「UCカード10月お支払金額のお知らせ」は偽物でした｜アットユーネットのログインを装うフィッシング

HEARTLAND-LAB SECURITY RESEARCH UNIT

調査レポート：概要

解析対象：UCカード（アットユーネット）を騙る「UCカード10月お支払金額のお知らせ」メール

結論：これは詐欺メールです。リンクは開かず、アットユーネットのIDやパスワードを入力しないでください。

※メールヘッダー詳細は個人情報保護のため非掲載

🚫 これはUCカード（アットユーネット）からのメールではありません（偽物です）

リンクは開かず、アットユーネットのIDやパスワードを入力しないでください。

▲ 実際に届いたメールの画面（表示されているURLは公式風ですが、実際の行き先は別のドメインです）

💡ここで！ ちょっと難しい言葉をやさしく解説

SPF（エスピーエフ）の「softfail」：「このサーバーからのメールは、正規の送信元とは認められないので、あまり信用しないで」という、やや弱めの判定です。「fail（失敗）」ほど強くはありませんが、passとは違い、安心材料にはなりません。

踏み台：他人の機器（乗っ取られたパソコンやルーターなど）を経由して、攻撃をしかける方法です。元をたどっても、本当の犯人には行き着きにくくなります。

クローキング：見に来た相手によって、表示する内容を変える細工です。調べる人には無害な画面を見せ、狙った相手にだけ偽サイトを見せる、といった使われ方があります。今回は確認した範囲では、この細工はありませんでした。

① 表示されたURLと、実際の行き先が違う

本文の「ご利用明細のご確認はこちら」には、アットユーネットのログインページ風のURLが表示されていました。ところが、クリックした先は hxxps://kaifactory.qxebnz.asia/H80AoO でした。表示は公式、行き先は全く別のドメインという作りです。

メールの画面上では、青いリンクの文字が公式のURLに見えるだけです。マウスを重ねるか、リンクを長押ししてみないと、行き先の違いに気づけません。

② 本物の文面を、丸ごと写している

この詐欺メールは、本物のお支払案内のメールをほぼそのまま写して作られています。「メール番号：UC_2603_18」、クレディセゾンの社名と住所、業務委託を説明する注意書きまで、一通り入っています。日本語の不自然さも、ほとんど見当たりません。

その丸写しが、思わぬ矛盾を生んでいます。本文には「お支払金額の変更は2026年9月24日(木)昼12:00までにお願いします」とあります。ところが、このメールが届いたのは9月29日で、締め切りの5日後です。本物の案内にも「受信されるタイミングによっては受付期間を過ぎている場合がございます」と書かれているので、これだけで偽物と断定はできません。それでも、期限切れの案内を、堂々と期限後に届けてくる律儀さは、さすがです。

なお、本文の下のほうにある案内リンクの表示は、公式のURLです。偽物とは、リンクの行き先がすべて偽サイトかどうかで見分けます。

③ 行き先のドメインは、2026年2月に登録されたばかり

リンク先のドメイン qxebnz.asia のWhoisを調べると、登録日は2026年2月4日（約8か月前）、期限は2027年2月4日でした。登録事業者は Chengdu West Dimension Digital Technology、ネームサーバーは 363.HK のもので、登録者の情報は非公開でした。

このドメインが置かれたサーバーは 43.165.128.97 で、ip-scの調査ではTencent Cloud（AS132203）のサーバーでした。同じサーバーに、他のサイトが198件同居しています。位置は日本の東京都と表示されますが、運営しているのは中国系のTencent Cloudです。ip-scには、このIPに対して「怒り」の評価が5つと、1件のコメントも付いていました。

リンクの形は kai○○○.○○○○.asia/英数6字 で、同じ日に確認したセゾンカードを騙る詐欺メールと同じ形です。使い回しているのか、たまたま似ているのかは分かりませんが、同じ作り手の可能性があります。一方で、メールの作りは、今日届いているポイント失効を装う一連の詐欺メールとは別のものでした。

④ 開くと、ウイルスバスターがブロック。その先には本物そっくりの画面

リンクを開こうとすると、当サイトの環境ではウイルスバスター クラウドが「このWebサイトは、安全ではない可能性があります」「脅威の種類：フィッシング」と表示し、ブロックしました。調査のため、ブロックを承知のうえで開いてみました。

開くと、最初に「読み込み中…」とだけ表示されます。しばらくすると、次のログイン画面に切り替わりました。

画面には、アットユーネットのロゴ、IDとパスワードの入力欄、「新規会員登録」のボタン、フッターの社名まで、そっくりに再現されていました。ここに入力したIDとパスワードは、そのまま詐欺師に渡ります。入力後にどこへ進むのかは、当サイトでは確認していません。

当サイトが確認した範囲では、PCとスマホで表示を変える細工（クローキング）はなく、アクセスした人には同じ画面が表示されました。見た目が本物そっくりなので、開いてしまうと気づきにくい作りです。

⑤ 金額も、脅し文句もない「静かな」フィッシング

「アカウントを停止します」「今すぐ確認してください」といった、いかにも詐欺という文言は一つもありません。書かれているのは、お支払日と、明細を見るためのリンクだけです。読んだ人に、疑う理由を与えないことが狙いだと考えられます。脅されないから安全、というわけではありません。「明細を見るために、ログインする」という普段どおりの行動が、そのまま偽サイトへの入口になります。

このメールを受け取ったら

• リンクは開かず、返信もせず、そのまま削除して大丈夫です。
• メールのリンクからアットユーネットにログインするのはやめてください。ご利用明細を見たいときは、ブックマークしておいた公式サイトや、公式アプリから確認してください。
• リンクの表示が公式のアドレスでも、そのまま信じないでください。パソコンでは、リンクにマウスを重ねると実際の行き先が確認できます。
• 差出人のアドレスも確認してください。本物は、mail.uccard.co.jp や mail.saisoncard.co.jp のドメインです（公式の注意喚起ページに掲載）。
• UCカードも、アットユーネットをかたるフィッシングへの注意喚起ページで、注意を呼びかけています。
• 身近な方にも、このページを共有してあげてください。

もし、IDやパスワードを入力してしまったら

気づいた時点で動けば、被害を小さくできます。責める必要はまったくありません。落ち着いて、次の順番で対応してください。

• 公式サイトや公式アプリから、すぐにアットユーネットのパスワードを変更してください。同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
• 身に覚えのない利用がないか、カードの利用明細を確認してください。不安があれば、カード裏面の連絡先や公式サイトの窓口へ連絡してください。
• カード番号なども入力してしまった場合は、カード会社へ連絡して、利用の停止や再発行を相談してください。
• 不安なときは、警察相談専用電話（#9110）や消費者ホットライン（188）に相談してください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net　配色テーマ：Forest