「スーパーVIP会員・無償アップグレード」はANA詐欺メール――リビア発・PHPMailer直送、UAE同一基盤で完結する新型キットを解析

結論：これは「無料でVIP会員になれる」を謳う真っ赤な偽物です。ANAはこのようなキャンペーンを実施していません。

• 1. ■ 届いたメールの中身
• 2. ■ 送信ルート及び偽装判定
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 過去のANA詐欺メールとの違い
• 5. ■ 注意点と対処法

実際に届いたメール。「スーパーVIP会員の無料募集」という魅力的な特典が並ぶ

リビアから直接送信

Received-SPFのclient-ip欄から、真の送信元IPアドレスがリビアにあることがわかりました。SPF認証は明確に「Fail（失敗）」と判定されています。ANAの正規メールは日本国内のドメインから送られるものであり、この時点で正規のメールでないことは明らかです。

大手クラウドを使わない「手作り」送信

ヘッダーにはX-Mailer: PHPMailer 7.0.2という記載がありました。PHPMailerは、ウェブサイト構築などで広く使われる正規のプログラム部品（ライブラリ）です。攻撃者はこれを使い、Google CloudやAzureのような大手クラウド事業者を経由せず、自分で用意したサーバーからメールを直接大量配信するプログラムを組んでいると考えられます。過去にご紹介したANAキットの多くはGoogle Cloud等の大手基盤を経由していたため、これは異なる作りです。

■ 用語解説

SPF（エスピーエフ）：メールが名乗っている送信元から本当に送られたかを確認する仕組みです。「Fail」は、認証に明確に失敗したことを意味し、なりすましである可能性が非常に高いことを示します。

PHPMailer：ウェブサイトの問い合わせフォームなどでよく使われる、メール送信用の正規プログラム部品です。この部品自体に問題はありませんが、攻撃者がこれを使って自前のスパム配信システムを構築していると考えられます。

① 本文内リンク（送信元ドメインと同一）

URL：hxxps://qgk2yv［.］info/2h061pt0xgxm

送信元アドレスと同じドメインが誘導リンクにも使われており、外部の短縮URLサービスを介さず自己完結した構成になっています。

② 最終的な詐欺サイト

URL：hxxps://anran692［.］cn/rlEIdbAG

中国のドメイン（.cn）が使われていますが、実際にサーバーが置かれているのはアラブ首長国連邦（UAE）で、しかも①の`qgk2yv.info`と同じ範囲のIPアドレス帯に収まっていました。ドメインの見た目と実際のサーバー所在地、そして送信元の国もすべてバラバラという、国境をまたいだインフラ構成です。

ウイルスバスターによる警告画面。この時点で既にフィッシングサイトとして検知されている

最終的に表示された偽のANA会員ログイン画面。デザインは本物に近いが、URLはANAと無関係

1. URLをクリックしない：ANAはこのような「無料VIPアップグレード」キャンペーンを実施していません。メール内のリンクは絶対にクリックしないでください。
2. 送信元アドレスを確認：表示名が「ANA公式」等であっても、実際のアドレスがANAの公式ドメイン以外であれば偽物です。
3. マイレージクラブの状況確認は公式アプリから：会員資格やキャンペーン情報は、必ずANA公式アプリまたはブックマークした公式サイトから確認してください。
4. 既に入力してしまった場合：直ちにマイレージクラブのパスワードを変更し、身に覚えのないログインや変更がないか確認してください。
5. 公式の注意喚起も参照：ANAグループを装った詐欺メール・詐欺電話等にご注意ください（ANA公式）

本レポートの結論

「スーパーVIP会員・無償アップグレード」というメールの正体は、リビアから自前のPHPスクリプトで直接送信され、UAEの同一インフラに集約された着地先へ誘導するANA詐欺メールでした。デザインは過去のキットと同じでも、配信インフラは着々と姿を変えています。この記事のURLをコピーして、家族のLINEグループで共有してあげてください。