Apple「ストレージプランの更新失敗によるデータ消失のご注意」は詐欺——PCとスマホで別々の偽サイトへ振り分けるクローキングを実装

2026年8月19日

みなさん、こんにちは。街のIT専門家、Heartland-Lab（ハートランド・ラボ）です。写真や動画をクラウドに預けている方が増えている今、「データが消える」という言葉ほど不安を煽る詐欺文句もありません。今回はまさにその手口を使ったApple偽装メールです。

Apple「ストレージプランの更新失敗によるデータ消失のご注意」は詐欺——PCとスマホで別々の偽サイトへ振り分けるクローキングを実装

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

Appleのストレージプラン（iCloud）を騙り、「更新に失敗したためデータが削除される」と不安を煽る詐欺メールを確認しました。技術的に注目すべきは、同じリンクでもPCとスマートフォンで全く違う偽サイトへ振り分けられる「クローキング」が実装されていた点です。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）※端末別に着地先を変えるクローキングを実装
受信日時	2026年8月18日 14時09分頃

※重要：「データが削除される」という脅し文句で不安を煽り、冷静な判断力を奪おうとする典型的な心理誘導です。本文中のリンクは絶対にクリックせず、必ず公式のサインインページから確認してください。

ご覧の通り、このメールはApple公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定
3. ■ フィッシングサイト詳細解析：PCとスマホで着地先が変わる「クローキング」
4. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

件名：[spam] 重要：ストレージプランの更新失敗によるデータ消失のご注意No.55823039
送信者："Apple News" <IKNWCK@iwhgtu.notification.hbpxks.com>

（お客様） 様

平素よりAppleのサービスをご利用いただき、誠にありがとうございます。

お客様がご契約中のストレージプランについて、お支払い情報の確認が取れなかったため、更新処理を完了できませんでした。このままの状態が続きますと、クラウド上のデータが削除の対象となる場合がございます。

■ 未更新の場合の影響
・写真やビデオのバックアップが停止します
・メールの送受信が制限される場合があります
・クラウド上のデータが順次削除の対象となります

データの消失を防ぐため、ご登録のお支払い情報が有効であることをご確認ください。

お支払い情報を確認する：
https://login.mrzxdj.com/?j756ECCseFbb1HrHJy3ARNqL
※ お手続きは公式のサインインページより行えます。

Copyright (C) 2026 Apple Inc. All rights reserved.
〒106-6140 東京都港区六本木6丁目10番1号 六本木ヒルズ森タワー（日本）

実際に届いたメールの画面

■ 送信ルート及び偽装判定

※メールヘッダー詳細は個人情報保護のため非掲載です。受信者情報はすべて伏字処理しています。

■ メールヘッダー解析（送信者情報）

送信元IP（Received-SPF: client-ip）：35.215.23.142

HELO名：notification.hbpxks.com

SPF認証：Pass　DKIM認証：Pass

送信元IPを逆引きDNSで調べたところ、googleusercontent.comというホスト名が確認でき、Googleクラウド基盤から送信されたことがわかりました。SPF・DKIMともに「Pass」ですが、これは攻撃者が自分のドメイン（hbpxks.com）に正しく設定しているだけであり、Apple公式であることの証明にはなりません。差出人名は「Apple News」となっていますが、実際のアドレスはApple公式ドメインとは無関係です。

■ フィッシングサイト詳細解析：PCとスマホで着地先が変わる「クローキング」

メール内のリンクhxxps://login［.］mrzxdj.com/?j756ECCseFbb1HrHJy3ARNqLを、実際にPCとスマートフォンそれぞれで確認してみたところ、全く異なる着地先に振り分けられていることが判明しました。

▼ PCでアクセスした場合

Google Chrome自体が独自にフィッシングを検知し、赤い警告画面で強制的に遮断していました。誘導先ドメインlogin.mrzxdj.comは、調べたところCloudflareのネットワーク（anycast）を経由しており、このIPアドレスだけから運営者の所在地を特定することはできません。

【PC】Chromeのセーフブラウジング機能がフィッシングを検知し、アクセスを遮断

アクセス直後に表示された読み込み中の画面（中間状態）

「リクエストがブロックされました」と表示される画面。ファイアウォールを装っているが、攻撃者側のアクセス制限とみられる

▼ スマートフォンでアクセスした場合

同じリンクのはずが、スマートフォンでは全く別のドメインlogin.cxjsgczx888.cn（中国ドメイン）へ着地しました。今回はSSL証明書の不備により接続エラーとなっていましたが、本来はここに偽のログイン画面が表示される設計とみられます。

【スマホ】login.cxjsgczx888.cnへのアクセス時に表示されたSSL接続エラー画面

💡 ここで！豆知識：「クローキング」とは

クローキング：同じリンクにアクセスしても、アクセスしてきた端末やソフトの種類（パソコンかスマートフォンか等）によって、表示する内容を意図的に変える技術のことです。今回のケースでは、パソコンからのアクセスにはセキュリティ企業に検知されやすい構成を、スマートフォンには別のドメインを、それぞれ使い分けていました。セキュリティ対策ソフトによる調査を難しくし、被害者となりやすいスマートフォン利用者だけを狙い撃ちする狙いがあるとみられます。