「【重要】スタ・スタ払計の自動更新は…」は詐欺メール｜ウイルス対策ソフトの更新を装い、偽の警告と電話番号に誘導するサポート詐欺

朝の受信箱を開いたら、「ウイルス対策ソフトが自動更新されました」という身に覚えのない請求のお知らせが届いていた。そんな経験はありませんか。今朝届いたのは、件名の日本語がところどころ崩れた、少し不思議なメールです。

結論からお伝えします。これは詐欺メールです。メールのリンクは押さないでください。リンク先には偽のウイルス警告が出て、画面の電話番号へかけさせようとする「サポート詐欺」が待っています。

調査レポート：概要

※メールヘッダー詳細は個人情報保護のため非掲載

届いた詐欺メールの文面

実際に届いた1通の文面です。会社名もソフト名の固有名も出てこないまま、「契約が自動更新され、9,800円が請求された」とだけ告げる、短い内容です。

件名：【重要】スタ・スタ払計の自動更新はまして提得審接のお報・スタ・スタ払計（果料号::ORD-20261013-8745）
差出人：noreply@（自社ドメインなりすまし）

お客様各位

平素は弊社サービスをご利用いただき、誠にありがとうございます。

ウイルス対策ソフト（年間サブスクリプション）の契約期間満了に伴い、ご登録の決済方法にて自動更新処理が完了いたしましたのでお知らせいたします。

【ご注文・ご契約内容】
・サービス名：クラウドウイルス対策セキュリティ パック（年間版）
・注文番号：ORD-20261013-8745
・更新日：2026年10月13日
・ご請求金額：¥9,800（税込）
・更新状況：自動更新完了

※自動更新の停止・返金リクエストおよび領収書の発行は、発行後24時間以内に以下の専用ポータルよりお手続きを行ってください。

【契約情報の確認・キャンセル・領収書発行はこちら】
　リンク先：hxxps://vofemugida[.]z5[.]web[.]core[.]windows[.]net/5t9pv/

▲実際に届いた詐欺メールの画面（最後の1行がリンクになっている）

このメールの「おかしな点」

• 件名の日本語が崩れている：「スタ・スタ払計の自動更新はまして提得審接のお報」と、意味の通らない文字が並んでいます。中国語で使う簡体字の「审」も混ざっています。本文の「ウイルス対策ソフトの更新」という内容とも合っていません。
• どの会社かが書かれていない：サービス名も「クラウドウイルス対策セキュリティ パック」という一般的な名前だけです。実在の会社からの請求なら、会社名がないことはまずありません。
• 宛名が「お客様各位」：契約者本人に送る請求の通知なら、本来は契約者の名前などが入ります。
• 「24時間以内」と急がせる：「停止・返金は発行後24時間以内に」と、考える時間を与えない書き方です。
• 差出人は、受け取る側のドメインへのなりすまし：差出人のアドレスが、メールを受け取った側と同じドメインに見せかけてあります。自分のドメインから送ったことにする、よくある手口です。

本文は「数字の羅列」で隠されていた

メールの画面では普通の日本語として読めますが、メールのソースを調べると、日本語の文字がすべて「数値文字参照」という書き方に置き換えられていました。たとえば「お客様各位」の部分は、次のように書かれています。

お客様各位

数字の一つひとつが、文字の番号です。HTMLの表示ではこれが元の文字に戻るため、人の目には普通に見えます。一方で、迷惑メールを判定する仕組みが「請求」「更新」といった言葉を探しても、数字の羅列としか見えません。日本語の単語での検知をすり抜けるための細工と考えられます（推測です）。

なお、このメールには、文字をテキストとして表示する側の部分もありました。そちらをメールソフトの機能で開くと、下のように数字の羅列のまま表示されます。

▲メールのテキスト側を表示した画面。日本語の文字がすべて数字の羅列になっている

件名についても、ゼロ幅文字などの見えない文字が入っていないか、件名の符号化された部分（Base64）を復号して一文字ずつ確認しました。結果は、見えない文字ではなく、上のとおり日本語と簡体字が混ざった並びでした。

送信ルートと偽装の判定

• 本当の送信元：189.240.48.149。調べると、メキシコ・メキシコシティの通信事業者（Uninet）の企業向け回線でした。脅威レベルは「低」と表示されましたが、これはその時点で他の悪用報告が少ないという意味で、安全という意味ではありません。
• SPF（送信元の正しさを確かめる仕組み）はSoftfail：差出人のドメインの持ち主は、この送信元からのメールを「推奨しない」と示していました。つまり、なりすましの可能性が高い結果です。
• DKIM（改ざんされていない印）：署名は付いていませんでした。
• iPhoneから送ったように見せている：送信ソフトの名前が「iPhone Mail」で、接続時の名乗りも「smtpclient.apple」でした。しかし、実際の接続元はメキシコの回線で、これは送る側が自由に名乗れる部分にすぎません。
• 経路の記録に作り物がある：「受け取る側のドメインのサーバーを経由した」と書かれた行がありますが、その時刻（アメリカ西海岸の時間帯）は、実際に受信した時刻と6時間以上ずれており、内容も食い違っています。送る側が書き足した偽の記録と考えられます。

※メールヘッダー詳細は個人情報保護のため非掲載

リンク先をたどると、偽のウイルス警告が出る

メールのリンクをたどって最終的に表示されたページを、2つの画面に分けてご紹介します。画面に表示された電話番号には、絶対にかけないでください。当サイトでは、電話もしておらず、画面の指示にも従っていません。

▲アクセスした際にChromeが表示した「危険なサイト」の警告画面

▲偽の警告画面。電話番号が3か所に出ている（実際のMicrosoftの画面ではありません）

日本マイクロソフトの注意喚起のページでは、Microsoftのエラーや警告画面に電話番号が表示されることはない、とされています。電話番号が出ている時点で、偽物と判断できます。

偽サイトの正体：「windows.net」だから安心、ではない

• リンク先のドメイン（hxxps://vofemugida[.]z5[.]web[.]core[.]windows[.]net/）は、末尾が「windows.net」です。これはMicrosoftが登録しているドメインで、登録情報でもMicrosoftの名前が確認できます。
• ただし、頭の部分は別人が自由に作れる：「web.core.windows.net」は、Azureの「Webサイト公開機能」で使われるドメインで、利用者が自分のサイトを置くと、頭に好きな名前が付きます。攻撃者は、この仕組みで偽サイトを作ったとみられます。URLに「windows.net」とあっても、Microsoft自身のページとは限りません。
• サーバーの場所は特定できていません：今回は、偽サイト自体のIPアドレスの所在を確認できていないため、場所は書きません。

同じキットの別のメールと、関連記事

同じ朝の6時28分にも、同じ仕組みとみられるメールが届いていました。件名は「【重要】ウイルス対策ソフトの自動更新およびご請求完了のお知らせ（注文番号：ORD-20261013-8941）」と、こちらは普通の日本語です。ただし、本文にはリンクがありませんでした。注文番号だけが変わる、使い回しの型とみられます。

サポート詐欺を扱った、これまでの記事はこちらの一覧からご覧いただけます。

注意点と対処法

身に覚えのない請求は、誰でもあわててしまいます。落ち着いて、次のことを思い出してください。

• メールのリンクは押さず、請求の内容を確認したいときは、契約している会社の公式アプリや、保存しておいた公式サイトのブックマークから確認します。
• 警告画面が出ても、表示された電話番号にはかけないでください。本物のMicrosoftの警告に、電話番号は出ません。
• 電話をしてしまっても、遠隔操作ソフトは入れないでください。指示されても、お金の支払いやギフトカードの購入はしないでください。
• 画面が閉じられないときは、「Ctrl」「Alt」「Delete」を同時に押してタスクマネージャーを開き、ブラウザーを終了します。閉じ方の資料は、IPAのサポート詐欺のページにもあります。
• もし電話してしまった、お金を払ってしまったという場合も、責める必要はありません。すぐに警察のサイバー事案の相談窓口（消費生活のご相談は消費者ホットライン188）や、クレジットカード会社へ連絡してください。

まとめ

「スタ・スタ払計の自動更新は…」というメールは、ウイルス対策ソフトの更新を装った詐欺メールです。件名は日本語が崩れ、本文は数字の羅列で隠すという細工がありましたが、狙いは、偽の警告画面の電話番号にかけさせることでした。URLに「windows.net」とあっても、Microsoftからのものとは限りません。ご家族やお友だちにも、ぜひ教えてあげてください。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの調査には IP調査兵団（ip-sc.net） を参照しています。