【American Express「30,000円キャッシュバック」は詐欺メール】本物の画像を使った偽キャンペーンに注意

HL-META: date=2026-08-31 | brand=American Express | sender_geo=アメリカ | site_geo=インドネシア | spf=unknown | dkim=unknown | cloaking=unknown

実際に届いたメール

件名は「【American Express】30,000円キャッシュバック｜携帯電話料金のお支払いで」。本文には「通信料のお支払いは、アメックスで」「30,000円をキャッシュバック」「先着30,000名様限定」などの文言が並び、携帯各社のロゴ画像も配置されています。

しかし、表示名が「American Express」でも、実際のFromアドレスは Ermengarde@kabechoro[.]net。American Express公式の送信元とは一致しません。

※メールヘッダー詳細は個人情報保護のため非掲載

送信元IPは米国・Verizon系、SPFはSoftfail

外部からの最初の到着記録とReceived-SPFの双方で確認できた送信元IPは 108.28.26.116 です。IP調査では、米国・ワシントンD.C.判定、Verizon Business、AS701 / UUNET、Verizon Online LLC と確認されました。

108.28.26.116 のIP調査結果

なぜここまで本物っぽいのか？

今回のメールをHTMLソースで確認すると、画像の多くは i.email.americanexpress.com から読み込まれていました。つまり、見た目を構成する画像にはAmerican Express側で配信されている画像素材が使われています。

実際、「ブラウザで見る方はこちら」「1クリックで事前登録」「詳しくはこちら」「ポイントについて詳しく見る」など、多数のリンク先は同じ不審URLへ向けられていました。

hxxps://aexshorthoo26d[.]w287qb[.]info/2ymmlo/hepe

3,000円？ 30,000円？ ソースの中で10倍に

表示される本文では「30,000円をキャッシュバック」と大きく案内されています。ところがHTMLソース冒頭の <title> には「3,000円キャッシュバック」と残っていました。

途中でキャンペーン条件を変更した、別テンプレートを流用した、単純に修正を忘れた――など複数の可能性は考えられますが、理由そのものは断定できません。ただし、表面上は見えない制作痕跡がソース内に残っていた点は、今回のメールを評価する重要な材料です。

どの携帯会社を選んでも行き先は一緒

メールにはdocomo、ahamo、au、UQ mobile、povo、SoftBank、Y!mobile、LINEMOなど複数の携帯会社の画像が並び、「ご利用中の携帯電話会社のロゴを今すぐクリック」と案内されています。

しかしHTMLを見ると、それらの画像リンクも同じ w287qb[.]info 配下のURLへ向けられています。選択肢が複数あるように見えても、入口は同じという構造です。

実際にリンク先へ進むとどうなる？

今回のメールでは、ボタンや携帯会社の画像から hxxps://aexshorthoo26d[.]w287qb[.]info/2ymmlo/hepe へ誘導されます。確認時にはセキュリティソフトによる警告が表示され、その先ではAmerican Expressを装った詐欺サイトが確認されました。

その先に表示されたAmerican Express風の詐欺サイト

警告の先では、American Expressを連想させるデザインのページが確認されています。メールの外観だけでなく、誘導先側でもブランドイメージを模倣し、利用者に正規サイトだと思わせようとする構成です。

このように今回は、「本物の画像を使った偽メール」→「無関係な.infoドメイン」→「セキュリティ警告」→「American Expressを装う詐欺サイト」という一連の流れを実際の画面で確認できました。

誘導先ドメインとサーバーを確認

誘導先の親ドメインは w287qb[.]info。確認時のIPは 43.165.196.142 でした。

項目	確認内容
IP	43.165.196.142
事業者	Aceville Pte. Ltd.
ASN	AS132203 / TENCENT-NET-AP-CN
利用形態	hosting
IP位置情報	インドネシア・ジャカルタ判定
ネームサーバー	guy.ns.cloudflare.com / ximena.ns.cloudflare.com

43.165.196.142 のIP調査結果

WHOIS調査では所有者情報は通常形式では公開されておらず、調査サービス上では過去約1年間にIPアドレス4回・ネームサーバー4回の変更履歴が確認されました。なお、変更回数が多いこと自体をもって悪性とは判断できません。今回は、偽メールから誘導されるドメインを評価する際の補助情報として扱います。

※IP位置情報はデータベースによる推定であり、サーバーの物理所在地を保証するものではありません。

American Express公式も「送信元とURLを確認」と注意喚起

American Express公式は、フィッシングメールについて「送信元アドレスが正しいか」「記載URLが正しいか」を確認するよう案内しています。公式が案内するメールドメインやサイトドメインと異なる場合は、リンクを開かず削除するよう注意喚起しています。

American Express公式「フィッシング詐欺にご注意」

もしリンクを開いた・情報を入力した場合

• これ以上、メール内のリンクを操作しない。
• カード番号やログイン情報を入力した場合は、メール内リンクではなくAmerican Express公式サイトまたは公式アプリから確認する。
• 必要に応じてカードの一時利用停止・再発行など、公式案内に沿って対応する。

まとめ

今回の「30,000円キャッシュバック」メールは、American Expressを装いながら、無関係な送信ドメインと不審な.infoドメインへ誘導するフィッシングメールです。

とくに印象的なのは、American Express側の画像を利用して外観を本物らしく仕上げていたこと。そして、ソースのtitleには「3,000円」、本文では「30,000円」という食い違いが残っていたことです。

メールの見た目ではなく、差出人・リンク先を確認してください。少しでも違和感があれば、メール内リンクからではなく、いつも使っている公式アプリやブックマークからアクセスするのが安全です。