【税務署からのお知らせ】年末調整の還付金の振込について｜e-Taxを騙る詐欺メール、PCはQRコード・スマホは偽アプリのページへ振り分け
こんにちは、Heartland-Labです。年の瀬が近づいて、会社から「年末調整の書類を出してください」と言われる季節になりました。そんなタイミングで「年末調整の還付金が確定しました」と届いたら、つい開きたくなりますよね。
今回ご紹介するのは、まさにその気持ちを狙った、e-Tax（国税電子申告・納税システム）を騙るメールです。先に結論をお伝えすると、このメールは詐欺です。ボタンは押さず、アプリも入れないでください。ボタンの先には、PCとスマホで中身を変える仕掛けがあり、スマホには不審なアプリを入れさせようとするページが待っていました。詳しく調べた結果をまとめます。
Heartland-Lab 専門調査レポート｜2026年10月27日時点
「【税務署からのお知らせ】年末調整の還付金の振込について」はe-Taxを騙るフィッシングメール
| 受信日時 | 2026年10月27日 13:02 |
| 手口 | 「還付金112,500円が確定」と伝え、「アプリをダウンロード」のボタンから、PCはQRコード、スマホは偽アプリのページへ振り分ける |
| 危険度 | ★★★★★（5/5） |
| 偽装の手の込み具合 | ★★★★☆（4/5） |
| 送信元IP | 20.127.34.226（アメリカ・バージニア州／Microsoftのクラウドのサーバー） |
| SPF／DKIM | SPF：pass（ただし送信者自身のドメインで通っているだけ）／DKIM：署名は2つ付いているが検証結果の記載がなく判定不能 |
| 誘導先 | 転送用 hxxps://jushengdk[.]com/ → PC：hxxps://suzannejsmithzu[.]com/／スマホ：hxxps://rockermoviezu[.]com/ |
| ヘッダー解析情報 | ※メールヘッダー詳細は個人情報保護のため非掲載 |
⚠ このメールは偽物です。国税庁・e-Taxからのメールではありません
e-Taxのロゴも、落ち着いた文面も、本物そっくりです。しかし、ボタンの先は、スマホに不審なアプリを入れさせるための入口でした。押す前に、このページの内容を参考にしてください。
届いた詐欺メール（本文の再現）
検索で見つけやすいよう、本文を再現します。ボタンの実際のリンク先は、うっかり押してしまわないよう「hxxps」「[.]」に置き換えています。
件名：【 税務署からのお知らせ 】年末調整の還付金の振込について 差出人：【 国税庁 確定申告課 】 <abundant@abundant[.]jshkbzyxgs[.]com> 添付：logo.png ［e-Taxのロゴ］ 【 税務 】 年末調整の還付金が確定しました 年末調整に伴う還付金が確定いたしました 確定した還付金額 112,500円 ※ 詳細はメッセージボックスをご確認ください 令和7年分の年末調整に関する処理が完了し、還付金が確定いたしました。 還付金のお受取には振込口座の登録が必要です。e-Taxアプリのメッセージボックスからお手続きください。 年末調整で控除しきれなかった分は、確定申告により追加の還付を受けられます。 源泉徴収票や保険料控除証明書などの書類は、お手元に保管ください。 e-Taxアプリでのご確認 還付金の確認や受取口座の登録には、Android版 e-Tax アプリをご利用ください。 [ Android版 e-Tax アプリをダウンロード ] ※ タップ後、Google Playストアへ移動します （ボタンの実際のリンク先：hxxps://jushengdk[.]com/r/ で始まるアドレス） 国税庁 e-Tax（国税電子申告・納税システム） ※本メールは送信専用アドレスから配信しています。ご返信いただいてもお答えいたしかねます。
▲ 実際に届いた詐欺メールの画面（2026年10月27日受信）
金額の欄は大きく、見やすく作られています。「確定した還付金額 112,500円」という数字は、読む人の目を引くための工夫です。「お受取には振込口座の登録が必要です」と続けて、アプリの入手へ進ませる流れになっています。
「年末調整の還付金」は、そもそも税務署から届くものではない
会社員の年末調整は、本来、勤務先が行うものです。例年は11月から12月ごろに書類を出し、還付があるときは、勤務先の給与や賞与とあわせて受け取るのが一般的です。税務署から直接、「振込口座を登録してください」という案内が来る形は、そもそも不自然です。
しかも、本文は「令和7年分の年末調整に関する処理が完了」と書いていますが、2026年は令和8年にあたります。今年の年末調整は、まだこれからです。10月の時点で「確定しました」と言われても、不自然だと感じて当然です。
送信ルートと偽装の判定
ここからは、詳しく調べると分かったことをご紹介します。
- 送信元は国税庁ではありません。差出人のアドレスは、国税庁と無関係の、意味のない英字が並んだドメイン（
abundant[.]jshkbzyxgs[.]com）でした。アドレスの前半と、ドメインの先頭に、同じ英単語が使われているのも特徴です。機械的に作っているとみられます。 - 実際の送信元IPはアメリカでした。受信したサーバーの記録にある送信元は
20.127.34.226で、調べるとアメリカ・バージニア州にある、Microsoftのクラウドのサーバーでした。クラウドのような貸し出し用のサーバーは、送信者本人の居場所を示すとは限りません。 - SPF（送信元の認証）は「pass」ですが、安心材料にはなりません。通っているのは、攻撃者が自分で用意したドメインの認証だからです。国税庁のドメインで認証されたわけではありません。
- DKIM（改ざん防止の署名）は、2つ付いていました。1つは攻撃者のドメインのもので、もう1つは、某大手通信事業者のドメインの署名でした。メールを送ったドメインとは別の署名で、検証結果の記録もなく、当サイトでは本物かどうか判定できませんでした。
- 経路の記録に、日本国内のドメイン名を名乗る中継サーバーが2つ入っていました。実在する第三者のドメインが悪用されている可能性があるため、名前は載せません。
- メールを作ったソフトの名乗りが、バラバラでした。「Marketing Department」という組織名、ひと昔前の古いメールソフトの名乗り、Apple製のメールソフトの名前が付いた区切りと、別々の環境の特徴が混ざっていました。1つのツールが、いくつもの名前を寄せ集めているとみられます。
- 添付のlogo.pngは、本物のe-Taxのロゴ画像です。見た目を本物らしく見せるための添付で、当サイトでは開封・解析していません。
※メールヘッダー詳細は個人情報保護のため非掲載です。
💡ここで！ 用語のかんたん解説
「クローキング」とは？
同じアドレスを開いても、開く人の環境（パソコンかスマホか、など）によって、表示する中身を切り替える仕掛けです。調べる側の目をそらし、狙った相手にだけ、本命の画面を見せるために使われます。
「提供元不明のアプリ」とは？
公式のアプリストア以外から入手したアプリのことです。スマホは、初期設定では、こうしたアプリを入れられないようになっています。その設定を変えさせるのが、攻撃者の狙いです。
「SPF」「DKIM」とは？
どちらも、メールが正しい送信元から届いたかを調べるための仕組みです。ただし、攻撃者が自分のドメインで設定していれば「通過」になってしまうため、通過＝本物とは限りません。
差出人名に仕込まれた、逆さ文字と見えない文字
画面では、差出人名は「【 国税庁 確定申告課 】」と、ごく普通に見えます。ところが、この差出人名の文字を、テキストエディタに貼り付けたり、文字コード（コードポイント）の一覧として表示したりしてみると、普通は見えない記号が、文字として姿を現します。
調べたところ、差出人名には、文字の並びを右から左へ表示させる見えない記号（U+202E）と、幅のない見えない文字が、全部で7個入っていました。実際には、「【 課告申定確 庁税国 】」と、文字が逆の順に保存されていて、その記号のはたらきで、正しい順に見えているのです。件名にも見えない文字が1個、本文にも4個、混ぜられていました。
人間の目には、何も混ざっていないように見えます。しかし、機械が「国税庁」「確定申告」といった言葉で危険なメールを見つけようとしても、並びが逆で、間に見えない文字が挟まっていると、同じ言葉として認識しづらくなります。迷惑メールの自動判定をすり抜けるための工夫とみられます。また、メールの文章だけを表示する形式のほうには、「e‑Tax」と、文字を数字で書いた指定が、変換されないまま残っていました。細かいところで、詰めが甘いのも特徴です。
ボタンの先は、PCとスマホで別のページ
ボタンには、「タップ後、Google Playストアへ移動します」と書かれています。ところが、実際のリンク先は、Google Playではなく、hxxps://jushengdk[.]com/ という、無関係のドメインでした。このアドレスは転送用で、開いた端末によって、別々のページへ振り分けられました。当サイトの確認では、同じボタンでも、PCとスマホで、表示が変わりました（クローキング）。当サイトでは、PCの画面とスマホの画面を、別々に確認しています。
パソコンで開いた場合：QRコードでスマホへ誘導
パソコンで開くと、hxxps://suzannejsmithzu[.]com/ に進みました。ここは、セキュリティソフトが「フィッシング」と警告する画面でした。
▲ パソコン側：セキュリティソフトのフィッシング警告
この警告が出た場合は、先へ進まず、画面を閉じてください。当サイトでは、調査のために警告を承知のうえで表示しています。次に、「ロボットではありません」の確認画面（reCAPTCHAに似たもの）が出ます。
▲ パソコン側：入口に置かれた確認画面
これを通ると、次のような画面に変わります。
▲ パソコン側：QRコードでスマホへ誘導する画面
「システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません」「スマートフォンで以下のQRコードをスキャンしてください」と書かれています。パソコンのセキュリティ対策を避けて、スマホへ誘導するための画面とみられます。そして、この画面の一番下には、「国税座Copyright © NATIONAL TAX AGENCY ALL Rights Reserved.」と、「国税庁」が「国税座」になっていました。本物になりすますつもりなら、せめて、役所の名前くらいは、正しく打ってほしいところです。
スマホで開いた場合：偽のPlayストア風ページ
スマホで開くと、hxxps://rockermoviezu[.]com/ に進みました。Google Playストアのアプリ紹介ページにそっくりに作られた、偽のページです。
▲ スマホ側：Playストア風に作られた偽の「eTaxアプリ」ページ
「4.8★」「1000万+ダウンロード」「インストール」と、本物のストアの表示をまねています。ところが、ページの上に出ているアドレスは、Google Playのものではありませんでした。さらに、ページの中の手順の画像には、次のような操作が示されていました。
- ステップ1：「更新」をクリックします。
- ステップ2：「接続リクエスト（VPN接続）」の画面で「OK」を押します。
- ステップ3：「この提供元のアプリを許可」のスイッチを入れます。
「提供元不明のアプリの許可」と「VPN接続の許可」は、本物のe-Taxアプリを入れるときには、必要のない操作です。スマホの安全のための設定を、自分の手で外させて、不審なアプリを入れさせる流れとみられます。当サイトでは、このアプリの取得やインストールは行っておらず、アプリの中身は確認していません。
このように、同じメールのボタンでも、見る端末によって、たどり着く画面が違います。パソコンだけで確認した人には、スマホ側の仕掛けが見えないため、見つかりにくい手口です。
注意点と対処法
- メールのボタンやリンクは押さず、QRコードも読み取りません。e-Taxを使いたいときは、アプリストアで、自分で「e-Tax」を検索して、入れてください。公式の案内は、国税庁のサイトから、自分で開き直して確認しましょう。
- 「提供元不明のアプリを許可」「VPN接続を許可」という画面が出たら、そこで必ず中止してください。本物のアプリを入れるのに、そのような操作は必要ありません。
- 年末調整は、勤務先が行うものです。「還付金が確定」と届いたら、まず、勤務先の担当者に確認しましょう。メールの案内に従う必要はありません。
- もしアプリを入れてしまったら、自分を責めずに、すぐ動いてください。まず、そのアプリを削除し、設定で「不明なアプリのインストール」の許可を元に戻します。セキュリティ対策アプリで、スマホを検査してください。そのうえで、別の端末から、各サービスのパスワードを変更し、銀行やカード会社に、身に覚えのない取引がないかを確認しましょう。不安が残るときは、スマホの初期化も、選択肢のひとつです。
- お金や契約のトラブルが心配なときは、消費者ホットライン「188」に相談できます。
ロゴも、金額も、アプリのページも、見た目は本物そっくりです。「見た目で判断しない。アプリは、公式のストアで、自分で探して入れる」という習慣が、いちばん確かな備えです。
本レポートの結論
「【税務署からのお知らせ】年末調整の還付金の振込について」は、e-Taxを騙るフィッシングメールです。「Google Playへ移動」と書いたボタンの先は、PCではQRコード、スマホでは偽のPlayストア風ページに振り分けられ、不審なアプリを入れさせる流れでした。年末調整は、勤務先が行うもので、アプリは公式のストアで、自分で探して入れます。身近な人が騙されてからでは手遅れです。このページのURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
IP・所在地の調査参考：ip-sc.net