届いたメールの内容

メールはAppleのサブスクリプション料金の領収書を装い、1,680円の請求に心当たりがない場合は「購入履歴を確認する」よう促していました。受信者が不正請求を心配してボタンを押す心理を狙った手口です。

件名：【自動送信】サブスクリプション月額料金領収書

サブスクリプション月額料金
合計：1,680円

身に覚えがない場合は、購入履歴をご確認ください。

［購入履歴を確認する］

Appleの領収書を装い、1,680円の請求と購入履歴確認ボタンを表示するメール画面

誘導先はAppleと無関係なドメイン

ボタンの実際のリンク先は、Apple公式ドメインではなく次のアドレスでした。

hxxps://kanatasouthpros[.]com/JEFEM

URLに「apple.com」が含まれていない時点で、Apple公式の購入履歴ページではありません。 表示名やメールの見た目が本物らしくても、リンク先ドメインを確認することが重要です。

Google Chromeがフィッシングの疑いがある危険なサイトとして警告した画面

その後はNXDOMAINになっていた

確認を続けたところ、その後は「DNS_PROBE_FINISHED_NXDOMAIN」と表示され、ドメインを名前解決できない状態になっていました。

これは調査時点でサイトへ接続できなかったことを示します。ただし、現在つながらないから安全という意味ではありません。 攻撃者が別のドメインへ移動したり、一時的に停止しているだけの場合もあります。

誘導先ドメインが名前解決できず、NXDOMAINとなっていた調査時の画面

SPF・DKIMがPASSでもApple公式とは限らない

今回のメールはSPFとDKIMがどちらもPASSしていました。ここだけを見ると安全そうに感じますが、送信認証のPASSは「そのメールがAppleから届いた」ことを保証するものではありません。

送信元IPはオランダのTwilio SendGrid系メール配信基盤でした。SendGrid自体は正規の配信サービスですが、正規サービスが悪用されるケースもあるため、サービス名だけで安全性を判断できません。

前回確認した同系統メールとの関係

Heartland-Labでは前日にも、Appleのサブスクリプション請求を装い、SendGrid系の配信基盤を悪用した類似メールを確認しています。今回とは送信元IPや誘導先が異なりますが、請求への不安をあおってリンクを押させる基本構成は共通しています。

Appleを装うサブスクリプション請求メールの前回解析はこちら

被害を防ぐための確認方法

1. メール内のリンクを押さない
   購入履歴はメールからではなく、Apple公式サイトや端末の設定画面から直接確認します。
2. URLのドメインを確認する
   Apple公式と無関係なドメインなら開かないでください。
3. 身に覚えのない請求は公式の購入履歴で確認する
   メール本文の金額や商品名だけで判断しないことが大切です。
4. 疑わしいメールを報告する
   Apple公式は、Appleを装う不審メールを reportphishing@apple.com へ転送するよう案内しています。

すでに情報を入力してしまった場合

• Apple Accountのパスワードをすぐに変更する
• 同じパスワードを使い回しているサービスも変更する
• 2ファクタ認証が有効か確認する
• カード情報を入力した場合は、カード会社へ連絡する
• 不審な購入やログイン履歴がないか確認する