のドメインに正しく設定しているだけであり、Apple公式であることの証明にはなりません。

■ フィッシングサイト詳細解析：同日記事と完全一致する着地キット

メール内のリンクhxxps://login［.］fcwhlw.com/?ETjzMIQc2lGWNyfHfdPQQrLWを、PCとスマートフォンそれぞれで確認しました。

▼ PCでアクセスした場合

今回もGoogle Chromeが独自にフィッシングを検知し、赤い警告画面で遮断しました。誘導先ドメインlogin.fcwhlw.comはCloudflareのネットワーク（anycast）を経由しており、このIPアドレスだけから運営者の所在地を特定することはできません。

【PC】Chromeのセーフブラウジング機能がフィッシングを検知し、アクセスを遮断

アクセス直後に表示された読み込み中の画面（中間状態）

「リクエストがブロックされました」と表示される画面

▼ スマートフォンでアクセスした場合（同一犯の決め手）

スマートフォンでは、本日解析した「ストレージプラン」詐欺と全く同じドメイン・同じURLパスのlogin.cxjsgczx888.cn/vou6v98qへ着地しました。クエリ部分のトークンだけが異なり、SSL証明書の不備で接続エラーになる挙動まで前回と同一です。さらにドメインの解決先IPアドレスも前回記事と完全に一致しており、これは同じ攻撃者が同じ着地インフラを使い回して、同じ日に文面違いの複数キャンペーンを並行運用していることを示す動かぬ証拠です。

【スマホ】同日の「ストレージプラン」詐欺と同一のURLパスへ着地したSSL接続エラー画面

■ 注意点と対処法

■ こんなメールに要注意

URLをクリックしない：具体的な金額が書かれていても、それだけで本物と判断しないでください。
送信者表示が「Apple News」等でも、実際のメールアドレスがApple公式ドメイン以外であれば偽物です。
同じ日に何通も似た詐欺メールが届いても慌てず、同じ攻撃者の並行キャンペーンの可能性を疑ってください。
お支払い情報の確認は、必ずご自身でApple公式サイトまたは設定アプリから行ってください。

本レポートの結論

今回のApple偽装メールは、本日既報の「ストレージプラン」詐欺と着地キットを完全に共有しており、同一犯による並行キャンペーンであることがほぼ確実です。文面が違っても手口の根っこは同じなので、身近な人が慌ててリンクを開いてしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Teal