「サポートから新しいメッセージ」はカゴヤ・ジャパンを騙る詐欺！ありがちなメールアドレスを総当たりし、BunnyCDN経由でActiveMailの認証情報を盗む手口

2026年9月7日

レンタルサーバーやホスティングサービスを利用していると、時々「サポートから」という差出人名でメールが届くことがあります。今回はその中身を検証したところ、かなり杜撰な作りながらも見過ごせない手口が見つかりましたのでご紹介します。

【実録】カゴヤ・ジャパンを騙る「サポートから新しいメッセージ」の正体：ありがちなアドレスへの総当たり攻撃を暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

カゴヤ・ジャパンを騙り、「サポートから新しいメッセージ」という件名でActiveMail（Webメール）のログイン情報を狙う詐欺メールを解析しました。実在するかどうか分からない、ありがちなメールアドレスを機械的に試す「辞書攻撃」型で、この手口自体はカゴヤに限らず他のホスティング事業者の利用者にも共通して起こり得るものです。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★☆☆☆ (2/5)

※重要：添付ファイル・本文中のリンクは絶対に開かない・タップしないでください。メールアドレスを保有しているだけで届く可能性があるメールです。

■ メールヘッダー解析（送信者情報）

件名（表示上）：サポートから（ありがちなアドレス）への新しいメッセージ

差出人表示名：Support.kagoya.（伏字）.jp

送信元IP：212.19.23.205（ロシアの住宅用ブロードバンド回線、ホスト名に「broadband」を含む）

Return-Path：空（Null Sender、大量配信スパムに典型的）

受信日時：2026年9月7日 08:41

※メールヘッダー詳細・宛先アドレスは個人情報保護のため非掲載

ご覧の通り、このメールはカゴヤ・ジャパンを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族やサーバー管理者仲間のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（宛先アドレスは伏字にしています）。

（伏字）様

将来的なサインイン時のエラーを防ぐため、サポート管理部門にて @{RECIPIENT_DOMAIN} のメールアドレスを確認させていただく必要がございます。

［メールアドレスを認証してください］

サポート.（伏字）.jp

実際に届いたメールの表示画面（受信者情報は伏字加工しています）

本文をよく見ると、「@{RECIPIENT_DOMAIN}」というテンプレート変数がそのまま表示されていることに気づきます。本来は受信者のドメイン名に自動で置き換わるはずの部分が、処理に失敗してそのまま出力されてしまったものです。今回確認した受信箱には、同じ差出人から「サポートからenter」「サポートからaccount」「サポートからadministrator」「サポートから{RECIPIENT_NAME}」など、様々な文字列を宛先名にした同型のメールが多数届いていました。実在するかどうか分からない、企業ドメインにありがちなローカルパート（admin、user、info、support等）を片っ端から試す、ドメイン単位の総当たり攻撃と考えられます。

■ 送信ルート及び偽装判定

【偽装判定】：
正規のカゴヤ・ジャパンからの通知メールが、住所不定の海外の住宅用回線から届くことはありません。SPFレコードも設定されておらず（Return-Pathが空）、送信ドメインの正当性を検証する仕組み自体が機能していないメールです。

【添付ファイルについて】：
本メールにはlogin_kagoya.htmlという偽ログインページのファイルが添付されていましたが、受信側のメールフィルターが自動的にマルウェアとして検知・ブロックしていました。当ブログでも独自の開封・解析は行っていません。

💡ここで！「辞書攻撃」って何？

辞書攻撃とは、パスワードやメールアドレスを1つずつ手作業で狙うのではなく、「よくある単語のリスト（辞書）」を用意して機械的に片っ端から試す攻撃手法です。今回の場合は、企業のドメインに対して「admin」「support」「info」のようなありがちな単語をローカルパートに当てはめ、実在するメールアドレスが1つでも見つかれば儲けもの、という考え方で大量に送りつけています。

■ フィッシングサイト詳細解析

本文はプレーンテキスト版とHTML版で、それぞれ異なる誘導先が用意されているという珍しい作りでした。

①プレーンテキスト版のリンク：
hxxps://activemai1kag0yanet-ma11.b-cdn.net/

着地先IP：138.199.36.10（ドイツ・フランクフルト／DataCamp Limited）

ドメイン名は「activemail」の“l”を“1”に、「kagoya」の“o”を“0”に置き換えたなりすましタイポスクワッティングで、正規のCDNサービス「BunnyCDN」の基盤を悪用してコンテンツを配信していました。

②HTML版ボタンのリンク：
hxxps://imcyumo.kuz-edu.ru/assets/images/activemail/index.html

着地先IP：212.75.212.6（ロシア・ケメロヴォ州／E-Light-Telecom、教育機関向けと見られるドメインが乗っ取られていると考えられます）

参考：メール内の別リンク（フィルターが直接検知）：
hxxps://kazov.life/（108.181.253.84、米国・ダラス／Psychz Networks）

セキュリティソフトが「安全ではない可能性がある」と警告し、既にブロック対象になっている

「ユーザー名前」「保つ当方としてログイン」など、不自然な日本語表示から量産型フィッシングキットの使い回しがうかがえる

さらに実際にリンク先へアクセスすると、URLの末尾（#以降のフラグメント部分）に本来サーバー側だけで扱うはずのランダムな文字列やタイムスタンプがそのまま露出していました。セッション管理用の内部データが利用者のブラウザ側に丸見えになっている状態で、フィッシングキットとしての作りの粗さがうかがえます。

■ 注意点と対処法

メール内のリンク・添付ファイルは絶対に開かない：「メールアドレスを認証してください」という不安を煽る文言には特に注意してください。
宛先が実在しない名前でも油断しない：total当たり攻撃のため、実在しないアドレス宛にも大量に届きます。自分宛でなくても情報共有として社内・組織内に周知しましょう。
ログイン確認は必ず公式のブックマークから：利用中のホスティング事業者の管理画面へは、メール内のリンクではなく、普段使っているブックマークや公式サイトから直接アクセスしてください。
不審な添付ファイルは開かない：拡張子がHTMLであっても、その中に偽ログインページが仕込まれている場合があります。
万が一情報を入力してしまった場合：直ちにメールアカウントのパスワードを変更し、利用中のホスティング事業者のサポート窓口に相談してください。

本レポートの結論

カゴヤ・ジャパンを騙り、ありがちなメールアドレスを機械的に総当たりしてActiveMailの認証情報を盗もうとする詐欺です。テンプレート変数の未置換など作りは粗いものの、BunnyCDNや乗っ取られたロシアの教育機関ドメインを組み合わせた多国籍インフラを使っており、油断はできません。この手口はカゴヤに限らず他のホスティング事業者の利用者にも起こり得ます。この記事のURLをコピーして、サーバー管理者仲間にも共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Navy