HL-META: date=2026-09-10 | brand=自社ドメインなりすまし（人事労務部を騙る） | sender_geo=コロンビア（住宅用ADSL回線） | site_geo=unknown | spf=softfail | dkim=none | cloaking=unknown

皆さま、こんにちは。今回ご紹介するのは、件名と本文がまったく噛み合わない、なかなか珍しいタイプの詐欺メールです。しかも差出人は「自社」を名乗る、身近だからこそ油断しやすいパターンでした。

件名と本文がまるで噛み合わない

今回届いたメールの件名は「【マイナポータル】電子証明書の有効期限が近づいています」でした。ところが実際に開いてみると、本文はマイナポータルの話には一切触れておらず、「人事労務部の佐藤」を名乗り、通勤交通費の精算システム改定と再申請手続きを求める内容になっていました。件名だけ別のテンプレートを使い回した、典型的な粗さです。

※メールヘッダー詳細は個人情報保護のため非掲載

本文をテキストで再現すると、以下のような内容でした（受信者の勤務先を示す部分は伏せ字にしています）。

従業員の皆様

従業員の皆様お疲れ様です。
人事労務部の佐藤でございます。

この度、2026年度下半期の経費削減および管理体制強化に伴い、
通勤交通費の精算システムおよび申請ルールを改定することとなりました。

つきましては、全従業員を対象に、現在の登録情報の確認と新システムへの
移行手続きをお願いしております。
期日までに再申請が行われない場合、次月分の交通費支給が遅れる可能性が
ございますので、必ずご確認をお願いいたします。

交通費精算・新システムログインはこちら
[受信者の勤務先ドメイン]

【再申請期限】
2026年09月10日（金）18:00まで

【本件に関する変更点】
・最短ルート再計算エンジンの導入
・領収書添付ルールのデジタル化移行

ご多忙の折、お手数をおかけいたしますが、正確な給与振込のため、
迅速な対応をお願い申し上げます。

[受信者の勤務先ドメイン] 株式会社
人事労務部　労務管理チーム
内線：（下3桁省略）

「本日18:00まで」という再申請期限が、まさに受信した当日の日付になっている点も、焦らせる典型的な手口です。

送信ルートと偽装の実態

差出人アドレスは「人事（jinji）」を思わせるローカル部に、受信者自身の勤務先ドメインを組み合わせたものでした。宛先も受信者の勤務先ドメインで届いており、一見すると「社内から届いたメール」のように見せかけています。

しかしヘッダーの「Received-SPF」フィールドを確認すると、実際の送信元IPは186.121.48.213、HELO名は「adsl-pool1-213.metrotel.net.co」というコロンビアの住宅用ADSL回線であることが判明しました。自社の正規メールが、コロンビアの一般家庭の回線から送られてくることはあり得ません。

興味深いのは、攻撃者が受信者について知っているのは「メールアドレスのドメイン」だけだという点です。そのため本文中の会社名やログインリンクのラベルまで、すべて受信者のドメイン文字列をそのまま流用して自動生成されていました。会社名を知らないなりに、それらしく見せる工夫と言えます。

誘導先サイトの状況

本文中のリンク先は、Microsoft Azure Static Web Apps（`z4.web.core.windows.net`配下）に置かれたページでした。実際にアクセスを試みると、Googleセーフブラウジングが「危険なサイト」として警告を表示し、フィッシングサイトとして検出済みであることが分かりました。

警告を確認のうえ改めてアクセスしたところ、現在は「The requested content does not exist.」というエラーが返ってきており、ページ自体がすでに撤去されている状態でした。攻撃基盤としての役目は既に終えているようですが、同じキットが別のURLで再利用される可能性は十分にあります。

注意点と対処法

• 差出人が「自社ドメイン」に見えても、本文中のリンクは絶対にクリックしないでください。差出人表示は誰でも自由に書き換えられます。
• 経費精算や人事関連の案内で「本日中に手続きしないと支給が遅れる」等、期限を煽る内容は特に警戒してください。
• 心当たりのない社内通知が届いたら、メール内のリンクではなく、普段使っている社内システムに直接ログインするか、担当部署へ電話等の別経路で確認しましょう。