HL-META: date=2026-11-14 | brand=SBI証券 | sender_geo=オランダ | site_geo=日本 | spf=pass | dkim=unknown | cloaking=unknown

詐欺メールの本文を再現します

実際に届いた本文を、読みやすく再現したものです。詐欺サイトのURLはクリックできないように書き換えています。

差出人：SBI証券

お客様各位

平素より格別のご愛顧を賜り、心より御礼申し上げます。

■ 緊急認証強化の実施について
現在、不正アクセスによる被害が確認されております。お客様の口座を守るため、緊急で口座認証の強化を実施いたします。
お客様のアカウントは、メール認証のみが設定されており、情報漏えいのリスクがございます。

■ 電話認証への切り替えをお願いします
不正利用を防止するため、2026年11月15日（日）以降、メール認証によるログインを停止いたします。
お客様は、直ちに電話認証へ切り替えてください。

▼ 電話認証の設定はこちら
（表示されている文字：https://www.sbisec.co.jp/login/）
（実際のリンク先：hxxps://heyccs.cfd/guide/xgmrwuhsmi）

※ログイン後、「セキュリティ設定」よりお手続きください

■ 電話認証が完了しない場合
電話認証が完了していない場合、お客様のアカウントは引取および出金が停止されます。
さらに、2026年11月15日（日）以降は、オンラインでの変更申請を一切受け付けられなくなります。
その場合は、口座開設時の金融機関へご連絡いただき、店頭にてお手続きをお願いいたします。

■ ご留意事項
・2026年11月15日（日）以降、メール認証によるログインが停止されます
・電話認証が完了しない場合、引取・出金が停止されます
・2026年11月15日（日）以降、オンラインでの変更申請は受け付けられません
・設定は無料です。所要時間は約3分です
・本メールは配信専用です。ご返信いただいても対応いたしかねます

ご不明な点がございましたら、カスタマーセンターまでお問い合わせください。

（以下、金融商品取引業者の登録表示、配信停止設定のリンク、管理番号が続く）

▲ 実際に届いた詐欺メールの画面（※メールヘッダー詳細は個人情報保護のため非掲載）

本文には、こんな不自然な点があります。

• 「11月15日（日）以降はログイン停止」「出金が停止」と、期限と不利益で急がせています。
• 「お客様各位」と、名前を呼ばない宛名です。
• 「設定は無料です。所要時間は約3分です」と、手続きの手軽さを強調しています。
• 「口座開設時の金融機関へご連絡いただき、店頭にてお手続きを」と、ネット証券の案内としては不自然な文面が混ざっています。
• リンクの表示文字は sbisec.co.jp ですが、実際の行き先は全く別のドメインです。

送信ルートと偽装判定

メールを送ってきたサーバーのIPは 137.117.222.43 で、Microsoftのクラウド（推定位置：アムステルダム）の一角でした。メール認証（SPF）は「pass」ですが、メール認証が通っていても、本物のメールとは限りません。差出人のドメイン matsui-ti.cfd は攻撃者が自分で用意したもので、「このIPから送ってよい」と自分で書いて、そのとおりに送っただけです。署名（DKIM）や、なりすましの取り締まり設定（DMARC）まで攻撃者自身のドメインで整えられており、正規のメールらしく見せる手間をかけています。

ヘッダーの最下段には、5.46.224.2（推定位置：トルコ・イスタンブール付近）から認証付きで接続した記録も残っていました。このとき名乗っていたのは、神奈川県のドメインのようなホスト名です。ただし、この種の記録は偽装できるため、参考情報として扱っています。

松井証券の名前が、そのまま残っていた

差出人のドメイン matsui-ti.cfd は、SBI証券とは何の関係もありません。「matsui」という文字は、以前松井証券を装ったメールで見られた名前と同じ系統で、ブランドを入れ替えたのに、ドメインの名前だけ消し忘れたように見えます。さらに、メールの本文も、松井証券の「緊急認証強化」とほぼ同じ構成でした。

ただし、同じ人物の仕業だと断定はできません。文面やドメインの使い回しは、他の人でも起こりえます。確実に言えるのは、ブランドだけを替えながら、同じ型のメールが繰り返し送られているということです。

それにしても、「口座開設時の金融機関へご連絡を」という一文まで、そのまま持ってきているのは、少し雑な気がします。

リンク先の詳細解析

① 見た目は本物、行き先は別のサイト

メールの「電話認証の設定はこちら」には、https://www.sbisec.co.jp/login/という文字が表示されています。本物のSBI証券のアドレスにしか見えません。ところが、クリックした先は hxxps://heyccs.cfd/guide/xgmrwuhsmiでした。行き先は 43.167.88.184（Tencent Cloud、東京）で、SBI証券の本物のサイトとは別の場所です。

見分けるには、パソコンならリンクにマウスを重ねると、画面の下のほうに本当の行き先が出ます。スマホなら、リンクを長押しすると行き先が表示されます。「見えている文字」と「本当の行き先」が違うリンクは、押さないでください。

② 今回の確認では、Chromeが警告

今回の確認では、リンク先に進もうとすると、Chromeが「危険なサイト」という警告を表示しました。

▲ リンク先を開こうとするとChromeが表示した「危険なサイト」の警告

警告を無視して進んだ結果、最終的に表示されたのは https://www.google.com/（142.251.154.119）、つまりGoogleのトップページでした。ログイン画面などは出ませんでした。

▲ 警告を越えて進んだ先に表示されたGoogleのトップページ

なぜGoogleに移動するのか、理由は断定できません。調べに来た人には無害なページを見せる仕組みかもしれませんし、別の条件を満たした人にだけ、偽のログイン画面などを見せている可能性もあります。今回の1回の確認だけでは判断できないため、「Googleに行ったから安全」とは考えないでください。

ドメインの登録状況（要点）

ドメイン登録情報の画面は掲載せず、要点だけをまとめます（時刻は日本時間）。

送信元のドメインは、メールが届く約1日半前に登録されたばかりでした。リンク先のドメインも、登録から約12日しか経っていません。どちらも同じ登録事業者で、サイトの案内役（DNS）にも同じ中継サービス（Cloudflare）が使われています。できたてのドメインを、短期間で使っている形跡です。

注意点と対処法

「口座を守るため」と言われると、あわてて対応したくなるものです。だまされそうになるのは、恥ずかしいことではありません。次のことだけ覚えておいてください。

1. メールのリンクから、証券会社のログインや設定をしない。
2. SBI証券の設定が気になるときは、いつも使っている公式アプリや、ブックマークした公式サイトから、自分で開いて確認する。
3. 「11月15日（日）以降は停止」「出金ができなくなる」とあおられても、いったん止まる。急がせるのが詐欺の常套手段です。
4. リンクは、表示されている文字ではなく、本当の行き先を確認する。（パソコンはマウスを重ねる、スマホは長押し）

関連記事

ブランドを替えながら繰り返し届く、同じ型のメールです。松井証券を装った「緊急認証強化」のメールについては、こちらの記事で解説しています。

▶ 松井証券を装う「緊急認証強化」の偽メールの解説記事

▶ 松井証券を装う別の偽メール（アンケート）の解説記事

まとめ

「不正アクセスが確認されました」「出金が停止されます」という不安をあおる知らせは、松井証券の次に、SBI証券の名前で届きました。リンクの文字は本物そっくりでも、メールのリンクから、証券口座のログインや設定をしないのが一番です。ご家族やお友達にも、ぜひ共有してください。