「りそなクラブポイント有効期限」は偽メール――偽造されたYahoo!経由履歴とGoogle Cloud東京発の巧妙な二重工作

結論：これは「りそなクラブポイント」の失効を装う真っ赤な偽物です。りそな銀行の正規サイト「マイゲート」とは一切無関係です。

• 1. ■ 届いたメールの中身
• 2. ■ 送信ルート及び偽装判定――偽造されたYahoo!経由履歴
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

実際に届いたメール。りそなホールディングスのロゴを模し、具体的なポイント数を提示している

実在しない配送経路のでっち上げ

通常、メールヘッダーの「Received」欄には、メールが実際に通過してきたサーバーの記録が、新しい順に積み重なって記録されます。ところが今回のメールには、Yahoo!メールの内部サーバーを模した「Received」行が複数挿入されていました。まるで本当にYahoo!メールを経由してきたかのように見せかける、手の込んだ偽装です。送信ツールの記載も「YahooMailWebService」となっており、徹底してYahoo!メールから送られたことにしたい様子がうかがえます。

実際の送信元はGoogle Cloud（東京）

しかし、ヘッダーの「Received-SPF」欄に記録された実際の接続元IPアドレスを確認すると、真の送信元はGoogle Cloudの東京リージョンにある、攻撃者自身が用意したサーバーであることがわかりました。SPF・DKIMがPassしているのも、この攻撃者自身のドメイン（jxweisanyun.com）に対する認証が通っているだけで、りそな銀行とは無関係です。Yahoo!経由に見せかけた偽の記録は、あくまで見た目を整えるための演出に過ぎません。

■ 用語解説

Receivedヘッダー：メールが実際に通過してきたサーバーの記録です。通常は偽装できないとされていますが、攻撃者が自分の管理下にあるサーバー上でメールを作成する際、この記録自体を手作業で書き足すことは技術的に可能です。

SPF・DKIM：メールの送信元が偽装されていないかを確認する仕組みです。ただし、これらが「Pass」でも、送信元自体が攻撃者の管理下にあるドメインであれば意味を持ちません。

誘導リンク

URL：hxxps://baojianzj［.］com/?label=360eaa8fa443f0df732c321e3db31ba1

Cloudflare経由のため、サイトサーバーの実際の所在地は特定できません。

最終的に表示された偽のマイゲートログイン画面。ログインID・パスワードの入力欄が並ぶ

1. URLをクリックしない：メール内のリンクは絶対にクリックしないでください。
2. ヘッダーの「経由履歴」だけで安心しない：一見もっともらしい配送経路が記載されていても、それだけで正規メールとは判断できません。
3. ポイント残高は公式アプリ・マイゲートで確認：必ずりそなグループアプリまたはブックマークした公式サイトから、ご自身でログインして確認してください。
4. 既にログイン情報を入力してしまった場合：直ちにマイゲートサポートセンターまたは最寄りの支店に連絡してください。
5. 公式の注意喚起も参照：フィッシング詐欺などの金融犯罪にご注意ください（りそなグループ公式）

本レポートの結論

「りそなクラブポイント有効期限」というメールの正体は、実際には経由していないYahoo!メールの配送履歴をでっち上げ、Google Cloud東京から送られた偽メールでした。「経由履歴が書いてあるから安心」とは限らない、という点を身近な方にもぜひ伝えてあげてください。この記事のURLをコピーして、家族のLINEグループで共有してあげてください。