【続報】「ありがとうのポイントが届いています」楽天ポイント詐欺が「特別ポイント進呈」で新訴求、同日6通の波状攻撃——韓国経由Mailgun踏み台・偽栃木HELO・Tencent Cloud着地の3か国インフラを解析

HL-META: date=2026-09-08 | brand=楽天カード（楽天ポイント） | sender_geo=KR(Mailgun経由)/US(実投稿元・偽栃木HELO) | site_geo=CN(Tencent Cloud、GeoLite2上はJP表示) | spf=pass | dkim=pass | cloaking=unknown

ご覧の通り、このメールは楽天カードとは無関係の真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族やご友人のLINEグループで共有してください。

■ メールヘッダー解析（送信者情報）

件名：ありがとうのポイントが届いています（件名中に見えない特殊文字が混入）

送信者表示：“【Rakuten】”

送信元アドレス：outlook@outlook.acigloballtd.com（楽天とは無関係のドメイン）

経由サービスのIP（Received-SPF解析）：20.196.209.22（正規メール配信サービス「Mailgun」／韓国リージョン）

実際の投稿元IP：199.183.150.161（アメリカ／HELO名「mail.e55e7ae.tochigi.jp」は栃木県を装うが実在しない偽ホスト名）

SPF認証：Pass（※Mailgun自身への認証にすぎず、楽天との関連を示すものではありません）

※メールヘッダー詳細（宛先・Message-ID等）は個人情報保護のため非掲載

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

特別ポイント進呈のお知らせ

長期ご利用感謝・特別進呈
15,000ポイント
（15,000円分に相当）
条件なし・そのままお受け取りいただけます

［Android版アプリでポイントを受け取る＞］

いつも楽天カードをご利用いただき、誠にありがとうございます。お客様の長期のご利用に感謝申し上げますとともに、ささやかながら特別ポイントを進呈いたします。

進呈ポイント
特別進呈ポイント：15,000pt
金額相当：15,000円分
受取条件：なし（全額無条件）

ポイントの付与
お受け取り確認後7営業日以内に順次付与いたします。付与が完了しましたらメールまたはSMSにてお知らせいたします。

受取期限
特別進呈ポイントの受取は2026年9月20日23:59までです。期限を過ぎますと進呈の権利が失効いたしますので、お早めにお受け取りください。

■ 件名に仕込まれた「見えない文字」の見つけ方

今回の件名「ありがとうのポイントが届いています」には、目には見えない特殊な文字（ゼロ幅文字）が文字と文字の間に紛れ込まされていました。これは迷惑メールフィルターが特定の文字列をそのまま照合する仕組みを、すり抜けようとする手口です。

スマートフォンの通知一覧やメール一覧で件名を見たとき、文字の間隔が不自然に空いていたり、改行の位置が妙にずれていたりする場合は、こうした見えない文字が仕込まれているサインです。気になる場合は、件名や本文をメモ帳などのテキストエディタに貼り付けたり、メールソフトの「ソースを表示」機能で元のコードを確認したりすると、通常の文字とは違う特殊な文字コード（エスケープシーケンス）が挟まっていることを確認できます。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received: from mail.e55e7ae.tochigi.jp ([199.183.150.161])
(Authenticated sender: mailer624@outlook.acigloballtd.com)
by outlook.acigloballtd.com (Mailgun) with ESMTPSA

【偽装判定】：
攻撃者は正規のメール配信サービス「Mailgun」に自前のアカウントで認証してから一括配信しており、Mailgun自体は正規サービスのため、これ単体ではSPF認証がPassしてしまいます。しかしヘッダーを一段深く辿ると、実際にMailgunへ投稿してきた大元のIPアドレスと、そのとき名乗っていたホスト名が記録として残っていました。

※そのホスト名は「mail.e55e7ae.tochigi.jp」と、いかにも栃木県の何かのメールサーバーを思わせる名前でしたが、実際の投稿元IPはアメリカで、そのホスト名自体も現在は存在しません。地名を借りるだけ借りて、実体は影も形もないという、なかなか大胆な偽装でした。

さらにDKIM署名には、送信経路とは無関係な中国の大手ウェブメールサービス「163.com」宛の署名も同居しており、フィッシングキットの使い回し跡がうかがえます。

■ フィッシングサイト詳細解析

ボタンのリンク先（伏せ字）：hxxps://alaled[.]com/blog/j3c4K6lqFw (一部伏字)

着地サーバーIP：43.165.171.134（既知パターン：Tencent Cloud、住所表示は東京都渋谷区だが実運用は中国系クラウド）

ご提供いただいた最終フィッシングサイト：hxxps://raku-point-unda[.]com/ (一部伏字)（Google Cloud上で稼働、現時点でどこからもブロックされない危険な状態）

誘導の手口は9/4に解析した過去記事と同様で、Google公式のPlayストアそっくりの偽ページから、正規のアプリではないものをインストールさせようとするものです。

なお、メールには「4vTP59N1.ekf」という添付ファイルも付いていましたが、開封・実行は一切行っておりません。ファイルの先頭部分を確認したところ、意味のある形式のデータではなく、ごく短い無意味な文字の羅列でした。おそらくメール1通ごとにこの部分だけを変え、メール全体のハッシュ値（電子的な指紋）を毎回変化させることで、単純な指紋照合型のスパムフィルターをすり抜けようとする水増し工作と考えられます。

■ 同日確認された件名バリエーション（波状攻撃）

同じ朝、ほぼ同時刻に次のような件名の類似メールが確認されています。手口の系統は共通していると見られますので、あわせてご注意ください。

• 無条件でポイントをもらえる（09:39:15）
• 会員ランクアップのご報告（09:36:14）
• 会員ランク変更のお知らせ（09:35:48）
• ダイヤモンド会員特典のご案内（09:34:57）
• 特別進呈のお知らせ（09:34:28）

■ 注意点と対処法

1. URLをクリックしない：リンク先は情報を盗む、または不正なアプリをインストールさせるための偽サイトです。
2. アプリはGoogle Play公式アプリからのみ：メール内のリンクからではなく、必ずスマートフォンの公式Playストアアプリから検索してインストールしてください。
3. 件名の見た目のズレに注意：件名の文字間隔や改行が不自然な場合、見えない文字が仕込まれている可能性があります。
4. 誤ってインストールしてしまった場合：直ちにそのアプリをアンインストールし、セキュリティソフトでスキャンを行ってください。楽天カードのログイン情報を入力してしまった場合は、パスワードを変更してください。

■ 関連記事（同一系統の偽Google Playストア誘導）

• 「Androidスマホをお使いですか？」は罠でした——楽天ポイント15,622pt詐欺メールが仕込む”偽Google Playストア”の正体

本レポートの結論

正規のメール配信サービスを踏み台にし、実際の投稿元を偽の地名入りホスト名で隠しながら、同日6通もの波状攻撃を仕掛けてきた一件でした。前回の偽Google Playストア誘導の記事と合わせてご確認ください。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。