「新規端末からのログイン操作を検出しました」はセゾンカードを騙る詐欺！ガボン発・UAE中継・Tencent Cloud着地の3カ国インフラを解析

2026年9月8日

9月に入り、朝晩はようやく涼しさを感じる季節になってきました。とはいえ油断は禁物、詐欺メールの世界では夏休み明けの”繁忙期”が続いています。今回はセゾンカード（Netアンサー）を騙る一通を、送信元から着地サーバーまでじっくり追いかけてみました。

【実録】「新規端末からのログイン操作を検出しました」の正体：ガボン発・UAE中継・Tencent Cloud着地の3カ国インフラを暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)

セゾンカード・Netアンサーの会員を名乗り「海外からの不審なアクセスがあった」と装って、偽のログイン画面へ誘導する典型的なアカウント乗っ取り型フィッシングです。

※重要：本文中のリンクを開き、ID・パスワードを入力すると、Netアンサーのアカウントがそのまま攻撃者の手に渡ります。

ご覧の通り、このメールはセゾンカード・Netアンサーとは無関係の真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族やご友人のLINEグループで共有してください。

■ メールヘッダー解析（送信者情報）

件名：新規端末からのログイン操作を検出しました【重要なお知らせ】

送信者表示：“照会サポート｜会員専用”

送信元アドレス：message@skills19.mean19.trooas.info（セゾンカードとは無関係の使い捨てドメイン）

送信元IP（Received-SPF解析）：41.158.120.6（Gabon-Telecom／法人向け回線）

SPF認証：Pass（※詐称ドメイン自身への認証にすぎず、セゾンカードとの関連を示すものではありません）

※メールヘッダー詳細（宛先・Message-ID等）は個人情報保護のため非掲載

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

毎度セゾンカード サービスのご愛用を賜り、厚くお礼申し上げます。
当社のセキュリティシステムでの確認の結果、お客さまのアカウントへの海外からのアクセス履歴が判明しております。
アカウントの安全確保のため、再度ご本人様の確認手続きをお願いせざるを得ません。
もし第三者によってアカウントにアクセスした場合、カードの使用に影響が出る場合もございます。
恐れ入りますが以下のボタンより専用の確認画面にアクセスし、画面の案内に沿い必要事項をご登録いただきますようお願いします。
［ご登録者の確認を実行する］
このメール受信後24時間のうちに確認手続きを終えていただけない場合、一部の機能が当面の間ご利用いただけなくなる可能性がございます。ご質問がございました際は、公式ウェブサイト内の専用お問い合わせフォームにてご連絡願います。

▲ 実際に届いたメールの表示。太字や斜体を使い分け、いかにも公式らしい体裁に整えられている。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received: from skills19.mean19.trooas.info (unknown [41.158.120.6])

【偽装判定】：
正規のセゾンカード・Netアンサーからのメールは自社ドメインから配信されます。本メールの送信元ドメイン「skills19.mean19.trooas.info」はセゾンカードと一切関係のない使い捨てドメインで、送信元IP 41.158.120.6 はガボン共和国の法人向け回線（Gabon-Telecom、AS16058）に割り当てられています。

※「海外からのアクセス履歴が判明」という本文の主張こそ、実は送信元自身がまさに海外（ガボン）から来ているという、皮肉な一致でした。

DKIM署名：Valid（ただし攻撃者が自前で用意した詐称ドメイン上の署名で、セゾンカードの正規署名とは無関係）

■ フィッシングサイト詳細解析（多段構成）

本文中リンク（伏せ字）：hxxps://mandiw.dynamic-dns[.]net/750rka7zavli (一部伏字)

このリンクをクリックすると、まず「読み込み中です」という中継ページが一瞬表示されます。

▲ クリック直後に表示される中継用の読み込み画面。この裏側でリダイレクト処理が行われている。

誘導先URL（伏せ字）：hxxps://jx9pvd[.]info/xcoH66 (一部伏字)

着地サーバーIP：43.165.185.22

回線情報：Shenzhen Tencent Computer Systems Company Limited（AS132203／TENCENT-NET-AP-CN）。ip-sc.net上の住所表示は「東京都渋谷区」となっていますが、これは中国系クラウド事業者Tencent Cloudが東京リージョンに設置しているサーバーのため、実際の運営者情報を示すものではありません。

最終的に表示されるのは、本物のNetアンサー／SAISON IDログイン画面をかなり精巧に再現した偽サイトです。

▲ 最終的に表示された偽のNetアンサー／SAISON IDログイン画面。ロゴやレイアウトまで忠実に再現されている。

送信元がアフリカのガボン、中継が中東のUAE、着地が中国系クラウドという、3つの大陸をまたいだインフラ構成です。（ちなみにガボンの首都リーブルヴィルには特に立ち寄る予定はなかったのですが、詐欺メール経由で”地理の勉強”ができてしまいました。）どれか一つの拠点が摘発されても、他の拠点で攻撃を継続できるようにする、耐障害性を意識した典型的な構成と見られます。

■ 注意点と対処法

メール内のリンクをクリックしない：リンク先は情報を盗むための精巧な偽サイトです。
公式アプリ・ブックマークから確認：身に覚えのない場合も、必ず公式アプリまたは事前に登録したブックマークからNetアンサーへアクセスして状況を確認してください。
入力してしまった場合：直ちにパスワードを変更し、同じパスワードを他サービスで使い回している場合はあわせて変更してください。カード情報も入力してしまった場合は、セゾンカードの公式窓口へすぐにご連絡ください。
公式注意喚起の参照：セゾンカードを騙る不審なメール・SMSにご注意ください（セゾンカード公式）

■ 同日確認された件名バリエーション

今回ご紹介した一通のほかにも、同日中にセゾンカードを騙る以下のような件名のメールが確認されています。手口の系統は共通していると見られますので、あわせてご注意ください。