HL-META: date=2026-08-24 | brand=三井住友カード / VポイントPay | sender_geo=日本表示（Microsoft Corporation / AS8075） | site_geo=香港表示（Arosscloud Inc. / AS400619） | spf=pass | dkim=pass | cloaking=偽hCaptcha風中間画面を経由して偽Vpassログイン画面へ誘導

三井住友カードは、同社を装った不審なメールやSMSから偽サイトへ誘導する手口について注意喚起しており、カード番号などの個人情報をメールで聞くことはないと案内しています。届いたメールが不審な場合は、本文のリンクではなく公式サイトや公式アプリから確認してください。

1．「54,900ポイント失効」で焦らせる

件名は「Vポイント有効期限が迫っています｜お早めにご利用ください」。本文ではVポイントPayの保有残高が54,900ポイントあり、有効期限が2026年8月25日だとして、失効前の手続きを促しています。

さらに「本通知受信後48時間」と期限を重ね、考える時間を与えずクリックさせる構成です。ポイント残高、会員ID、通知番号、発行日時まで具体的に記載し、本物らしさを演出しています。

VポイントPay
ポイント失効までお早めのお手続きをお願いいたします

保有残高：54,900 pt
有効期限：2026年8月25日
お手続き期限：本通知受信後48時間

［有効期限を更新する］

実際に届いたメール。ポイント残高と期限を大きく表示し、「有効期限を更新する」へ誘導しています。

2．差出人は三井住友カードを名乗るが、実体は中国系ドメイン

表示上の差出人は「三井住友カード 会員サポート」ですが、実際の送信元は mail26.oxeqlws.cn 配下です。三井住友カードの正規ドメインではありません。

送信元IPは 20.210.240.1。調査結果ではMicrosoft Corporation / AS8075のホスティング基盤として観測されました。

SPFはPass、DKIMも mail26.oxeqlws.cn で署名されています。しかし、これはoxeqlws.cn側の認証が成立しているだけで、三井住友カード公式から送られたことを意味しません。

3．不審な添付ファイル「smbc.uxe」まで付いている

今回のメールには smbc.uxe という不審な添付ファイルも付いていました。通常の文書・画像ファイルでは見かけない拡張子であり、メール本文のリンクとは別に、添付ファイル側にもリスクが存在します。

Heartland-Labでは安全のため、この添付ファイルを開封・実行していません。内容を確認するためだけに実行する行為も避けるべきです。

4．最初に出るのは「I’m not a robot」――偽hCaptcha風の中間画面

リンクを開くと、すぐにVpassログイン画面が出るのではなく、まず「I’m not a robot」と表示された人間確認画面が現れました。

本物のhCaptchaを思わせる見た目ですが、こうした中間ページを挟むことで利用者の警戒心を下げたり、自動解析を避けたりする可能性があります。ただし、今回の観測だけで具体的な実装目的までは断定しません。

リンク先で最初に表示された「I’m not a robot」の確認画面。

5．その先に本物そっくりの偽Vpassログイン

人間確認を通過すると、三井住友カードのVpassを模したログイン画面が表示されました。VpassIDとパスワードの入力欄があり、ここで認証情報を盗み取ることが目的と考えられます。

画面デザインはかなり精巧ですが、ブラウザのURLは三井住友カードの正規ドメインではありません。見た目だけではなく、アドレスバーまで確認することが重要です。

最終的に表示された偽Vpassログイン画面。見た目は本物にかなり近く作られています。

6．誘導先 ojlkt.shop のネットワーク情報

項目	確認結果
ドメイン	ojlkt.shop
観測IP	179.199.200.10
ASN	AS400619 / AROSS-AS
組織	Arosscloud Inc. / Uscloud Inc.
IP位置表示	香港
NS	A11.SHARE-DNS.COM / B11.SHARE-DNS.NET

WHOIS調査では、レジストリが所有者情報を通常形式で公開しておらず、DNS情報を中心に確認できる状態でした。IP位置情報はサーバー・ホスティング側の観測値であり、攻撃者本人の所在地を示すものではありません。

ojlkt.shop のWHOIS / DNS調査結果。

7．送信基盤と誘導先は別インフラ

役割	送信元	誘導先
IP	20.210.240.1	179.199.200.10
ASN	AS8075	AS400619
事業者	Microsoft Corporation	Arosscloud Inc.
役割	メール送信	偽Vpass配信

送信にはMicrosoft系インフラ、フィッシングページ配信には別ホスティング基盤が使われていました。正規クラウドやホスティングサービスのIPが見えても、そのサービス自体が攻撃を行っているわけではありません。

8．三井住友カード公式の案内

三井住友カードは、不審なメール・SMSをチェックできる公式ページを公開しています。また、公式から送るメールではカード番号などの個人情報を聞くことはなく、不審なサイトでは絶対に入力しないよう案内しています。

公式サイトでは、Vpassログイン画面に似せた偽サイトへ誘導するフィッシング事例も紹介されています。今回の観測と非常によく一致する手口です。

三井住友カード公式：不審なメール・SMSのチェックページ

注意点と対処法

• 「ポイント失効」「48時間以内」などの期限表示に焦らされても、メール内リンクを開かない。
• SPF PassやDKIM署名だけで正規メールと判断しない。
• 「I’m not a robot」などの確認画面が出ても、その前のURLが正規か確認する。
• VpassのID・パスワードは、メールから開いたページへ入力しない。
• 不審な添付ファイルは絶対に開封・実行しない。
• 確認が必要な場合は、三井住友カード公式アプリまたは自分で開いた正規サイトからアクセスする。