【続報】楽天「限定ボーナスポイント」詐欺が件名・送信基盤を多重ローテーション——「新宿」「滋賀」「沖縄」を騙るホスト名の正体はドイツ・ノルウェーの海外回線、着地はTencent Cloud

ご覧の通り、このメールは楽天を装った真っ赤な偽物です。「限定ボーナスポイント」の文字に心当たりがなくても、リンクは絶対にタップしないでください。この記事のURLを家族のLINEグループで共有して注意を呼びかけてください。

• 1. 詐欺メール本文の再現
• 2. 送信ルート及び偽装判定——3つの送信基盤を発見
• 3. フィッシングサイト詳細解析——着地は2系統、うち1つはTencent Cloud
• 4. 続報の背景——昨日の記事との関係
• 5. 注意点と対処法

※以下は届いた詐欺メールの本文をそのまま再現したものです。

楽天ポイントカード　限定ボーナスポイント受け取りのお知らせ

いつも楽天ポイントカードをご利用いただき、誠にありがとうございます。

【重要：楽天ポイントカード】
アプリ経由限定にてボーナスポイント受け取りのお知らせ

Android版 楽天ウォレット アプリ限定

13,450
ポイント

受け取り期限：2026年9月2日23:59

このポイントは「Android版 公式アプリ」でお受け取りいただいた方だけに適用となり、他の受け取り方法では失効いたします。日時のご案内を過ぎてしまいますと、失効となりますので、お早めにお手続きください。

Android版アプリでポイントを受け取る ▶

・iOS（iPhone等）端末からはお受け取りいただけません。

【ここまで】ポイントに関するお問い合わせ
※本メールは送信専用のため返信いただいてもご案内できません。

楽天ポイントカード運営事務局
〒108-0075 東京都港区三田1丁目4番1号 NBF三田ビル
(C) Rakuten Group, Inc.

■ 3通に共通するテンプレートの特徴

3通とも同じ画像（楽天ロゴ）、同じ会社概要の記載（住所・著作権表記）を使い回しており、変わっているのは件名・差出人名・ポイント金額・受け取り期限の数字だけです。機械的に量産されたテンプレートメールであることがうかがえます。

■ 表面上の送信元（SPF認証あり）

3通はそれぞれ別のドメインから送信されており、SPF認証はすべて合格（Pass）していますが、これは「送信元が名乗った通りのサーバーから来た」ことを示すだけで、送信元の身元が正規の楽天であることを保証するものではありません。

3通とも別ドメイン・別IPですが、「tonghuipt.com」の異なるサブドメインを2通、まったく別の「jinrihemei.com」を1通で使い分けており、複数の送信サービスを並行運用していることが分かります。また、表示された差出人アドレスに含まれる署名（DKIM）は、それぞれ実在の`yahoo.co.jp`・`hotmail.com`・`icloud.com`を騙るよう仕込まれており、署名ドメインと実際の送信元がまったく一致しない典型的な偽装です。

■ もう一段奥——「地名を騙るホスト名」の正体

ヘッダーをさらに遡ると、3通それぞれの送信基盤に対して、もう一段手前から「認証済み」としてメールを持ち込んでいるサーバーが見つかりました。このサーバーのホスト名には、それぞれ「新宿」「滋賀」「沖縄」といった日本の地名が含まれています。ところが、実際にIPアドレスの実体を調べたところ、まったく異なる場所だったことが判明しました。

「新宿」「滋賀」「沖縄」という日本の地名を含むホスト名を名乗りながら、実際に接続してきた場所はドイツの一般家庭回線やノルウェーの企業回線でした。日本国内から送っているように見せかける、手の込んだ偽装です。
※本記事の送信元IP・所在地情報はReceived-SPF: client-ip=行を正としており、Heart側の受信システムが付与する内部メタデータは判定に使用していません。

💡「ここで！」用語解説：SPFとDKIMって何？

SPFは「このメールを送っていいサーバーはここです」とあらかじめ登録しておく仕組み、DKIMは「このメールは改ざんされていません」という電子印鑑のようなものです。どちらも「送信者が名乗った通りの経路・内容であるか」をチェックするだけで、名乗っている相手が本物の楽天かどうかまでは保証してくれません。今回のように、詐欺師が自分の管理するドメインで正しくSPF・DKIMを設定してしまえば、両方とも合格（Pass）してしまいます。

■ 誘導先ドメインが2種類確認された

3通のリンク先を確認したところ、次の2つの着地ドメインが使われていました。

誘導先①：hxxps://yanhaofalan[.]com/entry/… ／ hxxps://yanhaofalan[.]com/redirect/…（2通で使用。現時点でドメイン自体が名前解決できず、閉鎖・停止している可能性があります）

誘導先②：hxxps://htsdcy[.]com/topics/…（1通で使用）

誘導先②のサーバーIP：43.165.174.34
ip-sc.netで確認したところ、プロバイダー名は「Shenzhen Tencent Computer Systems Company Limited」（AS132203／Tencent Cloud）で、中国拠点のレンタルサーバーであることが判明しました。地図上の位置情報（GeoLite2）では東京都渋谷区と表示されますが、これはTencent Cloudの東京リージョンを利用しているためで、実際の運営元の所在地を示すものではありません。この「地図上は東京、実体はTencent Cloud」というパターンは、当ラボが43.x.x.xの範囲で過去にも繰り返し確認しているものです。

1. 「Android限定」「アプリ限定」という煽り文句自体が危険信号：公式のポイント案内が特定OSでしか受け取れないという制限をかけることは通常ありません。
2. メール内のリンクからAPKファイルをインストールしない：Google Playストアを経由しない「野良アプリ」のインストールは、スマートフォンの安全審査を完全にすり抜けます。
3. 件名が違っても同じ手口の可能性を疑う：今回のように、1つのキャンペーンが何十通ものバリエーションで送られてくることがあります。
4. 公式アプリ・公式サイトから直接確認する：ポイントの有無は、メールのリンクではなく、必ずご自身でブックマークした公式サイトや公式アプリから確認してください。

本レポートの結論

楽天を騙る「限定ボーナスポイント」詐欺は、件名を変えるだけでなく、送信に使うドメインを3系統、誘導先サイトを2系統使い分ける、かなり組織的なキャンペーンであることが分かりました。日本の地名を名乗るホスト名の裏にドイツやノルウェーの海外回線が隠れていたように、見た目の「日本語・国内発」らしさは簡単に作れてしまいます。同じようなメールが届いたら、件名や金額が違っても油断せず、この記事のURLを家族のLINEグループで共有して注意を呼びかけてください。