「マイルを失効させないでください」はANA詐欺メール、続報——偽装Receivedヘッダーと「開封確認」で生きたアドレスを選別する手口

HL-META: date=2026-08-16 | brand=ANA（なりすまし） | sender_geo=日本（東京都渋谷区・Microsoft Azure） | site_geo=unknown（誘導先は既に閉鎖済みのため運用当時の所在地は特定不可） | spf=pass | dkim=unknown | cloaking=no

お盆明けの週明け、メールボックスを開くと同じ件名のメールがずらりと並んでいた——そんな経験をされた方もいるのではないでしょうか。今回はまさにそのタイプ、ANAマイレージクラブを騙る詐欺メールの続報です。59通という数だけでなく、その裏に仕込まれていた技術的な仕掛けも見どころです。

2026年2月にも同名の件名でご紹介したANAマイレージクラブ詐欺ですが、今回は送信インフラが全く別物に切り替わった新しい波状攻撃です。しかも今回は、メールソフトの「開封確認」機能を悪用して、読者が気づかないうちに”生きたメールアドレス”を選別する仕掛けが仕込まれていました。1つのメールボックスに同じ件名が59通届いていたという実例をもとに、丁寧に解析していきます。※メールヘッダー詳細は個人情報保護のため非掲載です。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）
受信日時	2026年8月16日 17:49頃（同件名で59通確認）
誘導先サイトの現状	既に閉鎖・パーキング状態

ご覧の通り、このメールはANA公式ではありません。詐欺メールです。誘導先サイトは既に閉鎖されていますが、同様の手口は今後も送信元・誘導先を変えて繰り返される可能性があります。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

【重要】マイルの有効期限がまもなく到来します

いつもANAをご利用いただき、誠にありがとうございます。
下記のとおり、保有マイルの有効期限が近づいています。失効前にご利用ください。

現在の保有マイル：134,726
失効予定日：2026年08月20日

［マイルを今すぐ利用する］

ボタンを押して会員メニューにアクセスしてください。

マイルは以下の特典にご利用いただけます。
特典航空券／旅行商品／ポイント

・有効期限を過ぎたマイルは自動的に失効し、後からの復活はできません。
・一部の特典は混雑状況によりご希望の日程でご利用いただけない場合があります。
・ログイン後の会員情報照会ページから最新のマイル数をご確認ください。

［失効前に確認する］

本メールはANAマイレージクラブ会員の皆さまにお送りしています。
受信設定の変更・配信停止はこちらからお手続きください。

■ 送信ルートおよび偽装判定

Received-SPFヘッダーを確認したところ、真の送信元IPは20.89.57.54（Microsoft Azure・AS8075）で、SPFはPassしていました。ip-sc.netで詳細を確認すると、所在地は日本・東京都渋谷区と判定されており、Azureの東日本リージョンが使われたとみられます。送信ドメイン「gzkemiao8988.com」は2018年に登録された古いドメインですが、今回の送信直前にあたる2026年8月16日に更新されており、既存の古いドメインを”使い回し”で活用した可能性があります。

SPFがPassしていても、それはあくまで「gzkemiao8988.comというドメインの管理者が正しく送信設定をしている」ことを示すだけで、ANA公式であることの証明にはなりません（笑）。むしろSPFを丁寧に整備しているあたり、フィルターをすり抜けることに慣れた運用者の手口という印象を受けます。

■ 巧妙な偽装Receivedヘッダー

今回のヘッダーには、実際には経由していないはずの中継サーバーを装う偽造Receivedヘッダーが複数挿入されていました。大手ポータルサイトのメール配送サーバーや、大手カード会社の中継サーバーを名乗るものが並んでおり、さらに受信側の実在ドメインを模した偽のホスト名まで含まれていました（当サイトでは該当箇所を伏せています）。

これは、ヘッダーをざっと見た人に「見覚えのある大手企業名が並んでいるから安全そうだ」と誤認させるための偽装です。メールヘッダーの信頼できる送信元判定は、こうした途中の記述ではなく、必ず「Received-SPF」欄のclient-ipを基準にする必要があることを、改めてお伝えしたいポイントです。

■ 「開封確認」で生きたアドレスを選別する仕掛け

今回最も注目したいのが、ヘッダー中のReturn-Receipt-Toという項目です。これは、メールソフトが対応している場合、メールを開いた瞬間に「開封しました」という通知を自動的に送信者へ返す仕組み（開封確認・MDN）を要求するものです。実際にメールソフト側では、次のような確認ダイアログが表示されました。

同様に、メール末尾に用意された「配信停止はこちら」というワンクリック配信停止リンク（List-Unsubscribe）も、一見親切な機能に見えますが、押すことで「このアドレスは有効で、人が読んでいる」ことを相手に伝えてしまう副作用があります。

■ 誘導先サイトの解析

本文中のボタンをクリックすると、以下のURLへ誘導される仕組みでした（直リンク防止のためhxxps表記にしています）。

hxxps://www.jjjmmm88[.]com/domesticescv/shoufu/standardsets/reevglularcidio=PR1002

アクセスすると、まずウイルスバスター クラウドによってフィッシングサイトとして自動ブロックされる画面が表示されました。

それでも先へ進むと、hCaptchaによる「私はロボットではありません」というボット判定画面が現れます。これは自動解析ツールによる調査を遅らせるための一段階として機能しているとみられます。

最終的に表示されるのは、ANA公式サイトを精巧に模した偽のログイン画面でした。お客様番号とWebパスワードの入力を求める構成は、本物のANAマイレージクラブのログイン画面と非常によく似ています。

誘導先ドメイン「jjjmmm88.com」を調べたところ、送信ドメインの「gzkemiao8988.com」と同一のレジストラ（Gname.com Pte. Ltd.）で登録されていることが分かりました。有効期限は2026年8月26日と、登録から約9日という非常に短い運用サイクルで使い捨てられる予定だったようです。現在は既にパーキング状態（売却待ち）となっており、閲覧しても実害はありません。

■ 不審な添付ファイルについて

今回のメールには「ana.co.jp.rlmpi」という、見慣れない拡張子の添付ファイルが付いていました。拡張子が不審なため、当サイトでは開封・解析を行っていません。不審な添付ファイルは、内容を確認する前に削除することを強くおすすめします。

■ 続報：2026年2月の同名記事との関係

本サイトでは2026年2月にも「マイルを失効させないでください」を騙る詐欺メールを解析していますが、当時はTencent Cloud（中国系クラウド）を経由した送信でした。今回はMicrosoft Azure（日本国内リージョン）を経由しており、送信インフラが完全に切り替わっています。同じ件名・同じ手口が、半年の時を経てインフラを一新して再登場したことになります。

■ 注意点と対処法

1. 「マイル失効」「保有マイル◯◯」といった具体的な数字が書かれていても、それだけで信じないでください。数字はあくまで信憑性を演出するための小道具です。
2. メール内のボタンやリンクは開かず、ANA公式アプリまたはブックマークから直接ログインして、マイルの状況を確認してください。
3. 身に覚えのない送信元から「開封確認」のダイアログが表示された場合は、「キャンセル」を選び、絶対にOKを押さないでください。開封確認に応じると、そのアドレスが「生きている」ことを相手に伝えてしまいます。
4. 同じ件名のメールが大量に届く場合、それ自体が詐欺キャンペーンの特徴です。フィルターで自動振り分け・報告設定を活用しましょう。
5. 不審な拡張子の添付ファイルは開かず、そのまま削除してください。

マイルを貯めている方なら誰でも狙われる可能性がある手口です。この記事のURLをコピーして、ご家族やマイル仲間のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

---

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Charcoal