【偽装ヘッダー徹底解剖】ソフトバンク・県庁サーバーを経由したフリして送信元を偽装！ANAマイレージクラブ「マイル有効期限延長」詐欺の正体

ご覧の通り、このメールはANAを装った真っ赤な偽物です。しかも送信経路まで巧妙に偽装されています。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 送信ルート及び偽装判定
• 3. 💡ここで！ 専門用語をやさしく解説
• 4. ■ フィッシングサイト詳細解析
• 5. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（改行・レイアウトの崩れも含め原文のまま）。

ANAマイレージクラブからのご案内
いつもANAマイレージクラブをご利用いただき、誠にありがとうございます。
以下の内容に関して、マイルが自動的に加算されていないことを確認いたしました。
「ANAマイレージクラブ会員情報」をご確認いただき、必要に応じて修正をお願い申し上げます。

未加算マイル
25,152マイル

手続き期限
メール受信後3日以内

ご確認のお願い
ご登録情報と予約時の情報が一致しないため、マイルが自動加算されていません。
下記のボタンより情報をご確認のうえ、手動でマイルの加算をお願いいたします。

［手動で修正する］
hxxps://www.teraravale[.]shop/domesticescv/shoufu/standardsets/reevglularcidio=PR1002

※ URLの有効期限は72時間以内です。
※ 加算されたマイルの有効期限は積算日より1年間となります。

お手数をおかけしますが、ご理解とご協力のほどよろしくお願い申し上げます。
今後ともANAマイレージクラブをよろしくお願いいたします。

※この後ろに、ANA公式サイトのプライバシーポリシーや個人情報保護体制に関する長文が、レイアウト崩れした状態でそのまま続いていました（原文ママ、本記事では省略）。おそらく本物らしさを演出する目的、または迷惑メールフィルターの文字数判定を回避する目的で、公式サイトの文章を丸ごと貼り付けたものとみられます。

▲ 実際に届いたメール画面（画像提供：Heart）

■ ヘッダー解析で分かったこと

送信元アドレスのドメイン：tax.timisdx.cn（ANAとは一切無関係な中国ドメイン）

実際の送信元IP：Microsoft Corporation（AS8075）が管理するクラウド回線

ロケーション：香港（Kowloon地区）

SPF：Pass（自ドメイン内での自己認証のため、正当性の証明にはなりません）

■ 最大の特徴：日本の携帯キャリアや県庁を装った「偽の経由記録」

今回のメールでは、実際の送信元（香港のクラウドサーバー）よりも「手前の経路」として、次のような日本国内の実在組織を思わせる名前がヘッダーに書き込まれていました。

• ソフトバンク（携帯電話会社）のメールサーバーを思わせる表記
• ワイモバイル（携帯電話会社）のメールサーバーを思わせる表記
• 福岡県庁のメールサーバーを思わせる表記
• 愛知県庁のメールサーバーを思わせる表記

しかしこれらは、実際にメールが通過した記録ではなく、攻撃者が自分で書き込んだ「見せかけの経由記録」である可能性が非常に高いです。メールの配送記録（Receivedヘッダー）は、送信する側が自由に文字列を書き加えられる仕組みになっているため、本物そっくりの経路情報を捏造することができてしまいます。当サイトの解析では、実際にHeartのメールサーバーへ直接接続してきた記録から、真の送信元が香港のクラウドサーバーであることを特定しました。

■ Receivedヘッダーって何？

メールが送信されてから届くまでに通過したサーバーの記録のことです。宅配便でいう「配送履歴」に近いものですが、宅配便の伝票と違い、送信者側が自由に書き足せる部分があるため、悪用すると「実際には通っていない経路」を書き加えることができてしまいます。

■ SPFって何？

「このメールは、名乗っているドメインの持ち主が許可したサーバーから送られましたよ」ということを機械的に確認する仕組みです。あくまで自己申告の整合性チェックであり、メールの内容が正しいかどうかとは関係ありません。

■ 誘導先の詳細

誘導先URL（伏せ字）：hxxps://www.teraravale[.]shop/domesticescv/shoufu/standardsets/reevglularcidio=PR1002

誘導先ドメインの管理事業者：CTG Server Limited（香港のホスティング事業者）

【サイトの状態】：リンクをクリックすると、まず「I’m not a robot」という人間確認画面（hCaptcha）が表示され、これを通過すると精巧に再現されたANAの偽ログインページに到達しました。お客様番号とWebパスワードの入力を求める画面で、入力すると攻撃者にログイン情報が渡ってしまう構造です。

その後の追跡：誘導先ドメイン「teraravale.shop」を改めて確認したところ、現在はドメイン自体が「販売中（for sale）」の状態に戻っていました。詐欺サイトとして使い捨てられた後、ドメインを手放した典型的なパターンとみられます。

▲ リンク先でまず表示される人間確認画面

▲ 精巧に再現された偽のANA会員ログイン画面

▲ 現在は「ドメイン販売中」の状態に戻っている誘導先ドメイン

■ こんなメールが届いたら

1. メール内のリンクや添付ファイルは絶対に開かないでください。特に見慣れない拡張子の添付ファイルは要注意です。
2. マイル状況はANA公式アプリ・公式サイトで確認：ブックマークや検索から直接アクセスし、ログインして確認しましょう。
3. 「〇〇を経由した」という記載を鵜呑みにしない：メールのヘッダー情報は偽装できるため、一見公的機関を経由しているように見えても安全の証明にはなりません。
4. すでに入力してしまった場合：ANA Webパスワードを速やかに変更し、心当たりのない予約やマイル利用がないか確認してください。

本レポートの結論

今回のメールは、本文の巧妙さ以上に、送信経路そのものを偽装する手の込んだ工作が特徴的でした。実際にはANAともソフトバンクとも県庁とも無関係な、香港のクラウドサーバーから送られたものです。件名や差出人名だけでなく、こうした「もっともらしい経由情報」に騙されないよう、この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。