「dポイント有効期限のお知らせ」は詐欺！Microsoft AzureとTencent Cloudを乗り継ぐリンク偽装の手口を解析——同日5通以上を確認

2026年9月3日

今日はAmazon・Appleを騙るメールに続いて、dポイントを騙るメールももう一つご紹介します。同じ日のうちに5通以上届いていて、しかも現時点でどこにもブロックされていないという、なかなか油断できない一通です。

【実録・調査レポート】「dポイント有効期限のお知らせ」詐欺メールの正体

Heartland-Lab（ハートランド・ラボ）専門調査レポート

「dポイントの一部が失効します」というdポイントクラブを騙るメールです。メール中に表示されているリンクの文字列と、実際にクリックしたときの飛び先がまったく違うという典型的なリンク偽装が使われており、Microsoft AzureとTencent Cloud、Cloudflareという複数のクラウド基盤を渡り歩いて、最終的に偽のdアカウントログイン画面へたどり着く構成になっていました。

緊急性レベル	★★★★★ (5/5)
偽装工作精度	★★★☆☆ (3/5)

※重要：同じ内容のメールが同日中に5通以上確認されており、現時点でどのセキュリティ機構にも検知されずすり抜けている状態です。かなり活発に配信されているとみられますので、特にご注意ください。

ご覧の通り、このメールはdポイントクラブを装った真っ赤な偽物です。現在も検知されずに出回っていますので、この記事を家族や同僚にも共有して注意を呼びかけてください。

1. ■ 詐欺メール本文の再現
2. ■ 用語かんたん解説
3. ■ フィッシングサイト詳細解析（多段構成）
4. ■ 注意点と対処法

■ 詐欺メール本文の再現

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです（宛先アドレスの詳細は個人情報保護のため一部伏せています）。

件名：[spam]【ご確認ください】dポイント有効期限のお知らせNo.645116589
差出人："dポイントクラブ" <noreply@xamdhw.com>

━━━━━━━━━━━━━━━━━━━━
dポイントクラブ
━━━━━━━━━━━━━━━━━━━━
お客様各位

お客様が保有されているdポイントの一部が、2026年9月5日（土）に失効いたします。
期限までに一度でもポイントをご利用（ためる・つかう）いただければ、有効期限が自動延長されます。

▼ ポイントを確認・利用する
（画面上の表示：https://dpoint.docomo.ne.jp/update　※実際のリンク先とは異なります／伏字にしています）

━━━━━━━━━━━━━━━━━━━━
■ dポイントの主な使い道
━━━━━━━━━━━━━━━━━━━━
1ポイント＝1円で以下のようにご利用いただけます。
街のお店で使う：dポイント加盟店（コンビニ・ドラッグストア・カフェなど）でお支払いに
ドコモ料金に充当：ケータイ光回線・電気代などに1ポイント＝1円で使用可能
他社ポイントに交換：JALマイル（1,000P→500マイル）、スターバックスカード（3,000P→3,000円分）など
d払いで決済：全国のd払い加盟店でご利用いただけます
※「1年以内に失効するポイント」はアプリやサイトでご確認いただけます
※有効期限を過ぎたポイントは再発行できません
━━━━━━━━━━━━━━━━━━━━
本メールは送信専用です。ご返信いただいても対応できません。
dポイントクラブ運営事務局

受信したメールの実際の表示画面

■ メールヘッダー解析（送信ルートと偽装判定）

※メールヘッダー詳細は個人情報保護のため非掲載

差出人：「dポイントクラブ」を名乗る、ドコモ公式とは無関係な独自ドメインからの配信

SPF認証結果：Pass
DKIM署名：Valid（いずれも攻撃者が自分自身のドメインに正しく設定しているだけで、dポイントクラブの正規メールであることの証明にはなりません）

送信元IP：20.89.21.5（Microsoft Azure上のホスティングサーバー）

【偽装判定】：NTTドコモの正規サービスが、Microsoft Azure上の無関係な独自ドメインからメールを送ることはありません。表示されているリンク文字列（dpoint.docomo.ne.jp）と実際の遷移先も一致しておらず、典型的なリンク偽装です。

■ 用語かんたん解説

リンク偽装：画面上には「dpoint.docomo.ne.jp」のような見慣れたアドレスが表示されているのに、実際にクリックすると全く別のサイトに飛ばされる手口です。文字だけを見て安心せず、実際にどこに繋がっているかは分かりにくいことを覚えておいてください。
クラウド基盤の悪用：Microsoft AzureやTencent Cloud、Cloudflareといったサービスは、本来は世界中の企業が正規に利用している信頼度の高い基盤です。攻撃者はこうした基盤を間借りすることで、フィルターに引っかかりにくくしています。

■ フィッシングサイト詳細解析（多段構成）

ステップ1：メール内リンクの実際の遷移先

誘導先URL（伏せ字）：hxxps://bexqol[.]cfd/content/rwzlfpicbh

ホスティング基盤：43.167.192.76（Tencent Cloud／中国系クラウド事業者）

ステップ2：最終的な偽サイト

誘導先URL（伏せ字）：hxxps://kdhjhf[.]cfd/JtlBDu/#/index

最終的にたどり着くのは、本物そっくりの偽「dアカウント」ログイン画面です。ここにdアカウントIDやパスワードを入力すると、そのままドコモアカウントの情報が攻撃者に渡ってしまいます。このサイトはCloudflareという中継サービスを経由しているため、サーバー自体の所在地は特定できませんでした。

最終的に表示された偽のdアカウントログイン画面

■ 注意点と対処法

メール内のリンクは開かない：画面上の表示アドレスが正しく見えても、実際の遷移先が同じとは限りません。
公式アプリ・公式サイトから確認する：dポイントの残高や有効期限は、必ずdポイントクラブの公式アプリかブックマークしてある公式サイトから確認してください。
万が一入力してしまったら：すぐにdアカウントのパスワードを変更し、不審なログイン履歴がないか確認してください。
同僚・家族にも共有を：現在も多数配信されているとみられるため、身近な方にも注意を呼びかけてください。

本レポートの結論

「dポイントの一部が失効する」という身近な話題に乗じ、Microsoft Azure・Tencent Cloud・Cloudflareという複数のクラウド基盤を渡り歩くリンク偽装で偽のログイン画面に誘導する手口でした。同日中に5通以上、しかも現時点で無検知という活発さも要注意ポイントです。この記事のURLをコピーして、家族や同僚にも「これ気をつけて！」と共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Forest