【詐欺メール】「89,000ポイント失効」は偽物！American Expressを装うフィッシングに注意

こんにちは、Heartland-Lab（ハートランド・ラボ）です。今回はAmerican Expressを名乗り、「89,000ポイントが失効する」と案内するフィッシングメールを解析します。

差出人表示はAmerican Expressですが、実際の送信元とリンク先はいずれも公式ドメインではありません。リンク先ではAmerican Expressを模倣したログイン画面が表示され、ウイルスバスターもフィッシングサイトとして遮断しました。

※メールヘッダー詳細は個人情報保護のため非掲載

届いたAmerican Express偽装メール

メールは「メンバーシップ・リワード・ポイント失効に関する緊急のお知らせ」と題し、保有ポイントが近く失効すると案内しています。失効対象として89,000ポイントという大きな数字を示し、利用者を急がせる構成です。

「オンライン・サービスでのポイント確認」「アイテム交換」「マイル移行」を促していますが、メール内リンクはAmerican Express公式サイトではありません。

差出人表示と実際の送信元が一致しない

差出人欄には「American Express」と表示されていますが、Return-PathとDKIM署名に使われているのはya21.bf-ehonp[.]comです。American Expressの正規ドメインから送信されたメールではありません。

SPFとDKIMはPassしていますが、これはAmerican Expressの正当性を示すものではありません。攻撃者側が用意したドメインとメールサーバーの組み合わせが認証上整合しているだけです。

送信元IPアドレスの解析

メールヘッダーから外部送信サーバーとして確認できるIPは153.120.83.85です。IPアドレスの位置情報や組織情報はデータベースごとに差が出るため、都市や運営者を断定せず、送信経路の識別情報として扱います。

誘導先ドメインの解析

リンク先ドメインはAmerican Express公式サイトとは一致しません。カード会社を名乗るメールで、企業名と無関係なドメインへログインを求める時点で危険です。

ドメインのIP、ASN、登録情報、ネームサーバー、SSL証明書などは変化する可能性があります。記事公開時点の調査結果を掲載し、断定できない項目は「確認できず」と明記します。

ウイルスバスターがフィッシングサイトとして遮断

リンク先へ接続すると、ウイルスバスターは「フィッシング詐欺」としてページを遮断しました。この警告が表示された場合は、例外登録や続行を選ばず、そのままページを閉じてください。

American Expressを模倣した偽ログイン画面

スマートフォンでは、American Expressのオンラインサービスを模倣したログイン画面が表示されました。ユーザーIDやパスワードを入力すると、攻撃者へ送信されるおそれがあります。

見た目やロゴが本物に似ていても、アドレスバーのドメインが公式と異なれば偽サイトです。メールのリンクからではなく、公式アプリまたは自分で登録したブックマークからアクセスしてください。

本文末尾に残った「テスト用途のサンプル」

今回のメールには、本文末尾に「本メールはテスト用途のサンプルです。実際の配信に使用する場合は、事前に社内法務・コンプライアンス部門の承認を得てください」という不自然な文章が残っています。

これは正規メールである根拠にはなりません。むしろ、配信用テンプレートや生成された文面を十分に確認せず、そのまま悪用した可能性を疑わせる編集ミスです。

入力してしまった場合の対処

1. American Expressの公式サイトまたは公式アプリからパスワードを変更する
2. 同じパスワードを使い回しているサービスも変更する
3. 利用明細と登録情報に不審な変更がないか確認する
4. カード番号やセキュリティコードを入力した場合は、カード裏面の正規窓口へ連絡する
5. 不審な利用があれば速やかにカード会社へ申告する

まとめ

今回のメールは、89,000ポイントの失効を口実にAmerican Express風の偽ログイン画面へ誘導するフィッシングです。差出人ドメイン、リンク先ドメイン、送信経路のいずれもAmerican Express公式とは一致しません。

ポイント失効やアカウント停止を告げるメールを受け取っても、メール内リンクから確認しないことが最も重要です。公式アプリやブックマークからログインし、実際のポイント残高やお知らせを確認してください。