「お支払い方法の確認」Apple詐欺メールの正体！Variation Selectorで単語を分断する新手のUnicode偽装と、”緑色がない”謎のセキュリティ確認

ご覧の通り、これはAppleを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

お支払い方法の確認が必要です

現在のお支払い方法では決済処理が完了していません。
期日までに確認が行われない場合、サービスに影響が出る可能性があります。

Apple Account：（登録メールアドレス）

お支払い方法：クレジットカード
ご注文番号：MVL8shguel
書類番号：159860442557

iCloud+（200GBストレージ付き）　更新：2026年8月1日　¥450
合計金額　¥450

［支払い情報を確認する］

ご不明な点がある場合はサポートをご利用ください。
本メールはアカウントのご利用状況に関するお知らせです。

Apple Account・購入履歴・利用規約・プライバシー
Design by 2026 Apple Inc.

■ 送信ルート及び偽装判定

【偽装判定】：Apple公式のメールは「@apple.com」「@icloud.com」など公式ドメインからのみ送信されます。本メールの送信元「duiyuehuanjing.com」は、Appleとは一切無関係の第三者ドメインです。SPFが「Pass」と表示されていても、それは攻撃者自身が用意したドメインへの認証にすぎません。

■ 用語解説（今回出てくる言葉を簡単に）

• Unicode双方向制御文字（RLO）：アラビア語やヘブライ語のように右から左に読む言語を、画面上で正しい向きに表示するための特殊な記号（目には見えません）です。本来の用途とは違う形で、文字の並び順を偽装するために悪用されることがあります。
• Variation Selector（異体字セレクタ）：本来は、直前の文字に「どの字形（デザインの違い）を使うか」を指示するための、目に見えない制御文字です。今回のメールでは、この文字を単語の途中に挟み込むことで、見た目を変えずに文字列を分断する目的で使われていました。
• CAPTCHA（キャプチャ）：「ロボットではありません」のような、アクセスしてきたのが人間かどうかを判定する仕組みです。本来は不正アクセス対策の技術ですが、フィッシングサイトでは自動解析ツールの調査を妨害する目的で悪用されることがあります。

■ 見どころ①：送信者名から”iCloud”の文字列を消す偽装

メールソフト上では送信者名が「iCloud+」と表示されていましたが、ヘッダーの生データを確認すると、次のような構造になっていました。

[表示範囲の開始記号] + "iC" + [右から左への表示制御] + "+duol" + [右から左への表示制御] + [表示範囲の終了記号]

「+duol」の部分を右から左に表示する制御記号で挟むことで、画面上では反転して「loud+」と表示され、先頭の「iC」と合わせて「iCloud+」に見えるよう作られています。実データには”iCloud”という文字列そのものが存在しません。今朝解析したAmazon詐欺メールの送信者名（”Amazon”の文字列を隠す偽装）と、まったく同じ技術系統です。

■ 見どころ②：件名・本文の単語を1文字ずつ分断する新手の偽装

件名や本文を詳しく調べたところ、今朝とは異なる新しい手法も見つかりました。「支払い」「決済処理」といった単語の文字と文字の間に、Variation Selector（異体字セレクタ）という制御文字が1つずつ挟み込まれていました。この制御文字は、直前の文字に該当する異体字が定義されていない場合、画面上は何も表示されず、見た目は普通の文章と変わりません。しかし実データ上では、「支払い」という単語が「支」「払」の間に見えない文字を挟んで分断されているため、単語をそのまま検索・照合する簡易的なフィルターをすり抜けやすくなります。

さらに本文の「確認」の「認」の一文字だけを、送信者名と同じ右から左への表示制御記号で挟んで反転させる工夫も見られました。1文字だけの反転は見た目には変化がありませんが、実データ上では文字列として連続していない状態を作り出しています。

■ 今朝のAmazon詐欺メールとの共通点

本メールの送信元IP（Microsoft Azure・AS8075・日本リージョン）は、今朝解析したAmazon Prime詐欺メールの送信元と同じクラウド基盤・同じASでした。加えて、送信者名にUnicode双方向制御文字を使う手法も共通しています。断定はできませんが、同一の攻撃者、または同じツールキットが、ブランドを変えて同日中に複数回攻撃を仕掛けている可能性が考えられます。

■ フィッシングサイト詳細解析

メール内リンク（伏せ字）：hxxps://duiyuehuanjing[.]com/uid_2670240378?ticket=Gbn500wZrN（Cloudflare経由のため地理情報照会は省略）

アクセスすると、まず独自のCAPTCHA（ボット判定画面）が表示されます。「緑色のカードを1枚選択してください」という指示ですが、選択肢はすべて「安全」「一般」という文字ラベルのみで、実際には緑色のカードが1枚も存在しません。本来は不正アクセス対策の技術であるはずのCAPTCHAが、指示と実物の食い違いという初歩的なミスを起こしてしまっているあたり、失礼ながら少し笑ってしまいました。

最終誘導先URL（伏せ字）：hxxps://wuyuecuilimiao[.]com/hMCFGGwV

サーバーIP：8.209.245.99（ホスティング会社：Alibaba Cloud／AS45102 ALIBABA-CN-NET）
脅威レベル判定：低（プロキシ・クローラーへの該当なし）

このURLはウイルスバスターにフィッシングサイトとして検知・ブロックされていましたが、警告を回避してアクセスすると、Apple Accountの管理画面を忠実に模倣した偽サインインページが表示されました。

■ 関連するApple／iCloudなりすまし記事

• 【解析】iCloud+ お支払いに失敗しました 詐欺メールの送信元IPと偽サイトを特定
• 実録！iCloud+支払い失敗を装うフィッシング詐欺に絶対引っかからない方法

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしない：差出人名の見た目だけで安全とは判断できません。
2. 公式サイト・公式アプリから確認：お支払い状況の確認は、必ずご自身の端末の「設定」からApple Accountを開いて確認してください。
3. 不審なメールはAppleに報告：スクリーンショットを撮り、reportphishing@apple.com へ送ることで報告できます。
4. 公式注意喚起の参照：フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する（Apple公式サポート）

本レポートの結論

今回のメールは、送信者名の反転表示に加え、本文の単語をVariation Selectorで分断するという新手のUnicode偽装まで組み合わせた、非常に手の込んだなりすましメールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。