差出人は「アメリカン・エキスプレス」なのに本文にブランド名ゼロ？使い回しテンプレートのフィッシングメールに注意

2026年9月19日

朝晩はすっかり過ごしやすくなってきましたね。カード会社を名乗るメールが増えるこの時期、今回は少し毛色の違う”手抜き感満載”の詐欺メールが届きましたのでご紹介します。

調査レポート

判定	フィッシング詐欺（本文にブランド要素なし・使い回しテンプレート型）
件名	【重要】ご登録情報の不足項目のご確認のお願い（表示上の差出人は「アメリカン・エキスプレス」）
送信元IP	`35.212.135.8`／Google LLC（hosting）／AS43515
位置情報DB	アメリカ・オレゴン州ワスコ郡The Dalles（※Googleのデータセンター所在地であり、送信者本人の所在地ではありません）
誘導先サイト	hxxps://`tjemm[.]com`（104.21.18.44／Cloudflare, Inc.／hosting）
SPF	Pass（攻撃者自身が用意したドメインへの自己認証であり、正規性の証明にはなりません）
DKIM	署名は存在するが実在ブランドとの整合は確認できず（unknown）

※メールヘッダー詳細は個人情報保護のため非掲載

結論：このメールはアメリカン・エキスプレスからの正式なご案内ではありません。本文中のリンクは開かず、個人情報の入力もしないでください。

1. 届いたメールの内容
2. 同じ手口で立て続けに届いた他のメール
3. 詳しく調べて分かったこと：中身が空っぽの使い回しテンプレート
4. 誘導先サイトの実態
5. 注意点と対処法

届いたメールの内容

差出人表示は「アメリカン・エキスプレス」となっていますが、本文を隅々まで確認しても、ブランド名やロゴは一度も登場しませんでした。赤い帯の「重要なお知らせ」ヘッダーと、汎用的な「ご登録情報の不足」という文面だけで構成されています。

実際に届いたメール本文の画面。企業ロゴは一切使われていない

本文のテキストを引用します（改行・記号は原文ママ）。

いつもご利用いただき、誠にありがとうございます。

お客様のご登録内容を確認したところ、一部に不足している項目がございました。アカウントを継続して安全にご利用いただくため、ご確認とご登録をお願いいたします。

ご確認いただきたい項目
・本人確認書類の有効期限が未登録です
・ご登録住所が最新のものではありません
・お電話番号のご登録がありません

ご確認期限：本メール受信後7日以内
受付番号：028818037（※実際の番号は伏せています）

お手続きは以下のリンクよりお進みください。

［不足項目を確認する］

期限内にご登録いただけない場合、一部のサービスがご利用いただけなくなる場合がございます。

同じ手口で立て続けに届いた他のメール

今回ご紹介したメールの前後、1時間ほどの間に同じ差出人（表記ゆれあり）から次のようなメールも大量に届いていました。件名と差出人表記を組み合わせて量産している典型的な「波状攻撃」です。

【重要】本人確認書類の有効期限が近づいています／アメリカン・エキスプレス、American Express、AmericanExpress（表記ゆれあり）
【重要】登録情報の更新が必要です／同上
［spam］【重要】アカウント情報の再確認について（ご確認期限のお知らせ）／同上
［spam］【重要】ご登録情報の不足項目のご確認のお願い／同上

詳しく調べて分かったこと：中身が空っぽの使い回しテンプレート

メールの内部データ（ヘッダー）を確認したところ、送信元は攻撃者が用意した使い捨てドメインで、送信の正当性を示す認証（SPF）も、そのドメイン自身に対する自己申告にすぎませんでした。電子署名（DKIM）も付与されていましたが、実在のカード会社との関連は確認できませんでした。

今回とくに目を引いたのは、本文中に企業名やロゴが一つも登場しない点です。差出人の表示名さえ書き換えれば、楽天でも銀行でもカード会社でも、同じ文面のまま使い回せる汎用テンプレートだと考えられます。手間をかけてブランドを模した本格的な偽メールがある一方で、こうした「差出人名だけ変えて大量送信する」手抜き型も同時に出回っており、フィッシングメールの作りにも手口の差があることが分かります。

用語解説：リンクの記述ミスで起きた”意図せぬ不具合”

ウェブサイトへのリンクは本来「https://」から書き始める必要がありますが、今回のメールのリンクにはこの部分が抜けていました。この状態でリンクをクリックすると、外部の詐欺サイトではなく、いま開いているメールソフト自身の中の存在しないページを開こうとしてしまい、無関係なエラー画面が表示されることがあります。今回はこの記述ミスのおかげで、たまたま危険な画面にたどり着かずに済んだ形ですが、これは攻撃者の作りが粗かっただけの偶然です。エラーが出たからといって安全とは限らないので、油断しないようにしましょう。

誘導先サイトの実態

本文中の「不足項目を確認する」ボタンや、フッターの「ヘルプセンター」「プライバシーポリシー」「利用規約」といったリンクは、すべて同じドメインtjemm[.]com宛で、それぞれ受信者ごとに異なる管理用の符号（uid）が付与されていました。もっともらしいメニューに見せかけながら、実際にはどのリンクを押したかを個別に追跡できる仕組みになっていると考えられます。

このドメインはCloudflareのサービスの背後に隠れており、実際にサイトを管理している運営者の所在地は特定できませんでした。Cloudflareのような仕組みを挟むことで、攻撃者は自分の本当の居場所を隠しやすくなります。