セゾンカード「8,643ptの有効期限は8月21日まで」は詐欺メール！三井住友銀行や大学ドメインを騙る偽装Receivedヘッダーの手口を解説

2026年8月20日

今回は、深夜の時間帯に届いた「ポイント失効」を口実にするセゾンカードなりすましメールをご紹介します。ヘッダーの中に、思わぬ有名企業の名前が紛れ込んでいました。

【実録】セゾンカード「8,643ptの有効期限」詐欺の正体：三井住友銀行・大学ドメインを騙る偽装Receivedヘッダーを発見

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）※ヘッダー偽装＋多段クローキング

件名：[spam] 【セゾンカード】8,643ptの有効期限は8月21日(金)までです

送信者表示名：“セゾンカード” <info@mail18.ijinmao.com>

受信日時：2026年8月20日 4時21分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはセゾンカード公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定：偽造されたReceivedヘッダー
3. ■ フィッシングサイト詳細解析：多段階のクローキング構造
4. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

セゾンカ一ドポイント有効期限のお知らせ

本メールは株式会社クレディセゾンより送信しております。
平素よりセゾンカ一ドをご利用いただき、誠にありがとうございます。

ポイントの有効期限が近づいております
お客様のカードアカウントに保有するセゾンカ一ドポイントのうち、8643ポイントがまもなく有効期限を迎えます。
有効期限を過ぎたポイントは失効となり、後から復旧・再付与することができません。

■ 有効期限対象ポイント
8643 pt
有効期限：8月21日 23時59分

［ポイントを確認・交換する］

既にポイント交換・ご利用手続きが完了している場合、また対象ポイントがすでに失効している場合は、本メールを破棄していただきますようお願いいたします。

株式会社クレディセゾン
〒170-6045 東京都豊島区東池袋3-1-1 サンシャイン60

実際に届いたメールの画面。正規サイトに近い配色・レイアウトが使われている

よく見ると「セゾンカ一ド」の「ー」がカタカナの「一」（漢数字の一）に置き換えられています。これは迷惑メールフィルターの文字列検知を回避するための、よくある小細工です。ポイント数（8,643pt）や有効期限（8月21日）を具体的に示すことで、本物らしさを演出しています。

■ 送信ルート及び偽装判定：偽造されたReceivedヘッダー

■ メールヘッダー解析（送信者情報）

Received-SPF解析：
Received-SPF: Pass; client-ip=20.78.129.56; helo=mail18.ijinmao.com

送信元IPロケーション：20.78.129.56（Microsoft Corporation／Azure、大阪府大阪市）

SPF認証は「Pass」ですが、これも「mail18.ijinmao.com」という攻撃者側ドメイン自体の認証が通っているだけで、セゾンカード公式であることの証明にはなりません。

今回、特に注目すべき点として、メールヘッダーの中に次のような不自然な中継記録（Received行）が挿入されていました。

Received: from smtp.tier-analyzer.smbc.jp ([88.116.211.86]) ...

Received: from smtp.driver-usercontrol.hosei.jp by mail18.ijinmao.com ...

一見すると「smbc.jp」（三井住友銀行）や「hosei.jp」（法政大学）のメールサーバーを経由したかのような記載ですが、記載されているIPアドレス（88.116.211.86）を調べたところ、実際の所在地はオーストリアであり、これらの組織とは一切関係がありません。ヘッダー解析を複雑に見せかけ、あたかも正規の経路を通ったかのように偽装するための工作と考えられます。

■ 用語解説：Receivedヘッダーとその偽装

メールは送信元から受信箱に届くまでに複数のサーバーを経由することが多く、その経由記録が「Received」ヘッダーとして本文の裏側に自動的に積み重なっていきます。本来この記録は改ざんが難しい仕組みですが、攻撃者は自分のメールサーバーに「見せかけの経由記録」を追加で書き込むことができます。今回のように実在の金融機関や教育機関の名前を騙った行を紛れ込ませることで、解析する側の目を欺こうとする手口です。実際の送信元を特定するには、必ず「Received-SPF」に記載された「client-ip」を基準にする必要があります。

■ フィッシングサイト詳細解析：多段階のクローキング構造

■ 誘導リンクの解析

誘導先URL（伏せ字）：hxxps://saison-card.mileageanrmcn.com/aqf-point-login

着地先IPアドレス：43.165.166.8

回線情報：Shenzhen Tencent Computer Systems Company Limited（Tencent Cloud、AS132203）

ロケーション表示：東京都渋谷区（※クラウドホスティングのため、実際の運営者所在地とは限りません）

興味深いことに、実際にリンクへアクセスした際には「saison-card.voehoje.com」という別のドメインへ切り替わっていました。しかし解決先IPアドレスは43.165.166.8と完全に同一で、複数の偽ドメインを使い回しながら裏側では同じサーバーを共有していることが分かりました。なお、このIPが所属するTencent Cloudのネットワーク（AS132203）は、当ラボが同日調査したAmazonなりすまし詐欺の誘導先とも同一のAS番号であり、同系統のインフラが複数の詐欺キャンペーンで使い回されている可能性があります。

リンクをクリックすると、まず「セキュリティ確認」と称した疑似的な人間確認画面が表示されます。

「私は人間です」ボタンを押させる、自動検知ツール避けの人間確認画面

確認処理中と表示され、しばらく待たされる演出

この確認画面を突破しようとした際、Google Chromeが自動的に「危険なサイト」として警告を表示するケースを確認しました。

Chromeのセーフブラウジング機能による警告画面。この時点でアクセスを中止するのが正解

一方で、警告を経ずに先へ進めた環境では、本物そっくりの偽ログイン画面が表示されることも確認しました。

最終着地点の偽ログイン画面。デザインは本物に酷似しているが、URLはセゾンカードと無関係

アクセスした環境や条件によって「警告が出る場合」と「そのまま偽ログイン画面に到達する場合」の両方が確認されており、何らかの条件で表示内容が変化している可能性があります。いずれにせよ、ここでNetアンサーIDやパスワードを入力すると、そのままアカウント情報が攻撃者に渡ってしまいます。

■ 注意点と対処法

■ こんなメールに要注意

メール内のリンクは絶対にクリックしない：「ポイントを確認・交換する」ボタンは押さず、必ずご自身で公式サイトへアクセスしてください。
「セキュリティ確認」画面が出ても信用しない：正規サイトへの通常アクセスでこうした人間確認が挟まることはまれです。
ブラウザの警告は絶対に無視しない：「危険なサイト」の警告が出た時点でアクセスを中止してください。
送信元メールアドレスを確認する：正規のセゾンカードからのメールかどうかは、公式のドメイン確認ページで確認できます。

セゾンカード公式でも、「特別ポイント進呈」「ポイントの有効期限のお知らせ」といった偽メールへの注意喚起を出しています。今回ご紹介した手口とテーマが完全に一致しますので、あわせてご確認ください。

本レポートの結論

「ポイント失効」という日常的な話題に紛れて、ヘッダー偽装・ドメイン切り替え・疑似人間確認画面という三重の巧妙さを備えた詐欺メールでした。特に実在の金融機関や大学名を騙る偽装Receivedヘッダーは、専門家でなければ気づきにくい手口です。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Charcoal