「チームから新しいメッセージが届きました」は偽物！Active!mailログインを狙うKAGOYAなりすまし、ポルトガル発の新しい侵入口

HL-META: date=2026-09-08 | brand=KAGOYA（Active!mail） | sender_geo=PT(MEO-RESIDENCIAL/家庭用DSL回線) | site_geo=unknown(Cloudflare) | spf=none | dkim=unknown | cloaking=unknown

ご覧の通り、このメールは実在のチャットツールともKAGOYAとも無関係の真っ赤な偽物です。被害を未然に防ぐため、この解析結果を職場の同僚やご家族のLINEグループで共有してください。

■ メールヘッダー解析（送信者情報）

件名：チームから新しいメッセージが届きました

送信者表示：“あなたへのメンションがあります”

送信元アドレス：support@webmailkagoya.jp

送信元IP（Received-SPF解析）：37.189.133.103（ポルトガル・MEO-RESIDENCIAL／一般家庭用DSL回線）

SPF認証：None（SPFレコード自体が存在しない、認証を経ていない送信）

※メールヘッダー詳細（宛先・Message-ID等）は個人情報保護のため非掲載

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

今日の午前8時43分
新しいアクティビティ
（受信者アドレス）様、新しいメッセージが届いています。

管理者＋他1名
で #デザインチーム

"チームの皆さん、オンボーディング・フローの最新モックアップを共有しました。
午後2時の打ち合わせの前に、ぜひフィードバックをいただければと思います。"

スレッドに3件の返信・あなたへのメンション
サインインして、返信やリアクションをしたり、チャンネルで見逃した内容をすべて確認したりしましょう。
［会話に移動する］

このリンクはデザイン上のプレースホルダーです。セキュリティのため、Kagoya Webmailの認証済みドメインのリンクのみをご利用ください。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received: from bl28-133-103.dsl.telepac.pt (unknown [37.189.133.103])

【偽装判定】：
送信元アドレスのドメイン「webmailkagoya.jp」は、KAGOYAが実際に運用するWebメールの正規ドメイン「kagoyamail.jp」と単語の並び順を入れ替えただけの、非常に紛らわしい偽ドメインです。SPFレコード自体が存在しないため、そもそも送信元を保証する仕組みが働いていません。

※「kagoyamail」を「webmailkagoya」とひっくり返しただけの手抜き偽装ですが、パッと見ただけでは意外と気づきにくいという厄介さがあります。

送信元IP 37.189.133.103 はポルトガルの一般家庭向けDSL回線で、乗っ取られた端末が踏み台にされている可能性があります。

■ 用語解説：タイプスクワッティングとは

正規のドメイン名の文字を入れ替えたり、似た綴りに変えたりして作られた紛らわしいドメインのことです。今回の「webmailkagoya.jp」（正規は「kagoyamail.jp」）のように、単語の順番を逆にするだけでも十分に人の目を欺くことができてしまいます。

■ フィッシングサイト詳細解析（多段構成）

メール内の「会話に移動する」ボタンをクリックすると、まず正規のメール配信サービス「Kit」のクリック計測用ドメインを経由し、続いて別ドメインの「人間確認（Verifying you are human）」風のページが表示されます。

着地ドメイン（伏せ字）：hxxps://unitedconstructionservicellc[.]com/active-mail/kagoya.html (一部伏字)

このドメインは名称からすると実在の建設会社を思わせますが、実際には乗っ取られたか放置されたドメインが悪用されている可能性があります。名前解決の結果、実サーバーの所在地はCloudflareの裏に隠されており、送信元・運営者の実際の所在地は特定できませんでした。

人間確認ページを通過すると、最終的にKAGOYAのWebメールサービス「Active!mail」のログイン画面を模した偽サイトが表示されます。

送信元（ポルトガルの家庭用回線）→クリック計測サービスの悪用→乗っ取り疑いドメイン→Cloudflareという、複数の正規サービスを踏み台にしながら追跡を難しくする構成でした。メールアカウントの乗っ取りは、そこから取引先へのなりすまし送信や社内情報の閲覧にまで発展しかねないため、個人向けのフィッシングよりも被害が広がりやすい点に注意が必要です。

■ 注意点と対処法

1. 心当たりのない通知は開かない：利用していないチャットツールからの通知は、開かずに削除してください。
2. 送信元ドメインをよく見る：「webmailkagoya.jp」のように、正規ドメインと単語の順番を入れ替えただけの偽ドメインが使われることがあります。
3. メール内のリンクは使わない：KAGOYAのサービス状況を確認したい場合は、必ず日頃ブックマークしている公式サイトまたは会員ページから直接アクセスしてください。
4. 入力してしまった場合：直ちにメールアカウントのパスワードを変更し、心当たりのない送信履歴がないか確認してください。同じパスワードを他サービスでも使い回している場合はあわせて変更してください。

■ 関連記事（KAGOYA・Active!mailを騙る過去の手口）

• KAGOYA「メール受信状況のご案内」は偽物——ドイツの家庭用回線発、偽の確認画面でActive!mailログインを盗む手口
• 【警告】重要：サイバー攻撃検知のお知らせ（KAGOYA偽装）の詐欺メールを解析

本レポートの結論

ビジネスチャットの通知に見せかけて警戒心をすり抜け、正規サービスを次々と踏み台にしながらKAGOYAのWebメールログイン情報を盗む手口でした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、職場の同僚やご家族のLINEグループで「これ気をつけて！」と共有してあげてください。