「お当選」Pontaポイント10,000pt付与はau PAYを騙る偽メール！みずほ銀行と青森を騙る二重の捏造ヘッダーとPC/スマホ切替の罠

2026年9月4日

今度はau PAYを騙る「当選」型の詐欺メールです。定番といえば定番のネタですが、裏側を覗いてみると、かなり手の込んだ（そして少し間の抜けた）仕掛けが見つかりました。

【実録】「Pontaポイント10,000pt当選」はau PAYを騙る偽物：みずほ銀行・青森を騙る二重の捏造ヘッダーとPC/スマホ切替の罠

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

au PAYを騙り、「Pontaポイント10,000pt当選」を謳う詐欺メールを技術解析しました。よくあるパターンですが、送信ヘッダーにはみずほ銀行と青森県を騙る、実在しない二重の偽装リレーが仕込まれており、誘導先ではPCとスマホで表示を変えるクローキングまで確認されました。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★★★ (5/5)

※重要：本メールはHTML形式で配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。文中のリンクは絶対にタップしないでください。

■ メールヘッダー解析（送信者情報）

件名：【お当選】Pontaポイント10,000ポイント付与のお知らせ！番号：82228548

差出人表示名：au PAY（※文字の間にゼロ幅文字が混入）

送信元アドレス：tailor@tailor.kuainiaoxiansheng.com

送信元IP（Received-SPF client-ip）：40.75.73.247（Microsoft Azure、米国リージョン）

受信日時：2026年9月4日 10:43

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはau PAYを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。文中の記号のような文字列は、攻撃者が仕込んだ制御文字がそのまま表示されてしまったものです（詳細は後述）。

【お得】au PAYポイントキャンペーン

au PAY

おめでとうございます！
抽選に当選いたしました

10,000 Pontaポイント

ご登録のau PAYアカウントにポイントを付与いたします。
期間中に対象のお支払いをされた方全員の中から抽選でプレゼントいたします。

キャンペーン概要

キャンペーン名：
Ponita10000Pontaポイントプレゼントキャンペーン

期間：
2026年9月1日〜2026年9月5日

対象： au PAYご利用者様全員

1等
10,000ポイント
10名様

2等
5,000ポイント
50名様

3等
1,000ポイント
100名様

4等
100ポイント
5,500名様

［ポイントを受取る ＞］

ポイントは抽選で10月上旬頃に付与予定です。抽選に当選された方には別途SMSでお知らせいたします。

※本 キャンペーンのご利用に関するKD・DI 各種約款が適用されます。
※本キャンペーンにお心当たりのない方はau PAYサポートセンターまでお問い合わせください。

Copyright © KDDI CORPORATION All Rights Reserved.

実際に届いたメールの表示画面（受信者情報は含まれません）

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=40.75.73.247; helo=tailor.kuainiaoxiansheng.com

【偽装判定】：
正規のau PAYからのメールは「@au.com」等の公式ドメインから送信されます。本メールの送信元「tailor.kuainiaoxiansheng.com」はau PAYとは無関係の第三者ドメインで、Microsoft Azure（米国リージョン）上に構築されています。

【二重の捏造ヘッダー】：
さらに深いReceived行を追うと、大手銀行を思わせる「mail.def4028.mizuho.jp」というホスト名からの中継を経由したと記載されていましたが、このホスト名はDNS上に実在しません。次いで、青森県を思わせる「mail.c5ecb5d.aomori.jp」というホスト名も登場しますが、こちらも同様に実在しません。それぞれに記載されたIPアドレスの実際の所在地を調べたところ、「みずほ」を騙るIPは2.52.119.30でイスラエル、「青森」を騙るIPは2.28.84.193で実際の所在地はドイツでした。加えて、ヘッダー内にはApple iCloudの署名を騙る2つ目のDKIM署名（d=icloud.com）も混入しており、送信経路を実在しない情報で幾重にも塗り固めた捏造ヘッダーと判断しています。

💡ここで！「ゼロ幅文字」って何？

ゼロ幅文字とは、画面には何も表示されないのに、データの中には確かに存在している特殊な文字のことです。詐欺メールの件名や差出人名の単語の間にこっそり挟み込むことで、見た目は普通の単語に見えるのに、迷惑メールフィルターが単語として認識できなくなり、検知をすり抜けやすくなります。今回のメールでは件名と差出人名の両方にこの手口が使われていました。ただし本文の一部では、この特殊文字を指定するための書き方（`‌`のような記号の並び）がそのまま画面に表示されてしまっており、攻撃者側の作り込みが甘かったことがうかがえます。

■ フィッシングサイト詳細解析（多段構成・クローキングあり）

第1段階（メール内リンク／人間確認画面）：
hxxps://ydhzs.com/PM3fcbmpC5.aomori.jp

誘導先IP：43.167.196.60（Tencent Cloud）

「盾アイコンを3個タップ」という人間確認を装う画面。ボットや調査ツールを弾くための関門

第2段階（最終フィッシングページ、PC/スマホともに同一URL）：
hxxps://zizhil.com/oeutfyax/

着地先IP：43.128.228.199（Tencent Cloud）

【クローキングの実態】：同一のURLにアクセスしても、パソコンとスマートフォンで表示される内容が異なりました。パソコンからは「ウイルスバスタークラウド」を騙る偽の警告画面や、単純な接続タイムアウトのエラーが表示され、一見「危険なサイトではない／繋がらないサイト」であるかのように見せかけられます。

セキュリティソフトの警告を装い、調査者やPC利用者をそれ以上先へ進ませないための画面

アクセス条件によっては、単なる接続エラーとして表示されるパターンも確認

一方、スマートフォンから同じURLにアクセスした場合のみ、本物のau PAYカードとほぼ見分けがつかない偽ログイン画面が表示されます。

au PAYカード公式サイトのロゴ・配色を忠実に再現した偽ログイン画面

【サイトの状態】：本文の白背景と末尾の水色背景という組み合わせは、古くから使い回されているフィッシングキットの特徴です。人間確認を通過し、スマートフォンでアクセスした場合にのみ、au PAYカードのID・パスワードを盗み取る偽ログイン画面へたどり着く仕組みになっています。

※解析データに基づき、攻撃者は送信・中継・着地の各インフラをAzureとTencent Cloudに分散させ、一部が検知・停止されても攻撃基盤全体は生き残る構成にしていることが確認されています。

■ 注意点と対処法

「当選しました」という一方的な通知は疑ってかかる：身に覚えのないキャンペーンへの当選連絡は、詐欺の典型的な手口です。
メール内のリンクは絶対にタップしない：ポイントの受け取りやログインは、必ず公式アプリまたはブックマークから行ってください。
PCで開いて「安全そう」に見えても油断しない：今回のようにパソコンとスマホで表示を変えるサイトがあります。
公式の注意喚起も参照：au PAY カード公式「不審メールにご注意ください」

本レポートの結論

au PAYを騙り「Pontaポイント10,000pt当選」を謳う定番の詐欺メールですが、みずほ銀行・青森県を騙る二重の捏造ヘッダーや、PCとスマホで表示を変えるクローキングなど、裏側の作り込みは非常に手が込んでいました。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Charcoal