「本人認証サービスに関するご確認」はJCBを騙る偽メール！’MyJCB’を文字反転トリックで偽装、本文とHTMLが別物という手抜きの正体

2026年9月4日

今回はJCBのカード会員サービス「MyJCB」を騙る詐欺メールです。JCB系の詐欺メールはこれまでも何度か扱ってきましたが、今回は差出人名の作り込みが、これまで見てきた中でもかなり手が込んでいました。

【実録】「本人認証サービスに関するご確認」はJCBを騙る偽メール：’MyJCB’を文字反転トリックで偽装、本文とHTMLが別物という手抜きの正体

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

JCBの会員向けサービス「MyJCB」を騙り、「本人認証サービス（3Dセキュア）」の再確認を求める詐欺メールを技術解析しました。差出人名は画面上にだけ「MyJCB」という文字列を組み立てて見せているだけで、実際の差出人はJCBとは無関係の第三者ドメインでした。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★★ (5/5)

※重要：本メールはHTML形式で配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。文中のリンクは絶対にタップしないでください。

■ メールヘッダー解析（送信者情報）

件名：【要認証】本人認証サービスに関するご確認のお願い

差出人表示名：MyJCB（※実際は文字反転トリックによる合成、詳細は後述）

送信元アドレス：troyq@troyq.aresmore.com

送信元IP（Received-SPF client-ip）：20.12.214.147（Microsoft Azure、米国）

受信日時：2026年9月4日 11:28

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはJCBを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

発行日：2026年09月04日

ご登録情報の確認およびセキュリティ再認証に関するお知らせ

いつもJCBカードをご利用いただき、誠にありがとうございます。
昨今、第三者による不正ログインやクレジットカードの不正利用が多発しております。会員の皆様の大切な資産と情報を保護するため、当社のセキュリティシステムにおいて、お客様のアカウント情報の更新および本人認証サービス（3Dセキュア）の再認証を必須としております。
つきましては、下記項目をご確認の上、期限内にお手続きを完了いただけますようお願い申し上げます。

MyJCB カスタマーセンター（本人認証サービス）
■ 確認対象：本人の認証サービス（3Dセキュア）の登録状況
要対応期限：2026年09月04日（当日中）
対応内容：本人認証手続きの実施

［本人認証手続きを行う］

【本メールに関するご案内】
・本メールはセキュリティ上の重要なお知らせのため、配信設定に関わらずお届けしております。
・上記期日までにお手続きが確認できない場合、お客様の安全を優先し、カードのご利用を一時的に停止させていただく場合がございます。
・身に覚えがない場合や、操作手順にご不明点がある際は、ブラウザから「JCB公式」と検索し、公式サイトのマイページより状況をご確認ください。
・本メールは送信専用アドレスです。直接返信はご遠慮ください。

MyJCB・会員規約・プライバシーポリシー
発行元：株式会社ジェーシービー
Copyright JCB Co., Ltd. All Rights Reserved.

実際に届いたメールの表示画面（受信者情報は含まれません）

💡ここで！本文とHTMLがバラバラって、どういうこと？

今のメールには、見た目を整えた「HTML版」と、それを簡易的に表示するための「テキスト版」の2つが同時に入っているのが普通です。ところが今回のメールでは、このテキスト版の中身が、本来HTML版の中盤に出てくるはずの一文だけがポツンと単独で入っており、挨拶も本題の説明も一切ありませんでした。実際、メールソフトによってはこのテキスト版だけが優先して表示されることがあり、今回のケースでは「つきましては、下記項目をご確認の上…」という、何が何やらわからない一文だけが画面に表示されました（画像2）。手の込んだ見た目とはうらはらに、こうした基本的な作り込みが甘い部分があるのも、詐欺メールを見分けるヒントになります。

HTML本文の中盤にある一文だけが、脈絡なく単独で表示されている

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=20.12.214.147; helo=troyq.aresmore.com

【偽装判定】：
SPF認証・DKIM署名はいずれも「Pass」でしたが、これは「troyq.aresmore.com」という送信元ドメイン自身が正しく設定されている、という意味に過ぎません。正規のJCBからのメールは「@jcb.co.jp」等の公式ドメインから送信されますが、本メールの送信元はJCBとは無関係の第三者ドメインで、Microsoft Azure（米国）上に構築されていました。SPF/DKIMのPassは「なりすましではない証拠」にはならず、「攻撃者が自分のドメインを正しく設定しただけ」であるという典型例です。

💡ここで！文字を反転させて「MyJCB」に見せる仕組み

以前の記事で、文字を丸ごと右から左に読ませる制御記号（RLO）をご紹介しましたが、今回はさらに一歩進んだ手口でした。差出人名の中には、まず「yM」という2文字、続けて「CJ」という2文字が、それぞれ個別に「右から左に反転させる」制御記号で囲まれて仕込まれていました。反転させると「yM」は「My」に、「CJ」は「JC」に見た目が入れ替わります。そこへ普通の文字「B」をそのまま続けることで、画面には「My」＋「JC」＋「B」＝「MyJCB」という、本物そっくりのブランド名が組み上がる仕組みでした。フィルターがデータ上の文字の並びをそのまま読み取ると、本来の並び順である「yMCJB」に近い形になり、”MyJCB”という単語として認識されにくくなります。

■ フィッシングサイト詳細解析（多段構成）

第1段階（メール内リンク／クリック追跡）：
hxxps://aresmore.com/uid_j9CragOl/MMCGZ?ticket=SismjwjD

このドメインはCloudflareの背後に隠れており、単体でのIP・地理情報には意味がありません。クリックされたことを記録したうえで、最終ページへ転送する役割を担っています。

第2段階（最終フィッシングページ）：
hxxps://gansuyunsen.com/adwl-dca-sad-jp/

着地先IP：8.209.245.99（Alibaba Cloud）

このURLはすでにGoogleのセーフブラウジングにより「フィッシングサイト」として検知・ブロックされています

この警告をすり抜けて実際にページが開いてしまうと、本物のMyJCBログイン画面とほぼ見分けがつかない偽ページが表示されます。

MyJCB公式サイトのロゴ・配色を忠実に再現した偽ログイン画面

【サイトの状態】：ここでMyJCB IDとパスワードを入力してしまうと、攻撃者にMyJCBのID・パスワードを盗み取られ、カードの不正利用に直結する重大な被害につながる恐れがあります。

※メール本文中のロゴ画像は、外部URLへのリンクではなく、メール自体に直接添付（埋め込み）される形式で送られていました。画像URLベースのフィルタリングを避けつつ、本物の企業からの通知メールらしく見せるための工夫と考えられます。

■ 注意点と対処法

「本日中に対応しなければ利用停止」という煽り文句は疑う：期限を極端に短く区切って焦らせるのは詐欺の典型的な手口です。
メール内のリンクは絶対にタップしない：MyJCB IDやパスワードの入力は、必ず公式アプリまたはブックマークからアクセスして行ってください。
差出人名の見た目を過信しない：「MyJCB」と表示されていても、実際のメールアドレスやドメインが公式のものかを必ず確認してください。
公式の注意喚起も参照：JCBカード公式「なりすましメール対策」

本レポートの結論

「MyJCB」という差出人名は、Unicodeの制御文字を組み合わせて画面上にだけ作り出された見せかけでした。SPF/DKIMがPassでも、送信元が本物である保証にはなりません。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Forest