「Vポイント有効期限が迫っています」という同じ雛形が、ANAと三井住友カード（中身はAmazon）で使い回されていた

2026年9月7日

同じ日に届いた2通の詐欺メールを見比べていたら、面白い（そして少し薄気味悪い）共通点に気づきました。件名がほぼ同一なのに、騙っているブランドも送信元インフラも全く別だったのです。

【実録】「Vポイント有効期限が迫っています」の同じ雛形が、ANAと三井住友カード（中身はAmazon）で使い回されていた

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

「Vポイント有効期限が迫っています」という、ほぼ同一の件名を持つ詐欺メールが2系統確認されました。1通はANAを騙り、もう1通は差出人が三井住友カードを名乗りながら本文の中身は完全にAmazonという、テンプレートの組み合わせ事故のようなメールでした。送信インフラは別物のため同一犯とは断定できませんが、同じ「雛形」が複数の攻撃者・複数のブランドで使い回されている実態が見えてきました。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★☆☆ (3/5)

※重要：いずれもHTML形式で配信されています。文中のリンクは絶対にタップ・クリックしないでください。

ご覧の通り、どちらのメールも公式とは無関係の真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ①ANAを騙る「Vポイント有効期限」
2. ②三井住友カードを騙るが中身はAmazon

①ANAを騙る「Vポイント有効期限」

■ メールヘッダー解析（送信者情報）

件名：[spam]【ANA】Vポイント有効期限が迫っています（2026年09月07日）

差出人表示名：“ANA(ALL NIPPON AIRWAYS)”

送信元アドレス：orders-newsletter@partner-notify.rescuedbyfaye.org

送信元IP：20.212.61.173（Microsoft Azure、シンガポール）

受信日時：2026年9月7日 11:18

※メールヘッダー詳細・宛先アドレスは個人情報保護のため非掲載

ヘッダーのさらに上流には、共同通信社（kyodo.co.jp）のドメインを装った不自然なホスト名（smtp.crypto-dashboard.kyodo.co.jp）が記載されていました。これは実際の経路証明ではなく、自己申告に過ぎない捏造ヘッダーです。また配信停止用リンクには、東京都のドメインを装ったと見られる不審なURLも仕込まれていました。公的機関や報道機関のドメインまで名乗りに利用する、悪質な偽装です。

■ 二段構えのフィッシングサイト

誘導先は2段階に分かれており、それぞれ異なるドメイン名でしたが、解決先のIPアドレスは同一（107.149.105.29、米国サンノゼ／Peg Tech Inc、VPN型プロキシ検出）でした。同じサーバーが2種類の偽ページを配信している構成です。

第1段階（偽ログイン画面）：hxxps://lagin-ana1-co-jp.luerige.com/ — ANA公式サイトを精巧に模倣した会員ログイン画面
第2段階（クレジット利用枠照会）：hxxps://cam-ana-jp.kmishzs.com/...creditlimit/ — ログイン情報だけでなく、クレジットカード情報まで狙う可能性がある二段構え

実際に届いたANA騙りメールの表示画面

セキュリティ拡張機能が既にブロック対象として検知していた

本物のANA公式サイトを精巧に模倣した偽ログイン画面

②三井住友カードを騙るが中身はAmazon

■ メールヘッダー解析（送信者情報）

件名：[spam]【重要】Vポイント有効期限が迫っています｜お早めにご利用ください No.51473-15573675

差出人表示名：三井住友カード（ゼロ幅文字で加工済み）

送信元アドレス：noreply-（伏字）@ahryyh.com

送信元IP：20.48.57.77（Microsoft Azure、日本）

受信日時：2026年9月7日 12:14

※メールヘッダー詳細・宛先アドレスは個人情報保護のため非掲載

まず目を引くのは、差出人が「三井住友カード」を名乗っているのに、本文の内容が丸ごとAmazon（Prime会員、Amazonギフト券、Amazon Music Unlimitedなど）になっているという致命的な矛盾です。同じ「Vポイント有効期限」の雛形を、ブランド名や本文を差し替えて使い回す過程で、組み合わせを間違えたものと考えられます。

💡ここで！「見せかけだけのDKIM署名」とは？

このメールのヘッダーには、あたかも三井住友カードの公式ドメイン（smbc.co.jp）が署名したかのような「DKIM-Signature」が記載されていました。しかし実際にSPF認証をパスしているのは、攻撃者が用意した無関係のドメイン（ahryyh.com）だけです。DKIM署名はドメインの持ち主だけが正しく生成できる暗号的な仕組みのため、攻撃者がsmbc.co.jpの秘密鍵を持っていない以上、この署名は検証すれば必ず失敗します。ヘッダーに「それらしい文字列」を書き込んで、一見信頼できそうに見せかける小細工と考えられます。

さらに、差出人表示名の「三井住友カード」にもゼロ幅文字（U+200B、U+200D等）が複数箇所に埋め込まれており、これは本日確認した楽天を騙るメールと全く同じフィルター回避の加工でした。本文中のリンクも、見た目こそ「https://www.amazon.co.jp/update/」ですが、実際のリンク先（href）は全く別のドメインというリンクテキスト偽装が使われています。

■ フィッシングサイトについて

誘導先URL：hxxps://lingyangjiayuan.com/read/vsaeguyujp

検証のためこのリンクへアクセスを試みたところ、フィッシングページではなく動画サイト（YouTube）へ転送される状態になっていました。フィッシングとしての運用がすでに終了しているか、アクセス条件によって表示内容を変える仕組みの可能性があります。

■ 注意点と対処法

メール内のリンクは絶対にクリックしない：「有効期限」「本日中」という焦りを煽る文言には特に注意してください。
差出人名と本文の整合性を確認：今回のように、差出人ブランドと本文の内容が食い違っているメールは、機械的に量産された偽物である強い証拠です。
リンクの見た目を信用しない：表示されているURLと実際の遷移先が異なる場合があります。リンクにマウスを乗せて実際の遷移先を確認する習慣をつけてください。
公式アプリ・公式サイトから確認：ポイントの有効期限は、必ずご自身でブックマークした公式サイトやアプリから確認してください。

本レポートの結論

「Vポイント有効期限が迫っています」という同じ雛形が、送信インフラの異なる2つの攻撃キャンペーンで使い回されていました。1つはANAを騙り二段階でクレジット情報まで狙う手の込んだ手口、もう1つはブランド名と本文が食い違う杜撰なミスがありながらも、DKIM偽装やゼロ幅文字といった技術的な小細工は施されていました。どちらも「Vポイント」という実在する制度を土台にしている分、油断は禁物です。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Burgundy