JALを騙る「マイル加算に関するお知らせ」は詐欺！送信元とフィッシングサイトが同一ドメインという杜撰な手口を解析
9月に入り、旅行や帰省の計画を立て始めた方も多いのではないでしょうか。そんな時期を狙うように、JAL（日本航空）のマイレージバンクを騙る詐欺メールが届きました。今回は「文字そのものにトリックが仕込まれている」という、これまでとは一味違う手口をじっくり解析していきます。
🔍 調査レポート：概要
| かたられたブランド | JAL（日本航空）マイレージバンク |
| 件名（表示上） | [spam] 【重要】マイル加算に関するお知らせ |
| 受信日時 | 2026年8月31日 20:00 |
| 送信元IP | 20.98.78.190（Microsoft Azure／米国ワシントン州） |
| 脅威レベル | 低（ip-sc.net調査。ただし「低」＝安全という意味ではありません） |
| 技術的な見どころ | 件名・送信者名・本文にUnicode制御文字を使った文字列偽装／送信元と誘導先が同一ドメイン |
⚠️ このメールはJALとは一切関係のない偽物（フィッシング詐欺メール）です
📧 実際に届いた詐欺メール
まず、実際に届いたメールの見た目をご覧ください。HTML形式で開いた場合と、テキスト形式で開いた場合で、印象がかなり異なります。
▲ HTML形式で開いた場合の表示。公式JALメールを意識した赤基調のデザインが使われています。
▲ テキストのみで開いた場合の表示。HTML版より文章量が少なく、簡略化された内容になっています。
※メールヘッダー詳細は個人情報保護のため非掲載
このたび、下記のマイルが自動で加算されていないことを確認いたしました。 「JAL（日本航空）会員情報」の修正・確認手続きをお願いいたしたく、ご連絡申し上げます。 保留中の未加算マイル：2,822マイル 計上前有効期限：メール拝受より3日以内 お手続きの手順 1. 下記ボタンより情報の修正・確認手続きを行ってください。 2. 手動でのマイル加算申請を完了させてください。 3. 加算処理の完了後、確認メールが自動送信されます。 ご注意事項 ・上記リンクの有効期限は本メール送信後72時間以内です。 ・加算完了後のマイル有効期限は、積算日から1年間となります。 ・本メールに心当たりのない場合は、直ちにサポートセンターへご連絡ください。
「2,822マイル」「3日以内」という中途半端な数字と期限設定は、いかにも自動処理っぽく見せて疑わせない狙いでしょう。ただ、本物のJALマイレージバンクがこのような形でメール一本で緊急の手続きを迫ることは基本的にありません。
🕵️ 送信ルートと偽装の判定
メールヘッダーのReceived-SPF行を確認したところ、送信元IPは次の通りでした。
client-ip：20.98.78.190
helo：cgcfw.jumoremineral.com
SPF判定：Pass（＝攻撃者自身が管理するドメインとして正規に認証されているだけで、JALの正当性を保証するものではありません）
ip-sc.netで確認したところ、送信元はMicrosoft Azure（AS8075 / MICROSOFT-CORP-MSN-AS-BLOCK）のホスティング環境で、逆引き（PTR）も設定されていませんでした。クラウドの仮想サーバーではよくあることで、地図上の所在地（米国ワシントン州）はデータセンターの所在地であり、攻撃者自身の居場所を示すものではない点にご注意ください。
なお、HELO名として使われていた cgcfw.jumoremineral.com は、調査時点ではすでに名前解決ができなくなっていました。使い捨てのインフラをその都度用意している可能性があります。
👁️ 見た目にはわからない「文字そのもの」への細工
今回のメールで最も注目すべき点は、件名・送信者名・本文のすべてに、目に見えないUnicode制御文字が仕込まれていたことです。メールソフトの画面上ではごく普通の日本語に見えますが、実際に送受信されている文字データはそうではありません。
これを発見した方法はシンプルです。件名や送信者名の文字列をコピーしてプレーンテキストエディタに貼り付けたり、メールのソースコード（HTMLソース）を表示したりすると、見た目では存在しないはずの制御文字がエスケープシーケンス（\u200b や \u202e など）として可視化されます。
①件名・送信者表示名：ゼロ幅文字の挿入
件名の「重要」「加算」、送信者表示名の「JAL」「日本航空」の文字と文字の間に、ZERO WIDTH JOINER（U+200D）やZERO WIDTH SPACE（U+200B）などの「幅を持たない」文字が挟み込まれていました。画面には映りませんが、迷惑メールフィルターが「JAL」や「マイル加算」を単純な文字列一致で検知しようとした場合、これらの制御文字によって一致しなくなり、すり抜けてしまう可能性があります。
②本文・送信者名：RLO（右から左への強制表示）による文字の入れ替え
さらに手が込んでいたのが、本文中の「JAL」「航空」「情報」といった単語です。これらはU+202E（Right-to-Left Override）とU+202C（Pop Directional Formatting）という制御文字で挟まれており、実際にサーバー上に保存されている文字の並び順は「JLA」「空航」「報情」なのに、メールソフトが表示する際に自動的に右から左へ読み替えて「JAL」「航空」「情報」と正しく見えるよう仕組まれていました。つまり、私たちが目にする文字と、コンピューターが処理する文字がそもそも一致していないのです。
この文字反転トリックは、HTMLメール本文の「JAPAN AIRLINES」表示にも同様に使われていました。実在の航空会社名を丸ごと文字化けさせずに再現しながら、裏側のデータでは分解してしまうという、なかなか手間のかかる偽装です。
📘 用語解説：ゼロ幅文字・RLOとは
ゼロ幅文字：画面上には一切表示されないのに、データとしては存在する特殊な文字です。単語の途中に紛れ込ませることで、見た目の文章を変えずに「文字列としての一致」だけを崩すことができます。
RLO（Right-to-Left Override）：本来はアラビア語やヘブライ語など、右から左に読む言語を正しく表示するための仕組みです。これを悪用すると、間に挟んだ文字列の並び順を画面上だけ逆転させて表示させることができ、実データと見た目を意図的にずらすことが可能になります。
なお、これほど手の込んだ文字偽装を仕込んでおきながら、後述するようにクリック先は単なる「メンテナンス中」の案内表示だった点は、正直なところ肩透かしでした。文字コードには全力を注いだのに、受け皿の準備が追いついていないようです。
🌐 誘導先フィッシングサイトの解析
⛔ メール内のリンク（絶対にアクセスしないでください）
hxxps://jumoremineral［.］com/syg5UDPy?ticket=2IQrza5erQ
送信元のHELO名はcgcfw.jumoremineral.comでしたが、誘導先のリンク先ドメインも同じjumoremineral.comでした。つまり、メールを送ってきたインフラと、フィッシングサイトを設置しているインフラが完全に同一ということです。多くの詐欺メールでは送信元と着地点で別々のドメイン・サーバーを使い分けますが、今回は使い回しの跡がそのまま残っていました。
なお、このドメインの名前解決結果はCloudflareのIPアドレス（172.67.221.45／104.21.35.124）でした。世界最大級のCDN・プロキシサービスの裏側に実体サーバーが隠されているため、地理的な所在地の特定はできません。
▲ 実際にリンク先へアクセスすると表示された画面。「システムの定期メンテナンスを実施しております」という案内のみで、それ以上先には進めませんでした。
PC・スマートフォンの両方で確認し、また時間を空けて再アクセスしても結果は同じでした。特定の端末や参照元によって表示を変える「クローキング」は今回確認できませんでした。すでに詐欺サイト自体の運用が停止しているか、あるいは特定条件（メール本文のリンクを経由した場合のみなど）でしか本来のフィッシングフォームが表示されない設計なのかは、現時点では判別できません。いずれにせよ、リンク自体に安全にアクセスできる状態ではないため、クリックしないことが最善の対処です。
🔗 関連記事
- JALマイレージバンク偽メール「アカウント継続のお願い」の正体（過去のJALなりすまし事例）
- ANA「未加算マイル」通知の危険なリンク先と回線情報（同じ「マイル未加算」型の他社なりすまし）
- 「SAISON CARD」の正体はUnicode逆読み偽装だった（同じRLO制御文字を使った先行事例）
- Amazon「ご本人確認書類のご提出のお願い」ゼロ幅文字とクローキングの手口（ゼロ幅文字を使った他ブランドの事例）
📝 注意点と対処法
✅ このようなメールが届いたら
- 本文中のリンクは絶対にクリックしない
- マイルの状況が気になる場合は、メールのリンクを使わず、公式アプリやブックマークからJALマイレージバンクへ直接アクセスして確認する
- 件名や差出人の表示名だけで安全性を判断しない（今回のように、見た目の文字列自体が細工されている場合があります）
- 不審な添付や画像が含まれていても開いたり保存したりしない
- 身に覚えのない場合は、メールを削除するか、JALの公式窓口に別途確認する
⚠️ 万が一リンク先で個人情報やログイン情報を入力してしまった場合は、直ちにJALマイレージバンクのパスワードを変更し、同じパスワードを他サービスでも使い回している場合はあわせて変更してください。クレジットカード情報を入力してしまった場合は、カード会社にすぐ連絡し利用停止を依頼してください。
✈️ 見た目の文字は、必ずしも本当のデータと一致しません
少しでも不審に感じたら、リンクを開かず削除を。この記事が役立ったら、ぜひ周りの方にも共有してください。
Data Provided by Heartland-Lab Security Research Unit／送信元IPの調査にはip-sc.netを利用しています。本記事は2026年8月31日時点の調査に基づくものです。詐欺の手口は日々変化しており、本記事の内容と異なる形の類似メールが届く可能性もありますので、引き続きご注意ください。
今、拡散中の詐欺メール
三井住友カード・VJA「USJ貸切イベント当選」は実在キャンペーンへの便乗詐欺！公式発表は2027年1月なのに存在しない8/6締切をでっち上げる矛盾 
【続報】国勢調査2026詐欺がリバイバル——新ドメインで再送、なぜか最終着地は「労働力調査」の偽サイトという珍事 
総務省統計局を騙る「労働力調査2026」詐欺——リンク表示と実際の行き先が異なる偽装手口、同日中に複数通の波状攻撃を確認 
【実録】「2年越しの毒電波を克服」魔改造B-CASカード販売メールの正体——6/17新KW対応版と称しYandex経由で届く違法勧誘の全手口を公開 
【速報】Apple Music+「無料体験終了のお知らせ」偽メールが58通の波状攻撃——管理番号は毎回違っても着地サーバーは同一という杜撰な実態