「【要ログイン】イオンカード 会員情報のご確認のお願い」は詐欺！本物のaeon.co.jpを騙るDKIM署名と、表示URLと実際の行き先が違う二重の偽装、最新の「AEON Pay ID」表記まで再現した精巧な偽サイトを解析

HL-META: date=2026-09-16 | brand=イオンカード | sender_geo=日本 | site_geo=unknown | spf=pass | dkim=unknown | cloaking=no

今回はイオンカードを騙る詐欺メールです。メールヘッダーの中に「本物のイオンのドメインを騙る署名」が仕込まれているという、なかなか手の込んだ偽装が見つかりました。着地先の偽サイトも、最近の実際の仕様変更を反映した精巧な作りになっています。

届いたメールの内容

実際に届いたメールがこちらです。「5,374ポイントのWAON POINTがある」という具体的な数字を示し、長期間ログインがないので情報確認が必要、という不安を煽る文面になっています。

実際に届いた「イオンカード 会員情報のご確認のお願い」を騙る詐欺メール

発見①：本物のイオンのドメインを騙るDKIM署名

メールヘッダーのDKIM署名を確認したところ、次のように記録されていました。

DKIM-Signature: ...; d=aeon.co.jp; ...
i=info@aeon.co.jp;

DKIMの検証対象ドメイン（d=）に、実在のイオンの公式ドメイン「aeon.co.jp」がそのまま記載されていました。しかし実際の送信元（SPFがPassしたドメイン）は全く別のドメインであり、イオンの正規の署名鍵を詐欺師が持っているとは考えられません。DKIM署名欄に本物らしいドメイン名を書き込むだけなら誰でもできるため、これは検証されずに素通りすることを狙った「見せかけの署名」と考えられます。

発見②：表示URLと実際の行き先が違う「リンクテキスト偽装」

本文には次のようなリンクが記載されていました。画面上に表示される文字列と、実際にクリックした際の行き先（href）が異なっています。

画面上の表示	hxxps://www.aeon.co[.]jp/update
実際の行き先	hxxps://ishangshe[.]com/content/xixbtxypcj

目で見える文字列はイオンの正規ドメインそのものですが、実際にはクリックすると全く別のサイトへ転送される仕組みです。メールソフトによっては、リンクにカーソルを合わせるだけで実際の行き先が表示される場合がありますので、クリック前に確認する習慣が有効です。

リンク先の解析：最新の実情報まで再現した精巧な偽サイト

本物そっくりに作られた偽のログイン画面

最終的な着地先の偽サイトは、「イオンスクエアメンバーID」から「AEON Pay ID」への名称変更という、実際に最近行われた仕様変更まで正確に反映していました。攻撃者が正規サイトの最新の見た目をよく研究し、精巧な偽サイトを作り込んでいることがうかがえます。着地先は172.67.223.58（Cloudflareの背後）でホスティングされていました。

なお、メール本文のリンクと、Heartland-Labが実際に確認した最終着地のドメインは異なっており、複数の中継サーバーを経由するリダイレクト構成になっていることが分かっています。送信基盤は20.194.161.125（Microsoft Azure・東京リージョン）でした。

注意点と対処法

• 会員情報の確認・ログインに関する通知は、メール内のリンクではなく、必ずイオンカード公式サイトや公式アプリから直接ログインして確認してください。
• リンクの表示文字列だけを見て信用せず、実際のリンク先（href）を確認する習慣をつけてください。
• メールヘッダーに本物らしいドメイン名の記載があっても、それだけでは正規のメールである証明にはなりません。
• 万一ログイン情報を入力してしまった場合は、直ちにイオンカードのパスワードを変更し、カスタマーセンターへ正規の連絡先を通じてご連絡ください。

まとめ

今回のメールは、本物のイオンのドメインを騙るDKIM署名、表示URLと実際の行き先が異なるリンクテキスト偽装、そして最新の仕様変更まで反映した精巧な偽サイトという、複数の技術的な偽装が組み合わさった手の込んだ詐欺でした。見た目のもっともらしさに惑わされず、公式サイトから直接確認するようにしてください。

イオンカード公式サイトにも、なりすましメールに関する注意喚起ページがあります。実際の事例が随時更新されていますので、合わせてご確認ください。

▶ フィッシング詐欺にご注意ください｜イオンカード公式サイト