【重要】ANAマイレージクラブ：マイル加算手続きのご案内は詐欺！1年ぶりの再来と中華系クラウドが支える巧妙な着地リンク不一致の手口
夏休みの旅行シーズン、マイルの残高が気になっている方も多いのではないでしょうか。今回は、当ラボでも何度か取り上げてきた「おなじみ」の詐欺メールが、装いを新たに帰ってきたご報告です。
📋 調査レポート：概要
| 件名 | [spam] 【重要】ANAマイレージクラブ：マイル加算手続きのご案内 |
| SPF／DKIM判定 | ともにPass（※安全の証明にはなりません） |
| 送信元 | Microsoft Azure（香港リージョン） |
| 誘導先 | Cloudflare経由（発信元不明）→ Alibaba Cloud（表示は東京、実体は中国系） |
★★★★☆
（誘導先はウイルスバスターが検知・ブロック済み）
⚠️ 本文中のリンクは絶対にクリックしないでください。「マイル加算」という耳慣れた文言でも、内容は毎回少しずつ形を変えています。
今回の特徴 ― 1年ぶりの「完全一致」件名
当ラボでは「ANAマイレージクラブ：マイル加算手続きのご案内」と全く同じ件名の詐欺メールを過去にも取り上げていますが、今回のようにまったく同一の件名での再来は、実に1年以上ぶりでした。ただし「マイルが自動加算されていない」という切り口自体は、件名を変えながらこの半年の間にも繰り返し確認しており、攻撃者側が同じテーマを使い回しながら、定期的にテンプレートを更新して送り続けている実態がうかがえます。
届いたメールの内容
実際に届いたメールの画面です。
実際に届いたANAマイレージクラブ偽装メールの表示画面
今回のメールは、これまでのテーブルレイアウト中心のテンプレートとは異なり、シンプルなカード型のデザインに刷新されていました。「保留中の未加算マイル：3,808マイル」「計上前有効期限：メール拝受より3日以内」といった、期限を強調して急がせる構成は変わっていません。
送信ルートと偽装の判定
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信元の認証はSPF・DKIMともに「Pass」でしたが、これも例によって攻撃者独自ドメインの自己認証にすぎません。送信元IPをip-sc.netで確認したところ、Microsoft Azureの香港リージョンでした。これまでの案件では東京リージョンが多かったため、拠点を切り替えている可能性があります。
誘導リンクの多段構造
今回も、メールヘッダーに記録されていたリンク先と、実際にウイルスバスターがブロックした着地先が異なっていました。ヘッダー記載のリンクはCloudflareのネットワークを経由しており、この経路を挟むと実際にサーバーがどこにあるのか外部から特定できなくなります。
最終的な着地先をip-sc.netで確認したところ、プロバイダーはAlibaba.com LLC（Alicloud-Jp）、表示上の所在地は東京都渋谷区でした。ただしASN自体は中国のAlibaba Cloudであり、以前ご紹介したTencent Cloudのケースと同様、「東京リージョン」の表示だけでは実際の運営拠点を正確に把握できないことを改めて示す例です。
誘導先をウイルスバスター クラウドが「安全ではない可能性」として検知・ブロック
セキュリティソフトによるブロックをすり抜けてしまった場合、以下のような精巧な偽ログイン画面が表示されると考えられます。
本物そっくりに作られたANA公式サイト風の偽ログイン画面
「お客様番号」「Webパスワード」の入力欄まで、実際のANAマイレージクラブのログイン画面を模して作られており、ここに情報を入力してしまうと、攻撃者にアカウント情報が渡ってしまいます。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。マイル残高の確認は公式アプリまたはブックマーク済みの公式サイトから行ってください。
- 「以前も似たようなメールが来た」という記憶があっても油断せず、テンプレートは随時更新されている点に注意してください。
- セキュリティソフトの警告が出た場合は、絶対に「このまま進む」を選択しないでください。
- 万が一ログイン情報を入力してしまった場合は、該当サービスのパスワードをすぐに変更してください。
「見覚えがあるから大丈夫」ではなく、見覚えがあるからこそ、内容の変化に気づく目を持つことが大切です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Amethyst
今、拡散中の詐欺メール
