KAGOYA「登録サービス自動警告通知」は詐欺！パラグアイの回線から偽装、正規ESP「Kit」のトラッキングリンクを悪用した新手口

2026年8月21日

今回はKAGOYAを騙る詐欺メールの中でも、差出人の偽装方法が特に興味深い一通をご紹介します。差出人アドレスに、なんと実在の大手ISPのドメインが使われていました。

【実録】KAGOYA「登録サービス自動警告通知」の正体：BIGLOBEドメイン偽装と正規ESP「Kit」悪用のリダイレクトを暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★☆（4/5）※実在ISPドメインの偽装＋ESP悪用

件名：【重要通知】KAGOYAシステム監査による異常検知

送信者表示名：“【緊急対応要】KAGOYAアカウント整合性確認のお願い” <help@biglobe.ne.jp>

受信日時：2026年8月21日 9時53分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはKAGOYA公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定：実在ISPドメインへの偽装
3. ■ フィッシングサイト詳細解析：表示リンクと実際のリンク先の乖離
4. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

【重要】KAGOYA 登録サービス自動警告通知

管理番号：JP-BGL-#208326
発行日時：2026年08月21日

平素よりKAGOYAビジネスサービスをご利用いただき、誠にありがとうございます。
本電子メールは、ご登録アカウントのシステム自動監視による安全評価に基づき、異常が検知されたお客様へ自動送信されています。

■ 警告レベル：重要
契約管理システムおよびデータ整合性に著しい不一致が確認されました。以下の内容をご確認いただき、至急ご対応をお願いいたします。

▼ 検知詳細情報
対象ノード：TOKYO-BGL-NODE-04
エラーコード：E-099-PIVOT
検知値　　：0.082（許容範囲：0.005以下）

▼ お手続き・対応方法
管理コンソールへ直接アクセスし、登録プロファイルの整合性チェックを行ってください。
アクセスURL：https//sso.kagoya.ne.jp/account/restore

1. 上記リンクから KAGOYAビジネス会員シングルサインオン（SSO）システムに移行します。
2. マイページ内「サポート・警告履歴」より該当の管理番号を選択してください。
3. 画面上の案内に従い、登録内容の確認および修正を実行してください。

実際に届いたメールの画面。「業務印」のスタンプ画像まで用意された作り込み

「検知値：0.082（許容範囲：0.005以下）」「エラーコード：E-099-PIVOT」など、意味の分かりにくい専門用語風の数値を並べることで、システムが自動的に異常を検知したかのような技術的説得力を演出しています。しかし、こうした数値に具体的な裏付けは一切なく、単なる不安を煽るための「お飾り」に過ぎません。

■ 送信ルート及び偽装判定：実在ISPドメインへの偽装

■ メールヘッダー解析（送信者情報）

Received-SPF解析：
Received-SPF: Softfail; client-ip=45.229.168.145; helo=145.168.dynamic.fulltelecom.com.py

送信元IPロケーション：45.229.168.145（Full Telecomunicaciones S.A、パラグアイ・シウダー・デル・エステ）

今回の差出人アドレス「help@biglobe.ne.jp」は、日本の大手インターネットサービスプロバイダ「BIGLOBE」の正規ドメインそのものです。しかし、KAGOYAというホスティング会社が、無関係な他社のISPドメインを使って利用者に通知を送ることはあり得ません。SPF認証結果も「Softfail（ドメイン所有者がこのホストの利用を推奨していない）」となっており、実際の送信元も日本国内ではなく、パラグアイの住宅用回線であることが確認できました。差出人アドレスのドメイン部分は、送信者側が自由に記載できる項目であり、決して鵜呑みにしてはいけません。

■ フィッシングサイト詳細解析：表示リンクと実際のリンク先の乖離

■ 誘導リンクの解析

本文中の表示テキスト：https//sso.kagoya.ne.jp/account/restore（コロンが抜けた誤字）

実際のリンク先（href属性、伏せ字）：hxxps://986411a4.click.kit-mail3.com/...

最終着地先（伏せ字）：hxxps://ecnplcs.com/activemail/kagoya.html

メールに表示されているリンクの文字列は、いかにも公式サイト（sso.kagoya.ne.jp）を指しているように見えます。しかし、実際にHTMLソースを確認すると、この表示文字列と実際の遷移先（href属性）は全く別物でした。実際のリンク先は「kit-mail3.com」という、正規のメール配信マーケティングサービス「Kit（旧ConvertKit）」のクリック計測用リダイレクトURLです。攻撃者はこのURLの末尾にBase64という符号化方式で最終的な誘導先を埋め込んでおり、解読すると「ecnplcs.com/activemail/kagoya.html」という詐欺サイトへ転送される仕組みになっていました。

■ 用語解説：表示テキストと実リンク先が異なる手口

Webページやメールのリンクは、画面に表示される文字列（アンカーテキスト）と、実際にクリックした際に移動する先（href属性）を別々に設定できます。詐欺師はこの仕組みを悪用し、表示上は信頼できそうな公式ドメインの文字列を並べながら、実際のリンク先には全く別のドメインを仕込みます。マウスカーソルをリンクに乗せた際、画面の左下などに表示される実際の遷移先URLを確認する習慣が、こうした手口を見抜く有効な防御策になります。

最終的な着地ドメインは、世界的なCDN・セキュリティサービス「Cloudflare」のボット対策機能の裏に隠されていました。

Cloudflareによる「セキュリティ検証の実行」画面。これを通過すると偽ログイン画面が表示される

なお、リダイレクトの経路によっては、Google Chromeが独自に危険性を検知し警告を表示するケースも確認しています。

Chromeのセーフブラウジング機能による警告画面。この時点でアクセスを中止するのが正解

Cloudflareの検証を通過すると、KAGOYAが提供するWebメールサービス「Active! mail」のログイン画面を精巧に模した偽ページが表示されます。

最終着地点の偽ログイン画面。デザインは本物に酷似しているが、URLはKAGOYAと無関係

■ 注意点と対処法

■ こんなメールに要注意

差出人アドレスのドメインが提供元と一致するか確認する：KAGOYAを名乗るなら、必ず「kagoya」を含む正規ドメインでなければおかしいと考えてください。
リンクは表示文字列を鵜呑みにしない：マウスを乗せて実際の遷移先URLを確認する習慣をつけましょう。
セキュリティソフトやブラウザの警告は絶対に無視しない：警告が出た時点でアクセスを中止してください。
KAGOYAはメールでパスワード入力を求めません：公式にも「アカウントやパスワード入力を催促するお知らせを送ることはない」と明記されています。

KAGOYA公式の「フィッシングメールにご注意ください」ページにも、同種の手口や被害事例が詳しく掲載されています。あわせてご確認ください。

本レポートの結論

実在の大手ISPドメインを差出人に偽装し、正規のメール配信マーケティングサービスをリダイレクトの隠れ蓑に使い、さらにCloudflareで最終的な正体を隠す——複数の正規サービスを組み合わせた、非常に手の込んだ多層防御突破型の詐欺でした。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Navy