KAGOYA「Active!mail」を騙るのに中身はMicrosoft TeamsのタイトルでSlack風デザイン——3ブランド混在の雑なフィッシングキットを解析

ご覧の通り、このメールはKAGOYAを装った真っ赤な偽物です。ブランドがごちゃ混ぜになっているという珍しさも含めて、ぜひ周りの方にも共有してあげてください。

• 1. ■ 詐欺メールの実際の表示
• 2. ■ 用語かんたん解説
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

■ メールヘッダー解析（送信ルートと偽装判定）

※メールヘッダー詳細は個人情報保護のため非掲載

差出人：KAGOYAの「Active!mail」を装った、公式とは無関係な独自ドメインからの配信

SPF認証結果：None（SPFレコード自体が存在せず）

送信元IP：45.229.168.145（ホスト名：145.168.dynamic.fulltelecom.com.py）

発信元ロケーション：パラグアイ共和国。ホスト名に含まれる「dynamic」という表記から、企業のメールサーバーではなく、動的に割り当てられる一般家庭向け回線からの送信とみられます。

【偽装判定】：KAGOYAの正規サービスが、SPFレコードすら存在しない、パラグアイの家庭用回線から送信されることはありません。

• ダイナミックIP：プロバイダが利用者に一時的に割り当てるIPアドレスのことです。企業のメールサーバーは通常、固定のIPアドレスを使うため、「dynamic」と名の付く回線からのメール送信は不自然さの目安になります。
• クリック計測サービスの悪用：メールマーケティングで使われる正規のリンク計測サービスを間借りし、そこから実際のフィッシングサイトへ転送させる手口です。正規サービスのドメインが間に挟まることで、見た目の信頼度を上げる狙いがあります。
• サイトの乗っ取り（改ざん）：本来は無関係な企業の公式サイトに、攻撃者が不正に入り込み、フィッシング用のページをこっそり設置する手口です。サイト運営者本人も気づいていないケースが少なくありません。

リンク構造：正規サービスを踏み台にした多段誘導

メール内のボタンは、まず正規のメール配信・クリック計測サービスを経由します。そのリンクを分析すると、最終的な誘導先としてhxxp://unitedconstructionservicellc[.]com/active-mail/kagoya.htmlというURLが埋め込まれていました。ドメイン名から判断すると、本来は米国の建設関連企業と思われる実在サイトが乗っ取られ、フィッシングページの置き場所として悪用されているとみられます。

1. メール内のリンクは開かない：ブラウザの警告が出た場合は、絶対に先へ進まないでください。
2. テキスト表示に切り替えて確認する習慣を：今回のように、HTML表示では隠れている矛盾が、テキスト表示に切り替えることで見えてくる場合があります。
3. Active!mailの通知は公式サイトから確認：メール内のリンクではなく、ブックマークや公式サイトから直接ログインして確認してください。
4. 心当たりのない通知は無視して破棄：「新しいメッセージ」のような曖昧な通知に、焦って反応しないようにしましょう。

本レポートの結論

KAGOYAの「Active!mail」を装いながら、HTMLタイトルはMicrosoft Teams、本文デザインはSlack風という、複数のブランドが雑に混ざり合ったフィッシングキットでした。送信元はパラグアイの家庭用回線、着地点は乗っ取られたとみられる米国のサイトと、あちこちに矛盾がある分かりやすいパターンです。この記事のURLをコピーして、家族や同僚にも「これ気をつけて！」と共有してあげてください。

LINEで送る