「[American Express]ポイント交換お申し込み受付のお知らせ（Eクーポン）」は詐欺！実在企業のメールサーバーを乗っ取って送信、Tencent Cloud上に4つの予備ドメインを仕込んだ手口を解析

HL-META: date=2026-09-15 | brand=American Express | sender_geo=アメリカ | site_geo=unknown | spf=softfail | dkim=pass | cloaking=no

今回はアメリカン・エキスプレスを騙る「Eクーポンへのポイント交換完了」通知の詐欺メールです。中身を追っていくと、送信経路にも着地先にも、それぞれ違ったタイプの巧妙さが見えてきました。

届いたメールの内容

実際に届いたメールがこちらです。「90,000ポイントをApple Gift Card 50,000円分と交換した」という、具体的な数字を使った内容になっています。

実際に届いた「Eクーポンへのポイント交換お申し込み受付」を騙る詐欺メール

メール本文には次のような案内が記載されていました。

Eクーポンへのポイント交換のお申し込みを承りました。

メンバーシップ・リワードのEクーポンへのお申し込みを承りました。
下記ボックスに記載されているEクーポン番号をすぐにご利用いただけます。

Eクーポン名：APPLE GIFT CARD 50000
数量：x1
交換ポイント数：90,000
Eクーポン番号：X35MPJ****XNP8MG

詳しくはこちら：
hxxps://aexshorthoo26d.wxi5xd[.]info/2ymmlo/hepe

身に覚えのないポイント交換を「承りました」と一方的に通知し、慌ててリンクを開かせようとする典型的な手口です。9万ポイントで5万円分のギフトカードという、いかにも魅力的な数字設定になっている点にもご注意ください。

送信ルートの解析：乗っ取られた実在企業のメールサーバー

このメールで特に注目したいのは送信経路です。差出人アドレスには、国内の実在する企業のものと見られるドメインが使われていました（企業名は伏せます）。しかもDKIM署名まで正しく付与されており、一見するとその企業から正規に送られたメールのように見えます。

ところがReceived-SPFの判定は「Softfail」── つまり送信元ドメインの管理者自身が「このホストからの送信は推奨しない」と設定している状態でした。実際の送信元IPを調べたところ、米国テネシー州の地域電話会社（企業向け回線）に割り当てられたIPで、その企業の本来のメール配信基盤とは無関係な場所からの送信であることが分かりました。

リンク先の解析：4つの予備ドメインを備えた冗長化インフラ

メールヘッダーの中には、実は本文中のリンクとは別に、あと3つの誘導先URLが記録されていました。4つとも「aexshorthoo26d」という同じサブドメイン接頭辞と、「/2ymmlo/hepe」という同じパスを持っています。

セキュリティソフトが既にフィッシングサイトとして検知・遮断していた

4ドメインすべてのIPアドレスを確認したところ、いずれも同一の 43.165.196.142 に集約されていました。GeoIP上はインドネシア・ジャカルタと表示されますが、ASNはTencent（AS132203）で、実際にはクラウドサービス上に間借りしているだけの情報であり、この表示だけで攻撃者の実在所在地とは断定できません。

本物そっくりに作られた偽のログイン画面

つまり、1つのドメインがブロックされても即座に残り3つへ切り替えられる、あらかじめ用意された冗長化構成です。実際、そのうちの1つは既にウイルスバスターにフィッシングサイトとして検知・遮断されていましたが、他の3つはまだ生きている状態でした。

注意点と対処法

• 身に覚えのないポイント交換・クーポン発行の通知は、メール内のリンクを開かず、必ずアメリカン・エキスプレス公式サイトから直接ログインして確認してください。
• DKIM署名が正しく付いていても、それだけで安全とは言えません。送信元IPと送信ドメインの整合性（SPF判定）も合わせて確認する視点が重要です。
• セキュリティソフトの警告画面が表示された場合は、決して「ブロックしたWebサイトにアクセス」を選ばないでください。
• 1つの詐欺サイトがブロックされていても、同種のリンクが他にも用意されている可能性があります。ドメインが違っても油断しないでください。
• 万一ログイン情報を入力してしまった場合は、直ちにアメリカン・エキスプレスのパスワードを変更し、カード利用明細を確認してください。

まとめ

今回のメールは、実在する企業のメールサーバーが乗っ取られたと見られる送信経路と、複数の予備ドメインを備えた着地インフラという、2つの意味で「使い捨てにしない」工夫が凝らされた詐欺でした。DKIM署名の有無だけで安心せず、身に覚えのない通知は必ず公式サイトで直接確認する習慣を徹底してください。