HL-META: date=2026-09-11 | brand=イープラス（なりすまし） | sender_geo=オランダ・フローニンゲン（Google Cloud） | site_geo=unknown | spf=pass | dkim=pass | cloaking=unknown

皆さま、こんにちは。今回はイープラスを騙るメールですが、中身を分解してみたら、1通の中に難読化のテクニックが4つも同居しているという、なかなか濃い作りでした。じっくり見ていきます。

実際に届いたメールの画面

今回届いたのは、件名「【重要】ポイント交換に必要な情報が不足しています」というメールです。実際にWebメールで開くと、文章の途中にランダムな英数字が大量に混ざり込んだ、奇妙な見た目になっていました。

※メールヘッダー詳細は個人情報保護のため非掲載

ところが、同じメールを「テキスト表示」に切り替えると、謎の文字はきれいに消え、普通の文章として読めます。

実はこれ、「解読すると文字が消える」のではなく、そもそもこのメールが「HTML版」と「テキスト版」という2つの別々の文面を1通にまとめて持っている（メールの仕様上よくある形式です）ことが理由です。HTML版だけに謎の文字が仕込まれていて、テキスト版は最初から普通に書かれていました。表示を切り替えると、単純に別バージョンの本文が表示されているだけなのです。

見た目にはまったく影響を与えず、メールの中身のデータだけを毎回少しずつ変えることで、迷惑メールフィルターが「まったく同じ内容のメール」として一括検知するのを避ける狙いがあると考えられます。1通の中にここまで手を尽くしているのは、これまで扱ってきた案件の中でも特に手が込んでいる部類です。

なお、本文の宛名は「数字4文字 様」となっていましたが、これは受信したメールアドレスの数字部分がそのまま差し込まれたものでした。本名を持たない、番号だけのアドレス宛にも機械的に送りつけていることが分かります。

送信元について

送信元のドメインを調べたところ、Googleが提供するクラウドサービス「Google Cloud」上のサーバーが使われていました。これまで扱ってきた案件は、乗っ取られた住宅回線や個人サイトを踏み台にしたものがほとんどでしたが、今回は攻撃者自身がクラウドサーバーを契約し、SPF・DKIMともに正規に設定したうえで送信しているという、より本格的な配信基盤でした。「SPFもDKIMも正規に通過している＝安全なメール」とは限らないことが、今回のケースからもよく分かります。

誘導先で見えたもの

本文中の「登録情報を確認する」ボタンの誘導先にアクセスしたところ、偽の入力フォームではなく、実在するWebメールソフト「Active! mail」の「セッションの有効期限が切れています」という画面が表示されました。

これについては、はっきりと断定できる材料がないので、可能性を正直に並べておきます。ひとつは、リンクに含まれる個別の識別符号（uid）がすでに無効化・期限切れになっており、本来の偽サイトへたどり着けなかった可能性。もうひとつは、今回のような検証アクセスに対して、あえて無害な画面を返すことで正体を隠す「クローキング」と呼ばれる仕組みが働いている可能性です。いずれにせよ、今回の検証では本来の詐欺サイトの姿を直接確認することはできませんでした。

注意点と対処法

• 「ポイント交換に必要な情報が不足しています」といった件名のメールが届いても、本文中のリンクは押さないでください。
• メールの文面が一見自然でも、SPF・DKIMが正規に通っていても、それだけでは安全の証明にはなりません。
• ポイント交換について確認したい場合は、メール内のリンクではなく、イープラスの公式サイトやアプリに直接ログインして確認しましょう。