「本人認証サービスに関するご確認」はセゾンカードを騙る偽メール！同日のJCB詐欺と同一犯行グループとみられる手口を解析

2026年9月4日

今回はセゾンカードを騙る詐欺メールですが、実はつい先ほど扱ったJCBの記事と、切っても切れない関係にありました。

【実録】「本人認証サービスに関するご確認」はセゾンカードを騙る偽メール：同日のJCB詐欺と同一犯行グループとみられる手口を解析

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

セゾンカードの「SAISON カスタマーセンター」を騙り、本人認証（3Dセキュア）の再確認を求める詐欺メールを技術解析しました。差出人名は画面上にだけ組み立てられた見せかけで、その手口は同日のJCB詐欺メールと完全に一致していました。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★★ (5/5)

※重要：本メールはHTML形式で配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。文中のリンクは絶対にタップしないでください。

以前、セゾンカードの差出人名だけに文字反転偽装が使われた事例を扱いました。関連記事：「SAISON CARD」の正体はUnicode逆読み偽装だった

■ メールヘッダー解析（送信者情報）

件名：本人認証サービスに関するご確認のお願い

差出人表示名：SAISON カスタマーセンター（※実際は文字反転トリックによる合成、詳細は後述）

送信元アドレス：kyuxm@kyuxm.ipobushou.com

送信元IP（Received-SPF client-ip）：52.230.161.254（Microsoft Azure、米国）

受信日時：2026年9月4日 11:14

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはセゾンカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

発行日：2026年09月04日

ご登録情報の確認およびセキュリティ認証に関するお知らせ

いつもセゾンカードおよびNetアンサーをご利用いただき、誠にありがとうございます。
株式会社クレディセゾンでは、会員の皆様に安全な環境でサービスをご利用いただくため、定期的なセキュリティシステムの確認および本人認証サービスの状況点検を実施しております。
今回、お客様のカードご利用に関して、セキュリティ上の確認事項が検出されたため、念のため再認証のお手続きをお願いしております。

セゾンカード（本人認証サービス）
※ 対象カード番号(BIN)：352 / 3777 / 4541 / 525 いずれかで始まるカード
要対応期限：2026年09月04日
対応内容：3Dセキュア認証（本人認証サービス）の再登録・認証手続き

［セキュリティ認証ページへ進む］

【注意事項】
※期日までにお手続きが完了しない場合、安全保護の観点からカードのご利用を一時的に制限させていただく場合がございます。
※ご不明な点がある場合は、ブラウザから「セゾンカード公式ホームページ」または「Netアンサー」を検索し、直接ログインしてご確認ください。
※本メールは送信専用アドレスより配信されています。返信いただいてもご回答できませんのでご了承ください。

Netアンサー・会員規約・プライバシーポリシー
発行元：株式会社クレディセゾン
Copyright CREDIT SAISON CO., LTD. All Rights Reserved.

実際に届いたメールの表示画面（受信者情報は含まれません）

💡ここで！今回は件名まで文字反転トリックが拡張されていました

同日に解析したJCBの事例（「本人認証サービスに関するご確認」はJCBを騙る偽メール）では、差出人名だけに文字反転トリックが使われていましたが、今回のセゾンカードの事例では、件名にも同じ手口が拡張されていました。件名データ上の文字は「人本」「証認」「認確」という逆順の断片で構成されており、それぞれを反転させる制御記号で囲むことで、画面には正しい「本人」「認証」「確認」という単語が組み上がる仕組みです。差出人名も同様に「AS」「SI」「NO」という断片を反転させて「SAISON」を組み立てていました。同じ攻撃者が手口を少しずつ改良しながら使い回している様子がうかがえます。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=52.230.161.254; helo=kyuxm.ipobushou.com

【偽装判定】：
正規のセゾンカードからのメールは「@saisoncard.co.jp」等の公式ドメインから送信されますが、本メールの送信元「kyuxm.ipobushou.com」はセゾンカードとは無関係の第三者ドメインで、Microsoft Azure（米国）上に構築されていました。SPF/DKIMはこの送信元ドメイン自身に対してはPassしていますが、これは「攻撃者が自分のドメインを正しく設定しただけ」であり、なりすましでない証拠にはなりません。

【JCB事例との一致点】：
同日に扱ったJCBを騙るメールと比較すると、送信基盤（Microsoft Azure）、クリック追跡の中継先（Cloudflare）、最終着地インフラ（Alibaba Cloud）、使用メールソフト（Haraka）、文字反転の実装方法、本文とHTMLの内容不一致という杜撰さまで、あらゆる特徴が一致していました。同一の攻撃者グループによる仕業とみられます。

■ フィッシングサイト詳細解析

誘導リンク（メール内ボタン／クリック追跡）：
hxxps://ipobushou.com/uid_247600496?ticket=ciFNQMCj0l

このドメインはCloudflareの背後に隠れており、単体でのIP・地理情報には意味がありません。クリックされたことを記録したうえで、最終ページへ転送する役割を担っています。

最終フィッシングページ：
hxxps://90shouji.com/nJEXwsIO/

着地先IP：47.74.38.175（Alibaba Cloud）

JCBの事例と同じく、HTML本文中盤の一文だけが脈絡なく単独で表示されている

SAISON CARD公式サイトのロゴ・配色を忠実に再現した偽ログイン画面

【サイトの状態】：ここでNetアンサーIDとパスワードを入力してしまうと、攻撃者にNetアンサーのid・パスワードを盗み取られ、カードの不正利用につながる重大な被害の恐れがあります。

※メール本文中のロゴ画像は、外部URLへのリンクではなく、メール自体に直接添付（埋め込み）される形式で送られていました。JCBの事例と全く同じ手法です。

■ 注意点と対処法

「本日中に対応しなければ利用制限」という煽り文句は疑う：期限を極端に短く区切って焦らせるのは詐欺の典型的な手口です。
メール内のリンクは絶対にタップしない：Netアンサーへのログインは、必ず公式アプリまたはブックマークからアクセスしてください。
差出人名の見た目を過信しない：「SAISON」と表示されていても、実際のメールアドレスやドメインが公式のものかを必ず確認してください。
公式の注意喚起も参照：セゾンカード公式「不審なメール・SMSにご注意ください」

本レポートの結論

「SAISON」という差出人名も、画面上にだけ組み立てられた見せかけでした。同日確認したJCBの事例とインフラ・手口があまりに一致しており、同一の攻撃者グループが複数のブランドを使い回して同時多発的に攻撃していると考えられます。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Burgundy