「Apple ID｜お客様のアカウントに関する重要なお知らせ：請求失敗 No.19854191」は詐欺——Google Cloud踏み台送信、PC/スマホで着地先を変えるクローキング手口を解析

2026年8月16日

お盆休みも終盤に差しかかり、旅先から持ち帰ったスマホの通知をまとめて確認している方も多い頃かと思います。そんなタイミングを狙ったかのように、「Apple ID」を名乗る請求失敗のお知らせが届きました。今回はこのメールを詳しく解析していきます。

📋 調査レポート：概要

対象ブランド	Apple（iCloud）を騙るなりすましメール
件名	[spam] 【重要】Apple ID｜お客様のアカウントに関する重要なお知らせ：請求失敗 No.19854191
受信日時	2026年8月15日 17時00分
緊急性レベル	★★★★☆（4/5）「請求処理に失敗」という、誰もが不安になる典型的な煽り文句
偽装工作精度	★★★★☆（4/5）メール本文はApple公式に近いデザインだが、それ以上に誘導先の仕掛けが巧妙

⚠️ このメールはAppleとは一切関係のないなりすましメールです

本文中のリンクは絶対にクリックしないでください。

1. 📧 実際に届いた詐欺メール
2. 🔍 送信ルートおよび偽装判定
3. 🌐 端末によって表示が変わる誘導先
4. ⚠️ 注意点と対処法
5. 📝 まとめ

📧 実際に届いた詐欺メール

以下、届いたメールの本文です。個人情報保護のため、宛名と受信アドレスは伏字にしています。

〇〇 様

Appleをご利用いただき、誠にありがとうございます。

お客様のサブスクリプションを更新しようとしましたが、お支払い方法に問題があるため、請求処理を正常に完了できませんでした。

■ 請求状況
対象のApple ID：〇〇〇〇〇〇〇〇〇〇〇〇〇〇（受信者のメールアドレスのため伏字）
状態：請求処理に失敗しました

■ ご確認のお願い
ご登録済みのカード、またはキャリア決済が承認されませんでした。サービスの中断を防ぐため、お支払い情報のご確認をお願いいたします。

この問題が解決されるまで、コンテンツのダウンロードやサブスクリプションのご利用が制限される場合がございます。

お支払い方法を更新する：
hxxps://www.ajmd100[.]com/?l4d7qv8cMhfSqs8MSUqJRP9U
※ カードの有効期限や残高をご確認のうえお手続きください。

ご不明な点がございましたら、サポートページをご覧ください。今後ともよろしくお願い申し上げます。

──────────────────────────────
※ 本メールは 〇〇〇〇〇〇〇〇〇〇〇〇〇〇（受信アドレス） 宛に自動送信されています。ご返信いただいてもお答えできません。
お心当たりのない場合は、このメールを破棄していただきますようお願いいたします。

Copyright (C) 2026 Apple Inc. All rights reserved.
〒106-6140 東京都港区六本木6丁目10番1号 六本木ヒルズ森タワー（日本）

▲ 実際に届いたメール画面。Apple公式に近いデザインで再現されている

※メールヘッダー詳細は個人情報保護のため非掲載です。

HTMLメール本体を確認したところ、送信者名の表示やリンクボタンなどはApple公式の実際のメールデザインをかなり忠実に模倣していました。件名の管理番号「No.19854191」も、いかにも公式のシステムが自動採番したかのような体裁で、受信者に「本物では」と思わせる作りになっています。

🔍 送信ルートおよび偽装判定

メールヘッダーを解析したところ、実際にこのメールを送信した基盤の情報（Received-SPFのclient-ip）が判明しました。逆引き（DNS）で調べると、このIPアドレスはGoogle Cloud（GCP）が保有するサーバー領域に割り当てられていることが確認できました。

送信元基盤：Google Cloud Platform（GCP）

確認方法：送信元IPアドレスの逆引きDNSが「googleusercontent.com」を返すことを確認

実所在地：GeoLite2の国別データベース上は特定の国が表示されますが、これはGCPの管理上の登録地に基づくものであり、実際に攻撃者がどこにいるかを示すものではありません。そのため本記事では「不明」として扱います。

Appleを騙る詐欺メールでは、Google CloudやMicrosoft Azureのような正規の大手クラウド基盤を「踏み台」として悪用し、迷惑メールフィルタに検知されにくくするケースが増えています。今回もその典型的な手口です。

💡 ここで！「踏み台」とはどういうこと？

Google CloudやAzureのようなクラウドサービスは、誰でも契約すればメール送信用のサーバーを借りることができます。攻撃者はこの仕組みを悪用し、正規サービスの「信頼された」サーバー経由でメールを送ることで、迷惑メールフィルタに引っかかりにくくしています。Google Cloud自体が詐欺に関与しているわけではなく、契約者（攻撃者）による悪用です。

🌐 端末によって表示が変わる誘導先

本文中の「お支払い方法を更新する」ボタンのリンク先を確認したところ、アクセスする端末によって表示される内容が異なるという、クローキングと呼ばれる手口が使われていることが分かりました。

まず、パソコンからリンク先へアクセスすると、次のような「アクセス拒否」というブロック画面が表示され、それ以上先には進めませんでした。

▲ パソコンからアクセスした場合に表示される「アクセス拒否」画面

一方、同じリンクにスマートフォンからアクセスすると、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」という警告を表示しました。

▲ スマートフォンからアクセスした際に表示されたChromeの警告。「攻撃者がパスワードやクレジットカード番号などを開示させる可能性がある」と明記されている

この警告を確認して先に進むと、本物のApple公式サイトを精巧に模した偽のサインイン画面が表示されました。

▲ 本物のApple Accountサインイン画面とほぼ見分けがつかない偽ログイン画面。メールまたは電話番号とパスワードの入力を求めてくる

💡 ここで！「クローキング」とはどういうこと？

クローキングとは、アクセスしてきた相手（パソコンか、スマホか、セキュリティ会社の自動巡回プログラムかなど）によって、表示するページの内容を変える手口です。セキュリティ会社の調査用アクセスにはブロック画面や無害なページを見せ、実際に被害者になりそうな一般利用者（主にスマホ）にだけ本物の偽サイトを見せることで、危険なサイトとして発見・報告されるのを遅らせる狙いがあると考えられます。

誘導先のドメインは、いずれもCloudflareという大手CDN（コンテンツ配信網）サービスの背後に隠れているため、IPアドレスから直接の設置国を特定することはできませんでした。これはCloudflareのサービス自体が悪いのではなく、攻撃者が自分たちのサーバーの実際の所在地を隠すためによく使う仕組みです。そのため、本記事では誘導先サイトの所在地は「不明」として扱います。

⚠️ 注意点と対処法

Apple IDやお支払い情報に関する通知は、メール内のリンクからではなく、iPhoneやiPadの「設定」アプリ、またはApple公式サイトにご自身でアクセスして確認してください。
ブラウザやセキュリティソフトが「危険なサイト」「アクセス拒否」といった警告を出した場合は、そこで操作を中止してください。警告を回避してまで先に進む必要のある正規サイトはありません。
「請求に失敗しました」といった不安を煽る件名のメールほど、慌てず一呼吸置いて、送信元アドレスやリンク先をよく確認する習慣をつけましょう。
万が一、偽のサインイン画面にApple IDとパスワードを入力してしまった場合は、速やかにApple公式サイトからパスワードを変更し、二段階認証の設定状況もあわせてご確認ください。

📝 まとめ

今回のApple IDを騙る詐欺メールは、メール本文のデザインこそApple公式に近いものでしたが、その先には正規クラウド基盤を踏み台にした送信経路と、アクセスする端末によって表示を変えるクローキングという、二重の巧妙な仕掛けが施されていました。「デザインがきれいだから本物」とは限らない、という点を改めて心に留めておきたい事例です。

⚠️ 請求関連の通知は公式アプリ・公式サイトで直接確認を！

セキュリティソフトやブラウザの警告が出たら、そこで引き返してください。

LINEでこの記事を送る

Data Provided by Heartland-Lab Security Research Unit ／ IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月16日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。
※使用配色テーマ：Navy