「保有ポイントの有効期限」はAmex詐欺メール――米国家庭用回線から直送、文中に制作者の「テスト用サンプル」注記が残る珍事

2026年8月30日

8月最後の週末、いかがお過ごしでしょうか。今日はAmerican Expressを騙る「ポイント失効」メールをご紹介しますが、ヘッダーと本文をじっくり読み込んだところ、思わず笑ってしまう「置き忘れ」を発見しました。

Heartland-Lab（ハートランド・ラボ）専門調査レポート

「保有ポイントの有効期限」はAmex詐欺メール――米国家庭用回線から直送、消し忘れた「テスト用サンプル」の注記

「American Express」を名乗り、49,000ポイントの失効が近いと知らせるメールが届きました。送信インフラを追跡したところ、大手クラウドではなく米国の一般家庭向け回線から直接送信されていることが判明。さらに本文の最後には、フィッシングキット制作者のものと思われる「置き忘れ」まで見つかりました。

緊急性レベル	★★★☆☆（3/5）
偽装工作精度	★★★☆☆（3/5・詰めが甘い）

■ メールヘッダー解析（要約）

件名：[spam]【重要なお知らせ】保有ポイントの有効期限が近づいています

From表示：「American Express」<Bettina@shibasetsu.co.jp>

真の送信元IP：47.154.159.156（米国ロサンゼルス／家庭用ブロードバンド回線）

SPF判定：Softfail（このホストからの送信は推奨されないとドメイン所有者が明記）

受信日時：2026年8月29日夕方

※メールヘッダー詳細は個人情報保護のため非掲載

結論：これは「ポイント失効」を装う真っ赤な偽物です。American Expressの正規ドメインとは一切無関係です。

1. ■ 送信ルート及び偽装判定――家庭用回線からの直接送信
2. ■ 一番の見どころ：フィッシングキット制作者の「置き忘れ」
3. ■ 表示URLと実際のリンク先の食い違い
4. ■ 注意点と対処法

■ 送信ルート及び偽装判定――家庭用回線からの直接送信

送信者名は「American Express」となっていますが、実際のメールアドレスはBettina@shibasetsu.co.jp。Amexとは無関係の、日本企業を思わせるドメインが詐称されていました。

さらにヘッダーの「Received-SPF」欄から真の送信元IPアドレスを確認したところ、米国ロサンゼルス周辺の家庭向けブロードバンド回線であることがわかりました。逆引きホスト名には、家庭用インターネットサービスであることを示す表記が含まれています。攻撃者が乗っ取ったパソコンを踏み台にしているのか、あるいは自ら契約した回線を使っているのかは断定できませんが、大手クラウドを経由する最近の主流な手口とは対照的な、原始的な配信方法です。SPF判定も「Softfail」となっており、このホストからの送信自体、ドメイン所有者が推奨していないことが記録上明らかになっています。

■ 一番の見どころ：フィッシングキット制作者の「置き忘れ」

メール本文をよく読むと、末尾にこんな一文がそのまま残っていました。

「※本メールはテスト用途のサンプルです。実際の配信に使用する場合は、事前に社内法務・コンプライアンス部門の承認を得てください。」

これは明らかに、このフィッシングメールのテンプレートを作成・販売した「制作者側」が内部確認用に書いたメモが、消し忘れたままそのまま配信されてしまったものです。フィッシングメールが個々の攻撃者による手作りではなく、テンプレートとして量産・流通している「商品」であることが、こんな形で垣間見えるとは思いませんでした。攻撃者としては赤面ものの凡ミスですね。

■ 表示URLと実際のリンク先の食い違い

本文には正規のURL「https://www.americanexpress.com/ja-jp/account/login…」がそのまま文字として表示されていますが、実際にクリックした際の行き先（href）は別のドメインでした。

実際の誘導リンク（2種類）

hxxps://aexshorthoo26d.jeor9d［.］info/2ymmlo/hepe

hxxps://aexshorthoo26d.wxi5xd［.］info/2ymmlo/hepe

見た目の異なる2つのドメインですが、どちらも同一のサーバーIPアドレスに着地します。

この着地先IPアドレスをip-sc.netで確認したところ、AS132203「Tencent Cloud」（中国系のクラウド事業者）であることが確定しました。IPアドレス調査サービス上は「インドネシア・ジャカルタ」と表示されますが、これは以前の記事でも触れた、GeoLite2の表示だけでは実態を見誤る典型例です。

リンクをクリックした際に一瞬表示される読み込み中の画面

最終的に表示された偽のログイン画面。本物のデザインを精巧に模している

ここでユーザーIDとパスワードを入力してしまうと、アカウントを乗っ取られ、ポイントやクレジットカード情報を盗まれる危険があります。

■ 用語解説

SPF：メールの送信元が偽装されていないかを確認する仕組みです。「Softfail」は、ドメイン所有者自身が「このホストからの送信は推奨しない」と設定している状態を示します。

Tencent Cloud：中国のIT大手テンセントが提供するクラウドサービスです。世界中にサーバーを持つため、IP調査サービス上では実際とは異なる国が表示されることがあります。

■ 注意点と対処法

URLをクリックしない：表示されている文字と実際のリンク先が異なる場合があります。メール内のリンクは絶対にクリックしないでください。
送信元ドメインを確認：Amex公式サイトでは、正規のメールドメイン一覧（americanexpress.com等）を公開しています。それ以外のドメインから届いたメールはすべて偽物です。
ポイント確認は公式アプリ・公式サイトで：必ずブックマークした公式サイトまたはアプリから、ご自身でログインして確認してください。
既に情報を入力してしまった場合：速やかにカードの一時利用停止または再発行の手続きを行ってください。
不審メールの報告：不審なメールはspoof@americanexpress.comへの転送が公式に案内されています。
公式の注意喚起も参照：フィッシング詐欺にご注意（American Express公式）には、今回と酷似した「ポイント有効期限」型の実例も掲載されています。