【続報】三井住友カード・VJA「USJ貸切ご招待」便乗詐欺が再来——送信元は日本国内の法人回線、SPF判定はFailに悪化

2026年9月3日

1ヶ月前にご紹介した、三井住友カード・VJAを騙る「USJ貸切イベント当選」の便乗詐欺。送信インフラを一新して、また戻ってきました。

【続報・調査レポート】三井住友カード・VJA「USJ貸切ご招待」便乗詐欺の再来

Heartland-Lab（ハートランド・ラボ）専門調査レポート

三井住友カード・VJAが実際に開催している「ユニバーサル・スタジオ・ジャパン貸切ご招待＆キャッシュバックキャンペーン」に便乗し、「抽選に当選した」と偽る詐欺メールです。件名・本文のテンプレートは前回とほぼ同一ですが、送信元は前回のGoogle Cloud（大阪）から日本国内の法人回線へ、SPF判定もPassからFailへと変化していました。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★☆☆ (3/5)

※重要：実在するキャンペーンに便乗しているため、公式サイトで検索すると本物の情報がヒットし、かえって信じ込みやすい厄介なパターンです。

ご覧の通り、このメールは三井住友カード・VJAを装った真っ赤な偽物です。実在キャンペーンに便乗した厄介なパターンなので、ぜひ周りの方にも共有してあげてください。

1. ■ 詐欺メール本文の再現
2. ■ 続報について：前回との違い
3. ■ フィッシングサイト詳細解析
4. ■ 注意点と対処法

■ 詐欺メール本文の再現

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです（宛先アドレスの詳細は個人情報保護のため一部伏せています）。

件名：[spam]＼ 抽選結果のお知らせ ／ ユニバーサル・スタジオ・ジャパン 貸切ご招待- R1788212210
差出人：三井住友カード <sys@absurde-studio.com>

＼ キャンペーン抽選結果のご案内 ／

日頃よりVpassサービスをご愛顧いただき、感謝申し上げます。

キャンペーンにご応募いただき誠にありがとうございました。抽選の結果、
あなた様がご当選されました。

Aコース：2等 パーク貸切イベントご招待
ご招待人数：2名様分
USJ 貸切イベント

【電子チケットのお受け取り方法】
1. ボタンから移動後、ご本人様確認を実施
2. 画面の指示に従い、スマートフォンで電子チケット（QRコード）を発券

［Vpassで発券する］（実際はクリック不可・伏字にしています）

QRコード発券可能期間
2026年09月04日 23時59分まで

※期間を過ぎますと賞品をお受け取りいただけません
※初めてVpassをご利用される方は、サービス利用規約にご同意いただく必要がございます。

発行者：三井住友カード株式会社

受信したメールの実際の表示画面

■ メールヘッダー解析（送信ルートと偽装判定）

※メールヘッダー詳細は個人情報保護のため非掲載

差出人：「三井住友カード」を名乗る、公式とは無関係な独自ドメインからの配信

SPF認証結果：Fail（送信元が正規のドメイン所有者として認められていません。前回記事の時点ではPassでしたが、今回はより明確な失敗として検知されています）

送信元IP：222.230.170.9（ホスト名：222-230-170-9.east.xps.vectant.ne.jp）

ホスト名から、Vectant（NTTコミュニケーションズ系）の国内法人向け回線を経由しているとみられます。前回記事では海外リージョンのクラウドサーバーが使われていましたが、今回は国内の回線が悪用されている点が異なります。

【偽装判定】：三井住友カードの正規サービスが、無関係な独自ドメイン・国内の一般法人回線からメールを送ることはありません。

■ 続報について：前回との違い

同じ「USJ貸切イベント当選」を騙るメールは、1ヶ月前にも取り上げています。件名・本文のテンプレートはほぼ同一で、受け取り期限の日付だけが更新されている一方、送信インフラ・SPF判定は大きく変わっていました。前回はメール本文のボタン部分のHTML構文が壊れており、隠れるはずの生テキストがそのまま画面に表示されるという分かりやすい”ほころび”がありましたが、今回はその点は修正されており、ボタン自体は正常に機能する形になっていました。その代わり、実際に誘導先へアクセスしてみると、Cloudflareが「Suspected Phishing（フィッシングの疑い）」という警告を表示し、それを越えて進んでも最終的には「404 Not Found」というエラーが返ってくる状態でした。攻撃キャンペーンとしてはすでに息切れしている可能性がありますが、次に届く個体が同じように甘いとは限りません。

■ フィッシングサイト詳細解析

誘導先の状況

誘導先URL（伏せ字）：hxxps://bdhxplg[.]com/vzednt/

ホスティング基盤：Cloudflare経由（実体の所在地は不明）

アクセスすると、まずCloudflareが「Suspected Phishing」という警告を表示します。「Ignore & Proceed（無視して進む）」を選ぶと先に進めてしまう仕組みですが、実際にはその先で「404 Not Found」というエラーが返ってきており、調査時点ではサイト自体が機能していない状態でした。

Cloudflareが表示した「Suspected Phishing」警告画面

警告を越えた先で表示された404エラー画面

■ 注意点と対処法

セキュリティ警告は無視しない：「Ignore & Proceed」のような選択肢が出ても、絶対に先へ進まないでください。
キャンペーンの当選確認は公式サイトから：メール内のリンクではなく、三井住友カード公式サイトまたはVpassアプリから直接確認してください。
実在するキャンペーンでも油断しない：「本物のキャンペーン名で検索できるから安心」ではなく、届いたメール自体の送信元とリンク先を必ず確認してください。
身近な人にも共有を：実在キャンペーンに便乗する手口は、家族や友人も引っかかりやすいパターンです。

本レポートの結論

実在するUSJキャンペーンに便乗した詐欺メールが、送信インフラを一新して戻ってきた続報でした。前回見られたHTML構文の壊れは修正されていましたが、着地先はすでに機能していない状態で、攻撃としては粗さも残っています。この記事のURLをコピーして、家族や同僚にも「これ気をつけて！」と共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Teal