【続報】ANA詐欺と同一インフラ発覚——Apple「iCloud+月額料金」なりすまし、Oracle Cloud送信×テンプレート変数の生々しい痕跡

2026年8月21日

今回は、Apple／iCloudを騙る詐欺メールをご紹介します。解析を進めるうちに、昨日解析したANAのなりすましメールと、驚くほど多くの共通点が見えてきました。

【続報】昨日解析したANA「マイル延長」詐欺と、着地先サーバー・送信ドメイン系統が完全に一致しました。同一の犯行グループが複数の大手ブランドを使い回している可能性が濃厚です。

【実録】Apple「iCloud+ 月額料金お支払い確認」の正体：ANA詐欺と同一インフラ、テンプレート変数まで露呈した犯行キットを暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）※Zendesk悪用＋多段クローキング

件名：iCloud+ 月額料金：JPY 8,560のお支払い確認

送信者表示名：“Apple” <noreply@service.xobqg.com>

受信日時：2026年8月21日 11時40分頃

※メールヘッダー詳細は個人情報保護のため非掲載

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定：ANA詐欺と一致する送信基盤
3. ■ フィッシングサイト詳細解析：着地先IPまで完全一致
4. ■ 決定的証拠：添付ファイルに残されたテンプレート変数
5. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

領収書

ご利用店名：Apple Store
日付：2026年8月21日

ご注文番号：MDLQDQBQJP
書類番号：523807672484

iCloud
iCloud+: 12 TB ストレージプラン
月額
更新：2026年9月1日
JPY 8,560

合計
JPY 8,560

この取引のサブスクリプションや購入について、誤って購入された場合や不明な点、疑問がある場合は、以下のリンクから取引をキャンセルできます。

［キャンセルしたい］

実際に届いたメールの画面。Appleの領収書デザインを精巧に再現している

「誤って購入された場合はキャンセルできます」という一文が、身に覚えのない請求への不安をさらに煽る仕掛けになっています。領収書というフォーマット自体に大きな違和感がないため、慌ててリンクを押してしまう人が出やすい設計です。

■ 送信ルート及び偽装判定：ANA詐欺と一致する送信基盤

■ メールヘッダー解析（送信者情報）

Received-SPF解析：
Received-SPF: Pass; client-ip=92.5.234.9; helo=service.xobqg.com

送信元IPロケーション：92.5.234.9（Oracle Corporation、オランダ・アムステルダム）

今回、最も注目すべき点は次の3つが、昨日解析したANA「マイル延長」詐欺メールと完全に一致していたことです。

①送信ドメイン系統：今回「service.xobqg.com」／ANA記事は「spsender.xobqg.com」——いずれも同じ「xobqg.com」を親ドメインとする複数のサブドメインを使い分け

②送信元クラウド事業者：今回はOracle Cloud（オランダ）／ANA記事もOracle Cloud（スイス）——同じクラウド事業者を選んで使用

③正規サービスZendeskの悪用痕跡：「X-Mailer: Zendesk Mailer」「X-Zendesk-From-Application: support_ticket」というヘッダーが今回もそのまま存在

さらに、ヘッダー内には「mail-out-82.zendesk.com (unknown [192.168.90.27])」という記載がありましたが、この192.168.90.27もインターネット上に存在しないはずのプライベートIPアドレスです。ANA記事で確認した偽装パターンと同一の手口が、そっくりそのまま使い回されていました。

■ フィッシングサイト詳細解析：着地先IPまで完全一致

■ 誘導リンクの解析

本文中の誘導先URL（伏せ字）：hxxps://apple-icloud.tfjkpe.com/login

着地先IPアドレス：172.245.154.186（HostPapa／RackNerd LLC、米国・ニューヨーク州バッファロー）

備考：このIPは前日解析したANA詐欺の着地先IPと完全に同一です（ip-sc.net確認済み・脅威レベル低）

リンクをクリックすると、まず「セキュリティ確認」と称した疑似的な人間確認画面が表示されます。これもANA記事で確認したものと全く同じデザインの画面でした。

「確認」ボタンを押させる、自動検知ツール避けの人間確認画面

確認処理中と表示され、しばらく待たされる演出

最終的にたどり着くのは、Apple公式サイトに酷似した「Apple Account」ログイン画面です。実際にサイトへアクセスした際は「apple-account.mlbad.com」という、本文中のリンクとは異なるドメインへ切り替わっていました。

最終着地点の偽ログイン画面。デザイン・レイアウトともに本物に酷似している

■ 決定的証拠：添付ファイルに残されたテンプレート変数

メールには「apple .html」という添付ファイルが同梱されていました（拡張子が不審なため当編集部では開封していませんが、ソースコードのみ安全な環境で確認しています）。この添付ファイルの中身は、実はメール本文とほぼ同じデザインのテンプレートでしたが、一部の項目が実際の値ではなく、テンプレートエンジンの変数がそのまま残った状態になっていました。

{RANDOM_UPPER:7}JP（本来は注文番号としてランダムな英大文字7桁が入る想定）

{RANDOM_NUM:12}（本来はランダムな数字12桁の書類番号が入る想定）

{url}（本来はリンク先URLが動的に挿入される想定）

これは、攻撃者が使っている大量送信用のテンプレート生成システムが、この添付ファイルに関しては変数を正しく置換できないまま送信してしまった、単純な設定ミスと考えられます。結果として、詐欺メールを自動生成するシステムの内部構造の一端が、意図せず露呈する形になりました。

■ 注意点と対処法

■ こんなメールに要注意

身に覚えのない請求は焦らず確認する：メール内のリンクは押さず、必ずご自身でApple公式サイトやApple IDの購入履歴から確認してください。
「セキュリティ確認」画面が出ても信用しない：正規サイトへの通常アクセスでこうした人間確認が挟まることはまれです。
複数ブランドで似た手口を見かけたら関連性を疑う：異なる企業を騙るメールでも、裏側のインフラが共通していることがあります。
添付ファイルは開かない：拡張子が不審なファイルにはウイルス感染のリスクがあります。

Apple公式の「フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する」ページにも、実例や対処法が詳しく掲載されています。あわせてご確認ください。

本レポートの結論

ANAとAppleという全く異なる業種のブランドを騙りながら、送信ドメイン系統・クラウド事業者・Zendesk悪用の痕跡・着地先サーバーまでもが一致するという、同一犯行グループの存在を強く示す一件でした。テンプレート変数の露呈は、こうした詐欺が個人の手作業ではなく、システム化された「量産体制」で行われていることの証でもあります。この記事のURLをコピーして、家族や職場の同僚にも「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Burgundy