【脅威レベル高】American Express「ご登録情報の再確認」詐欺——不審な添付ファイルとワードサラダの二重回避工作、誘導先はip-sc.netで攻撃元と警告表示

ご覧の通り、このメールはAmerican Expressを装った真っ赤な偽物です。誘導先は「攻撃元」として明確に危険判定が出ています。この解析結果をご家族にも共有して注意喚起してください。

• 1. ■ メール本文の再現
• 2. 💡 ここで！豆知識：「ワードサラダ」による回避工作とは
• 3. ■ 送信ルート及び偽装判定
• 4. ■ フィッシングサイト詳細解析
• 5. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。※メールヘッダー詳細は個人情報保護のため非掲載です。

【AMERICAN EXPRESS】ご登録情報の再確認

この度は、アメリカン・エキスプレスのカードをご利用いただき、
誠にありがとうございます。

昨今の第三者不正利用の急増に伴い、弊社では「不正利用監視システム」を
導入し、24時間365日体制でカードのご利用をモニタリングしております。

このたび、ご本人様のご利用かどうかを確認させていただきたいお取引が
ありましたため、誠に勝手ながらカードのご利用を一部制限し、
ご連絡させていただきました。

つきましては、下記リンクよりご利用確認にご協力をお願い申し上げます。

［ご利用確認はこちら］

ご回答がいただけない場合、カードのご利用制限が継続される可能性が
ございます。ご不便をおかけいたしますが、ご理解のほどお願い申し上げます。

※本メールは自動送信システムより配信されています。
ご返信いただいても対応できませんのでご了承ください。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
発行者：アメリカン・エキスプレス・インターナショナル, Inc.
掲載内容の無断転載・再配布は禁止されています。
© 2018 American Express International, Inc. All rights reserved.
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

■ 用語解説

ワードサラダ：スパムフィルターの検知を回避するために、メール本文やHTMLソースの中に、本来の内容とは無関係な単語や文章を大量に紛れ込ませる手口です。人間の目には見えない、あるいは気づかれにくい形で仕込まれることが多く、フィルター側が「正常な文章の割合が高い」と誤認識するよう仕向けます。

発見方法：メールをテキスト形式で開いたり、HTMLソースを表示したりすると、本文の合間にランダムなタグや無関係な単語が挿入されているのが分かります。

今回の手口：本文のHTMLソースには、意味のないランダムな英数字のタグ（例：<uuvg clwbh="prtneaf">）が大量に挿入され、さらに添付ファイルの中身には、中国語・英語の文章の断片が延々と詰め込まれていました。

送信元メールアドレス：admin@ekhf.bzociknr.com（表示名「American Express」）

American Expressの正規ドメインとは全く関係のないドメインです。

送信元IP（Received-SPF: client-ip）：
20.78.129.246（SPF認証：Pass）

【偽装判定】：
このIPアドレスはMicrosoft社のクラウド基盤（Azure）に割り当てられており、ip-sc.netの詳細確認でも日本国内（大阪）のホスティング拠点であることを確認しました。正規のAmerican Expressのサーバーとは一切関係がありません。

■ 気になる矛盾点：メールヘッダーの送信日時が「+0800」（中国・シンガポール標準時）で記録されていました。同日に確認したPayPay/Yahoo!偽装メールと同じ特徴で、日本語話者を装いつつ実際の運用体制は必ずしも日本国内に限らないことをうかがわせます。

■ 誘導先URL（伏せ字）

hxxps://www.kangshifusifangcai［.］com/

リンク先IP：23.94.253.196（HostPapa／AS-COLOCROSSING、アメリカ・イリノイ州エルクグローブビレッジ）

ip-sc.netの調査ではこのIPアドレスが「脅威レベル：高」「サイバーアタックの攻撃元、攻撃対象：Web」と明確に警告されています。誘導先は、American Express Japanの公式サイトを非常に精巧に模倣したログイン画面になっており、ユーザーID・パスワードの入力欄が用意されています。ドメイン名が本物のamex.co.jpとは全く異なる点に注意すれば、偽サイトだと判断できます。

■ こんなメールに要注意

1. 添付ファイルは絶対に開かない：正体不明の動画ファイルなどが添付されている場合、開封せずに削除してください。
2. 「カード利用制限」という不安煽り文言：本当にカード会社が利用を制限した場合は、公式アプリや会員サイトでも同様の通知が確認できるはずです。メール内のリンクではなく、公式アプリで直接確認してください。
3. コピーライト表記の年号にも注目：今回のメールは「© 2018」のままになっており、使い回されたテンプレートである可能性が高いです。
4. すでに入力してしまった場合：速やかにAmerican Expressの公式カスタマーサービスに連絡し、カードの利用停止とパスワードの変更を行ってください。

本レポートの結論

正体不明の添付ファイルとワードサラダによる二重の回避工作が施された、手が込んだAmerican Express偽装メールでした。誘導先はip-sc.netで明確に「攻撃元」と判定されており、実際に危険性の高いインフラが使われていることが裏付けられています。この記事のURLをコピーして、ご家族のLINEグループで『これ気をつけてね』と共有してあげてください。