「社内ネットワーク（VPN）障害の再接続手順」は自社ドメインを騙る偽メール！偽Windows警告でサポート詐欺に誘導する手口を解析

2026年9月4日

今回は少し毛色の違う詐欺メールです。狙われているのは一般消費者ではなく、会社で働く人たち。しかも差出人は、受信した本人が所属する会社そのものの名前とアドレスを名乗っています。

【実録】「社内ネットワーク（VPN）障害の再接続手順」は自社ドメインを騙る偽メール：偽Windows警告でサポート詐欺に誘導する手口を解析

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

社内のIT部門を名乗り、「VPNの接続障害が発生したので、再接続ポータルから設定を更新してほしい」と持ちかける詐欺メールを技術解析しました。差出人アドレスには自社のドメインを使って送信されていたことがわかっており、リンク先では偽のWindows警告画面を通じてサポート詐欺へと誘導される、会社員なら誰でも標的になり得る手口です。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★☆☆ (3/5)

※重要：本メールはHTML形式で配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。文中のリンクは絶対にタップしないでください。

■ メールヘッダー解析（送信者情報）

件名：[緊急] 社内ネットワーク（VPN）障害発生に伴う再接続手順のご案内

差出人表示名：IT Helpdesk（受信者本人の所属組織のドメインを使用。ドメイン名は個人情報保護のため非掲載）

SPF判定：Softfail（送信元がそのドメインの正式な送信元として認められていない、という警告状態）

送信元IP（Received-SPF client-ip）：200.105.158.56（南米ボリビア）

受信日時：2026年9月4日 10:33

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールは自社の名前を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を同僚やご家族に共有して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。文中の「？」の羅列は、攻撃者が仕込んだ制御文字がメールソフト側でうまく表示できず、そのまま文字化けしてしまったものです（詳細は後述）。

社員各位

お疲れ様です。ITヘルプデスクです。

本日発生いたしました社内ネットワークおよびリモートアクセス（VPN）の接続障害につきまして、復旧作業が完了いたしました。
長時間にわたりご不便をおかけいたしましたことをお詫び申し上げます。

現在、旧接続セッションが残っている影響で一部の端末から接続できない状態が発生しております。
対象の皆様は、以下の「臨時再接続ポータル」より設定の更新を行ってください。

▼ ネットワーク再接続ポータル
https://puregade.z20.web.core.windows.net/nwkjc/

【対象者】
・正社員
・契約社員
・パートナー社員

ご迷惑をおかけいたしますが、ご理解とご協力のほどよろしくお願い申し上げます。

？？？？？？？？？？？？？？？
ITインフラストラクチャー部 ヘルプデスク
内線番号：5678
？？？？？？？？？？？？？？？

実際に届いたメールの表示画面（受信者情報・組織情報は含まれません）

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Softfail; client-ip=200.105.158.56; helo=static-200-105-158-56.acelerate.net

【偽装判定】：
差出人アドレスには受信者本人が所属する組織のドメインがそのまま使われていましたが、実際の送信元IPは南米ボリビアの汎用ホスティングサーバーでした。DKIM署名も付与されておらず、送信ドメイン認証（SPF）の結果も「Softfail」、つまり「このサーバーはこのドメインの正式な送信元として認められていません」という警告付きの状態でした。にもかかわらずメールは配信されており、正しく設定されたSPF/DKIM/DMARCがなければ、こうした「自社を名乗るだけの」なりすましは技術的に容易に成立してしまいます。

💡ここで！なぜ「自分の会社のアドレス」なのに偽物なの？

メールの「差出人」欄に表示される住所は、封筒に書く宛名のようなもので、誰でも好きなように書き換えることができます。これを防ぐために「SPF」という、送信元サーバーが本当にそのドメインの正規サーバーかどうかを裏側でチェックする仕組みがあります。今回のメールはこのチェックに「合格しなかった（Softfail）」にもかかわらず、多くのメールシステムでは警告付きで受信箱に届いてしまいます。件名や本文には、フィルターをすり抜けるための特殊な制御文字（ゼロ幅文字）も仕込まれていたようですが、文字コードの変換に失敗したのか、実際のメールでは目に見える「？」の羅列としてそのまま表示されてしまっていました。凝った小細工のはずが、逆に「いかにも怪しい」見た目になってしまった、という一幕です。

■ フィッシングサイト詳細解析

誘導リンク：
hxxps://puregade.z20.web.core.windows.net/nwkjc/hgtt49w2wr7o.html

誘導先IP：135.130.169.36（Microsoft Azure、米国）

誘導先は「web.core.windows.net」というMicrosoft Azureの正規サービス（Static Web Apps）のドメインです。無料で使える正規のクラウドサービスを土台にすることで、見慣れないドメインへの警戒心を薄れさせようとする手口です。

このURLはすでにGoogleのセーフブラウジングにより「フィッシングサイト」として検知・ブロックされています

ただし、この警告はブラウザやセキュリティソフトの状態によっては表示されない場合があります。警告をすり抜けて実際にページが開いてしまうと、以下のような偽の警告画面が表示されます。

「トロイの木馬を検出」という偽の警告と、電話を促すサポート詐欺特有の画面

【サイトの状態】：「Microsoft Windows 防護システムからの警告！悪意のあるトロイの木馬プログラムを検出」という文言とともに、画面いっぱいに偽のサポート電話番号が表示されます。実際にはウイルスに感染していませんが、慌てて電話をかけてしまうと、有料サポート契約への勧誘や遠隔操作ソフトをインストールさせられる典型的な「サポート詐欺」の被害に遭う恐れがあります。

類似の「自社ドメインを騙って社内の別部署を名乗る」パターンは、これまでにも複数確認しています。関連記事：「社内ネットワークセキュリティ監査」の偽メールに騙されるな！サポート詐欺の罠を徹底調査

■ 注意点と対処法

偽の警告画面が出ても慌てない：画面が表示されただけでは、パソコンはウイルスに感染していません。落ち着いてタブやブラウザを閉じれば、それだけで問題ありません。
画面上の電話番号には絶対に電話をかけない：本物のマイクロソフトやセキュリティ会社が、警告画面から電話をかけさせることはありません。
閉じられない場合は強制終了：画面が固まって閉じられない場合は、Windowsなら「Ctrl+Alt+Delete」からタスクマネージャーを開き、ブラウザを強制終了してください。
会社のパソコンなら、必ず別ルートで本物の情報システム部門に確認：メール内のリンクや電話番号ではなく、社内チャットや内線電話など、いつも使っている連絡手段で直接確認してください。
迷ったらIPAの相談窓口へ：IPA「偽セキュリティ警告（サポート詐欺）対策特集ページ」には、閉じ方の体験サイトや相談窓口の情報があります。

本レポートの結論

「自社のIT部門から届いたメール」というだけで安心してはいけません。差出人アドレスは簡単に偽装でき、今回のようにボリビアのサーバーから送られていても、表示上は自社ドメインに見えてしまいます。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、同僚やご家族に『こういうメールが来たら気をつけて』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Navy