「ご利用料金領収書をお送りいたします」は詐欺！正規SaaS「SendGrid」悪用と偽Cloudflare認証を経て偽Apple Accountへ誘導する手口を解析

■ メールヘッダー解析（送信者情報）

件名：[spam] ご利用料金領収書をお送りいたします

送信者名：利用料金通知（表示名を偽装）

送信元アドレス：carashaw@hikqwl.com

受信日時：2026年8月12日 11:29

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAppleを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 送信ルート及び偽装判定
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際の見た目は下の画像をご参照ください。

アップルからの領収書

お客様のアカウントに紐づくサブスクリプションサービスの自動更新に伴い、
ご利用料金の決済手続きが正常に完了いたしましたので、ここに領収書をお送
りいたします。

なお、お取引内容に覚えがない場合や、内容の不一致・ご不明な点がある場合は、
速やかに下記よりアカウント詳細をご確認いただくことを強くお勧めいたします。

■ アカウントメールアドレス
（受信者のメールアドレス）
■ 領収書発行日時
2026-08-12 10:29:47
■ 請求書番号 (Invoice)
INV-95520156
■ 注文番号 (Order ID)
ODR-559168025
■ ご利用明細
サービス：サブスクリプション
プラン：プレミアムプラン（年額）
課金期間：2026/08/09 〜 2027/08/08
■ ご利用金額（税込）
¥5,760

ご購入履歴の詳細の確認、または定期購読の管理や解約手続きをご希望の場合は、
以下の安全な専用リンクよりアカウントへサインインしてください。

［購入履歴と詳細を確認する］

※本メールはシステムによる自動送信専用となっております。直接ご返信いた
だきましてもご対応いたしかねますので、あらかじめご了承ください。
※アカウントのセキュリティや決済システムに関するお問い合わせ、ならびに
サポート全般につきましては、公式ページよりご確認をお願い申し上げます。

アップル・ディストリビューション・インターナショナル合同会社
〒106-0032 東京都港区六本木6丁目10番1号 六本木ヒルズ森タワー
公式サイト: support.apple.com/ja-jp
© 2026 Apple Distribution International Ltd. All rights reserved.

■ Receivedヘッダー解析（サーバー通過証明）

送信元IP（Received-SPFより確定）：
client-ip=149.72.123.24; helo=s.wrqvtbkv.outbound-mail.sendgrid.net

【送信基盤の特徴】：
送信元IPは、正規のメール配信SaaS「SendGrid」の送信インフラであることが分かっています。さらにヘッダーにはReply-To・List-ID・Precedence: bulkといった、正規のメールマガジン配信で使われる項目が丁寧に設定されていました。正規サービスの信頼性とメルマガらしい体裁を組み合わせることで、迷惑メールフィルターをすり抜けようとする手口です（②でご紹介したZendesk悪用と同系統の手口です）。

【偽装判定】：
正規のApple関連メールは「apple.com」または「icloud.com」ドメインから送信されます。本メールは「hikqwl.com」という無関係のドメインから送られており、Appleとは一切関係がありません。

💡ここで！「白背景＋末尾だけ水色」の見た目について

今回のメールは、本文のほとんどが白背景で構成され、末尾の「※本メールはシステムによる自動送信専用〜」という注意書き部分だけが水色の背景になっているという、独特なレイアウトでした。実はこの組み合わせ、当ブログでは長期間にわたって繰り返し確認している、特定のフィッシングキット（詐欺メール作成テンプレート）の特徴の一つです。

ブランドやメール本文の内容は毎回変わりますが、このレイアウトの癖が残っていることが多く、見分け方の一つの手がかりになります。

■ フィッシングサイト詳細解析（多段構成）

【第1段階】本文ボタンの直接リンク先：
hxxps://crejamin[.]me/ZcBxe
サーバーIP：43.165.70.9／プロバイダ：Aceville Pte. Ltd.（AS139341）／ロケーション：シンガポール／プロキシ検出：あり

【第2段階】遷移後の中継先：
hxxps://uwespov[.]me/VVkHBHvr/
サーバーIP：43.165.186.124／プロバイダ：同じくAceville Pte. Ltd.（AS139341）／ロケーション：シンガポール／プロキシ検出：あり

2つのドメインは異なる名前を使っていますが、IPアドレスは43.165.70.xと43.165.186.xという同一事業者の隣接レンジに割り当てられており、同一の攻撃基盤・同一運営者による使い回しと考えられます。

【第3段階】偽のセキュリティチェック画面：
遷移後、実在のセキュリティサービス「Cloudflare」を模した「ロボットではないことを確認してください」という偽の認証画面が表示されました。これは本物のCloudflareの認証機能ではなく、被害者に「安全な手続きを踏んでいる」と錯覚させ、警戒心を解くための演出用の偽画面と考えられます。

【最終段階】着地ページ：
最終的に、本物そっくりの偽Apple Accountログインページが表示され、Apple IDとパスワードの入力を求められる構成になっていました。

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしないでください。本物そっくりのセキュリティチェック画面が表示されても油断しないでください。
2. 公式サイトを確認：購入履歴が気になる場合は、必ずApple公式アプリまたはブックマークからアクセスしてください。
3. 見た目の作り込みの精巧さに惑わされない：会社名・住所・セキュリティ認証画面まで精巧に作られていても、それは安全の証にはなりません。
4. 公式注意喚起の参照：Apple の正規のメール、メッセージ、通話を見分ける（Apple公式サポート）

本レポートの結論

正規SaaSの悪用、同一事業者内での多段リダイレクト、偽のセキュリティ認証画面と、非常に手の込んだ構成の詐欺メールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。