「【要ログイン】セゾンカード会員情報のご確認のお願い」は詐欺メール！Amazon詐欺と同一IPを使い回す“見せかけDKIM”キットの正体

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 見どころ①：セゾンカード公式を騙る”見せかけ”のDKIM署名
• 3. ■ 見どころ②：表示リンクと実際の行き先が異なる偽装
• 4. ■ 同一アクターによる使い回しの動かぬ証拠

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際のセゾンカードとは無関係です。

お客様各位

平素よりセゾンカードをご利用いただき、誠にありがとうございます。

━━━━━━━━━━━━━━━━━━━━
■ 会員情報のご確認について
━━━━━━━━━━━━━━━━━━━━

お客様の会員情報につきまして、長期にわたりログインがない状態が続いております。

2026年8月30日 までにログインいただけない場合、セキュリティ保持の観点から、一部サービスのご利用が制限される可能性がございます。

※一定期間ログインがない場合、事前にご確認のお知らせを送信しております

━━━━━━━━━━━━━━━━━━━━
■ お客様の永久不滅ポイントについて
━━━━━━━━━━━━━━━━━━━━

お客様の口座には 9,874ポイント の永久不滅ポイントがございます。

ログインいただくことで、これらのポイントは引き続きご利用いただけます。

永久不滅ポイントは有効期限がなく、1ポイント最大5円相当で、商品やギフトカードへの交換、ご請求額への充当などにお使いいただけます。

━━━━━━━━━━━━━━━━━━━━
■ ログイン方法
━━━━━━━━━━━━━━━━━━━━

会員情報のご確認および各種サービスの継続ご利用には、下記公式サイトよりログインをお願いいたします。

▼ セゾンカード ログイン
https://www.saisoncard.co.jp/update　（表示テキストのみ／実際の遷移先は本文で解説）

※ログイン後、通常どおりご利用いただけます
※パスワードをお忘れの場合は、ログインページの「パスワードをお忘れの方」より再設定いただけます

━━━━━━━━━━━━━━━━━━━━
■ セゾンカード会員さま向けサービス
━━━━━━━━━━━━━━━━━━━━

ログイン後は、以下のようなサービスをご利用いただけます。

・ご利用明細の確認
・永久不滅ポイントの確認・交換
・会員限定キャンペーンのご利用
・各種お手続きのオンライン完了

━━━━━━━━━━━━━━━━━━━━
■ ご注意事項
━━━━━━━━━━━━━━━━━━━━

・ログインが確認できない場合、会員限定サービスの一部が制限されることがございます
・本メールは送信専用のため、ご返信いただいてもお答えできません
・ご不明な点は、セゾンカード カスタマーセンターまでお問い合わせください

━━━━━━━━━━━━━━━━━━━━

セゾンカード カスタマーセンター
https://www.saisoncard.co.jp/

JTTQBOH26N

▲ 実際に届いたメール画面。送信者表示は「セゾンカード」＜info@saisoncard.co.jp＞となっており、一見しただけでは公式メールとの区別がつきません。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
実際にこのメールを送り出したサーバーのIPアドレスは20.89.145.71（HELO名：gztongchain.com）でした。

【偽装判定】：
正規のセゾンカードからのメールは「saisoncard.co.jp」ドメインからのみ配信されます。本メールの実際の送信元「gztongchain.com」は公式とは一切関係のないドメインです。画面上の送信者アドレス表示も「info@saisoncard.co.jp」に偽装されています。

メールヘッダーには次のような記載がありました。

DKIM-Signature: ... d=saisoncard.co.jp ... i=info@saisoncard.co.jp

DKIM（ディーキム）は、送信ドメインが本当にそのメールを送ったことを暗号技術で証明する仕組みです。正しく機能していれば、「d=saisoncard.co.jp」という署名は、セゾンカード自身が管理する秘密鍵で作られたものでなければ検証を通りません。しかし本メールの実際の送信元は「gztongchain.com」という無関係なドメインであり、セゾンカード本物の鍵を持っているはずがないため、この署名を検証すれば確実に失敗します。「DKIM署名がある＝公式」ではない、というのがここでの重要なポイントです。

メール本文では、リンクの表示文字列としてhttps://www.saisoncard.co.jp/updateという、いかにも公式らしいURLが表示されていました。しかし実際にクリックした際の遷移先（href属性）は、まったく別の次のURLでした。

hxxps://allaboutwesternaustralia[.]com/visit/wuripqrgug

パソコン利用時にリンクへマウスカーソルを重ねると、画面下に実際の遷移先URLが表示されます。この一手間を惜しまないことが、被害を防ぐ第一歩になります。

■ フィッシングサイト詳細解析

入口リンク：hxxps://allaboutwesternaustralia[.]com/visit/wuripqrgug

このリンクへアクセスすると、まずウイルスバスタークラウドが「フィッシングサイトの可能性」として警告・ブロックしました。

▲ ウイルスバスター クラウドが誘導先「kkhhh.top/jp」をフィッシングサイトと判定し、警告画面を表示しました。

別のブラウザ（Chrome）でも、Googleセーフブラウジング機能により「危険なサイト」として同様にブロックされています。

▲ Chromeのセーフブラウジングも「フィッシングが検出されました」と警告しています。

最終着地ドメイン：kkhhh.top/jp

着地サーバーIP：43.133.23.167（ISP：Tencent Cloud Computing／AS132203 TENCENT-NET-AP-CN）

ロケーション：ip-sc.netの調査では東京都と表示されますが、運営元は中国系クラウド事業者Tencent Cloudであり、実際の攻撃者の所在地を示すものではありません。

ドメイン登録情報：`kkhhh.top`はシンガポールのGname.com Pte. Ltd.で2025年10月18日に登録された、作成から314日が経過しているドメインでした。現在はドメイン転売サイトに掲載されており、使い捨てではなく既存ドメインを使い回すタイプの着地インフラであることが分かります。

【サイトの状態】：ブラウザの警告を強制的に突破すると、セゾンカードのNetアンサー／SAISON IDログイン画面を極めて忠実に模倣した偽ログインページが表示されました。

▲ 警告を突破した先に表示された偽ログイン画面。ロゴやレイアウトまで本物同様に再現されています。

今回の着地サーバーIP「43.133.23.167」を調べたところ、本日すでに解析したAmazon「12,890ポイントが8月30日に失効」詐欺メールの着地ドメイン「kkkce.top」と完全に同一のIPアドレスであることが判明しました。さらに、DKIM署名で公式ドメインを騙る手口・表示リンクと実際の遷移先を偽装する手口も、両者でまったく同じ構造です。ブランド名（Amazon／セゾンカード）を差し替えているだけで、送信インフラ・偽装ロジック・着地サーバーは共通しており、同一の攻撃者または同一キットの使い回しである可能性が極めて高いと考えられます。

また、送信元ドメインの命名にも「gztongchain.com」と、別記事Amazon Prime会費詐欺メールの「mail08.tongchaju.com」に共通する「tongcha」という語幹が見られ、同じ攻撃者グループがドメインを量産している可能性を示唆しています。

■ 注意点と対処法

1. リンクの実際の行き先を確認する：パソコンではリンクにマウスを重ねる、スマートフォンでは長押しすることで、実際の遷移先URLを事前に確認できます。
2. 「DKIM署名がある」だけで信用しない：署名の存在自体は安全の証明にはなりません。判断基準にはしないでください。
3. ブラウザの警告を無視しない：ウイルスバスターやChromeが警告を出したページは、絶対に「進む」を選ばないでください。
4. 公式サイトを確認：ログインは必ず公式アプリまたはブックマークからアクセスしてください。
5. 公式注意喚起の参照：クレディセゾン公式サイトの「不審なメール・電話にご注意ください」ページもあわせてご確認ください。

■ 関連記事

同一キットと見られる他ブランドの詐欺メール、および本日すでにご紹介したセゾンカード詐欺の記事もあわせてご覧ください。

• 「12,890ポイントが8月30日に失効」は詐欺メール！Amazon公式を装う”見せかけDKIM”
• 「Amazon Prime会費の引き落としに失敗」は詐欺メール！Unicode文字で”Amazon”を隠した送信者名
• 「セゾンカード会員規約に基づくポイント失効」通知は詐欺メール！8,643ptの偽表示と即死したフィッシングサイトの正体

本レポートの結論

「長期間ログインがない」という定番の煽り文句に、DKIM署名の見せかけ偽装とリンク表示の偽装を組み合わせた巧妙な手口でした。着地サーバーは本日解析したAmazon詐欺メールと完全に同一で、同一の攻撃者が複数ブランドに同じキットを使い回していることが確認できました。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。