Apple「LIFE LOGプレミアム」自動更新通知は詐欺！実在企業のドメインを踏み台にした多段クローキングの手口を解析

HL-META: date=2026-09-26 | brand=Apple | sender_geo=unknown | site_geo=unknown | spf=pass | dkim=unknown | cloaking=yes

すっかり秋の気配が濃くなってきた週末、今回はAppleを騙る詐欺メールをご紹介します。Appleの正規サービスには存在しない架空のサブスクリプション名を使い、しかも裏側では実在する第三者企業のドメインを何段階も経由させる、なかなか手の込んだ作りになっていました。

届いたメールの内容

「LIFE LOGプレミアム」という、Appleの実際のサービスには存在しないサブスクリプションの無料トライアルが終了し、年間6,000円が自動的に課金される、という内容でした。

メール一覧の件名表示が「LIFE LOG プレ??アム」のように文字化けしていますが、これはメール本文が現在ほとんど使われていない古い日本語の文字コード（ISO-2022-JP）で作られていることが原因です。今どき正規の企業がわざわざこの文字コードを使うことはまずなく、この時点である程度の不自然さを感じ取れます。

送信ルートと偽装の手口

送信元は apple15.siamtriogroup.com（送信元IP：4.193.168.233）で、SPF認証は「Pass」でした。ですがこれも以前の記事同様、攻撃者側が用意したドメインについて、攻撃者自身が正しく設定しているだけであり、安全性の証明にはなりません。

「siamtriogroup.com」というドメイン名を調べたところ、Apple・詐欺とは無関係の、タイの計測機器（オシロスコープ）販売代理店らしきサイトがヒットしました。つまりこのメールは、攻撃者が新たに用意した詐欺専用ドメインではなく、無関係な実在企業のドメインやメールサーバーが乗っ取られた（あるいは何らかの形で悪用された）可能性が高いということです。実在企業の名前を出すこと自体は本題ではないため詳細は伏せますが、このように「本業とは全く関係のない企業のインフラが、詐欺の踏み台にされている」ケースは今後も増えていくと考えられます。

用語をやさしく解説

誘導先を詳しく見る（多段クローキングの実例）

本文中のボタンをクリックすると、まず siamtriogroup.com 上のリンクを経由します。ここで興味深いのが、機械的な調査アクセス（クローラーやセキュリティツールなど）に対しては、次のような不自然な英語のエラーメッセージを返す作りになっていたことです。

一方で、実際にメールを受け取った側の環境からアクセスすると、以下のようにGoogle Chrome自体のセーフブラウジング機能が「危険なサイト」として警告を出しました。

さらにウイルスバスターでも、着地先のURLを名指しで「フィッシング」として検知していました。

警告を無視して進んでしまうと、最終的にたどり着くのはApple公式サイトの「Apple Account（旧Apple ID）」ログイン画面を精巧に模した偽ページです。

ここにApple IDのメールアドレスやパスワードを入力すると、そのまま攻撃者へ送信されてしまいます。絶対に入力しないでください。この偽サイトのドメイン（verndrop[.]cfd）を調べたところ、確認したその日からわずか4日前に登録されたばかりの、非常に新しいドメインであることが分かりました。詐欺サイトはセキュリティソフトやブラウザにブロックされるとすぐに使い捨てられる傾向があり、こうした「作りたてのドメイン」は詐欺サイトによく見られる特徴のひとつです。

注意点と対処法

• Appleからの通知メールに記載されたリンクは、たとえ本物そっくりでもクリックしないでください。
• サブスクリプションの契約状況やApple IDの確認は、必ずお使いの端末の「設定」アプリや、ご自身でブックマークした公式サイトから行ってください。
• 身に覚えのないサブスク名（今回の「LIFE LOGプレミアム」など）が出てきた時点で、詐欺を強く疑ってください。
• お使いのセキュリティソフトやブラウザが警告を出した場合は、内容を確認しようとせず、その場でページを閉じてください。
• 万が一Apple IDの情報を入力してしまった場合は、速やかにApple公式サイトからパスワードを変更し、二段階認証の設定もあわせてご確認ください。