楽天ポイントカード「ポイント有効期限間近のお知らせ」は詐欺！件名・差出人名にまで及ぶゼロ幅文字の総攻撃を解析

昨日、ANAを騙る詐欺メールでゼロ幅文字によるフィルター回避の手口をご紹介したばかりですが、今度は楽天ポイントカードを騙るメールで、さらに徹底した形の同種の手口が見つかりました。

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

【重要】ポイントの有効期限に関するお知らせ

楽天ポイントカード会員の皆さまへ

いつも楽天ポイントカードをご利用いただきありがとうございます。
お客様の楽天ポイントカード、間もなく有効期限が近づいているものがあります。
貯めたポイントは、さまざまな特典やサービスにご利用いただけますので、ぜひこの機会にご活用ください。

現在のポイント残高（失効対象）
15,622 ポイント
有効期限：2026年8月23日まで

［ポイントの確認・交換はこちら ＞］

※本メールはお客様へのご案内として自動送信されています。ご返信いただいても対応できかねますので、予めご了承ください。
※楽天や楽天グループを装う不審なメールにはご注意ください。公式サイトや公式アプリからのアクセスを推奨いたします。

実際に届いたメールの画面。「不審なメールにご注意ください」という一文まで盛り込む念の入りよう

「楽天や楽天グループを装う不審なメールにはご注意ください」という注意喚起文をメール自身に盛り込むことで、逆に信頼させようとする演出が見られます。15,622ポイントという具体的な数字、翌日という短い期限設定で、慌ててリンクを押させようとする典型的な手口です。

■ 新発見：件名・差出人名にまで及ぶゼロ幅文字

昨日のANA詐欺メールでは、メール本文中にゼロ幅文字が混入している事例をご紹介しました。今回のメールでは、そのゼロ幅文字混入の範囲がさらに広がっていることが判明しました。

実際にメールヘッダーの件名（Subject）と差出人名（From）をデコードして検証したところ、件名だけで30箇所以上、差出人名にも10箇所、合計5種類もの不可視文字（ZERO WIDTH SPACE、ZERO WIDTH NON-JOINER、ZERO WIDTH JOINER、ZERO WIDTH NO-BREAK SPACE、WORD JOINER）が挿入されていることを確認しました。

メールソフトの受信箱一覧では通常の日本語として自然に表示されますが、コンピューターが文字列として照合する際には全く別の文字列になります。件名や差出人名は迷惑メールフィルターが最初にチェックする箇所であり、そこにまで不可視文字を仕込むのは、フィルター回避への執念を感じさせる念の入れようです。

■ 送信ルート及び偽装判定

SPF認証は「Pass」ですが、これも攻撃者側ドメイン自体の認証が通っているだけで、楽天公式であることの証明にはなりません。楽天カード公式によれば、正規のメールは必ず「@mail.rakuten-card.co.jp」から送信されるとのことで、今回の送信元ドメインとは全く異なります。

メール内のロゴ画像も、実は楽天公式サイト（pointcard.rakuten.co.jp）から直接読み込む「ホットリンク」の手法が使われていました。さらに、配信停止用リンクの先「jun.kyoto.jp」というドメインを調べたところ、現在は実在せずDNSが解決できない状態でした。配信停止リンクを設置しているように見せかけているだけで、実際には機能していない杜撰な作りです。

■ フィッシングサイト詳細解析：2パターンとも機能停止中

今回は同じ本文構成のメールが2種類確認されており、それぞれ異なる誘導先URLが使われていました。いずれも「lagin-raketen」（「ログイン」と「楽天」を組み合わせた造語）という共通のドメイン命名パターンを持っています。

まず、Google Chromeのセーフブラウジング機能により「危険なサイト」という警告が表示されました。

Chromeのセーフブラウジング機能による警告画面。この時点でアクセスを中止するのが正解

警告を越えて先へ進もうとすると、「localhost」（本来は自分自身のパソコンを指す特殊なアドレス）へリダイレクトされ、接続が拒否されるエラー画面が表示されました。これは詐欺サイト側の設定ミスか、あるいは既にインフラが停止・変更された後の残骸である可能性が高いです。

localhostへのリダイレクトによる接続拒否エラー。詐欺サイトとして正常に機能していない状態

もう一通の同種メールでは、別の誘導先ドメインが使われていましたが、こちらは単純に「404 Not Found」、つまりページ自体が存在しない状態でした。2つの誘導先がいずれも正常に機能していないことから、このキャンペーンは現時点でインフラが未完成、または既に閉鎖された後の残骸を大量配信している可能性があります。とはいえ、いつ新しいインフラに切り替わって本稼働を始めてもおかしくないため、油断は禁物です。

■ 注意点と対処法

楽天グループ公式の「楽天グループにおけるなりすまし・フィッシングメール対策について」にも、正規メールの見分け方や各種サービスの対策情報がまとめられています。あわせてご確認ください。

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Charcoal