「値上げの時代にずっと無料ただ」は魔改造B-CAS詐欺！サマーセール広告に偽装した新テンプレートを解析
立秋を過ぎたとはいえ、まだまだ厳しい暑さが続いていますね。エアコンの効いた部屋でスマホをチェックしている方も多いと思いますが、今日はそんな油断した瞬間を狙ったような一通をご紹介します。
| 📋 調査レポート：概要
危険度評価：★★★☆☆ （現在誘導リンクは機能停止中ですが、同一手口・同一インフラの詐欺サイトが今後も入れ替わり運用される可能性があります） |
⚠️ このメールは詐欺（違法な魔改造B-CASカード販売勧誘）です。本文中のリンクは絶対にクリックしないでください。
届いたメールの内容
今回のメールは、件名こそ「値上げの時代にずっと無料ただ」という素朴な文面でしたが、開いてみると「夏のお得情報」「SUMMER SPECIAL SALE」という、いかにも季節のセール広告のような装いになっていました。実際の本文（デコード済み）は以下の通りです。
今回のメールは少し変わった見え方をしていました。メールソフトのソース表示画面を開いても、日本語部分が=E3=81=82のような英数字の羅列にしか見えません。これはquoted-printable（クオーテッド・プリンタブル）という、メールの本文をローマ字と記号だけで安全に送るための古いエンコード方式が使われているためです。実際にこのソースをコピーし、専用のツールでデコード（変換）処理を行うと、日本語として読める本文が現れます。以下がそのソース画面と、当ラボでデコードした本文です。
実際に受信したメールのソース表示画面。日本語部分が「=E3=81=82」のような記号の羅列に変換されている（quoted-printableエンコード）
このエンコード自体は正規のメールでも広く使われる技術で、それ自体が不審というわけではありません。ただし、こうした表示のままではメールソフトによっては内容が正しく読めない場合があり、今回はその点も含めてデコード後の本文を確認しています。
SUMMER SPECIAL SALE 今だけのお得情報をお見逃しなく 6月17日の毒電波対策品、B-CASカード改造、激安ただでBSCSが観られる。 夏セール開催中 お買い得商品を今すぐチェック 6月17日の毒電波対策品、B-CASカード改造、激安ただでBSCSが観られる。 期間限定の特別セール お得に購入できるこの機会をお見逃しなく ［夏のお買い得商品を見る］→ hxxps://clck[.]ru/3V7YTy セール内容と販売条件は商品ページでご確認ください。 本メールは、お得な商品情報をご案内するために配信しています。
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
派手なオレンジ色のバナーと「SUMMER SPECIAL SALE」という英字の見出しで、一見よくある夏物セールの案内メールのように見えます。ところが本文をよく読むと、2箇所とも同じ一文が繰り返されており、そこにだけ「毒電波対策品」「B-CASカード改造」という、これまで当ラボが何度も取り上げてきた違法B-CASカード販売の宣伝文句がそのまま紛れ込んでいます。件名の「ただ」も、この本文中の「激安ただでBSCSが観られる」＝「無料で」を意図した表現と分かります。
送信ルートと偽装の判定
送信者表示の作りにも注意が必要です。From欄の表示名には「bjhmussiz@icloud.com」というメールアドレス風の文字列が使われていますが、実際の送信アドレスはこれとは全く別の「dnyxfx@outlook.com」でした。一見メールアドレスに見える表示名を使うことで、受信者が実際のFromアドレスを見落とすように仕向ける典型的な手口です。
送信元IP（113.191.246.92）を確認したところ、ベトナムの通信事業者VNPTの回線でした。SPF判定は「Softfail」で、送信ドメイン側が本来推奨していない経路からの送信であることを示しています。
💡 用語をやさしく解説
| SPF（Softfail）：送信元メールサーバーが正規のものかを確認する仕組みの一つです。「Softfail」は「本来のルート以外から送られてきた可能性が高い」という警告に近い判定で、Pass（合格）ではありません。ただし攻撃者が自分の用意したドメインで正しくSPFを設定していれば「Pass」と出ることもあり、判定結果だけを鵜呑みにしないことが大切です。 短縮URL：長いWebアドレスを短い文字列に変換する仕組みで、本来はSNS共有などに使われる正規のサービスです。今回はロシアの検索エンジン「Yandex（ヤンデックス）」の短縮URLサービス「clck.ru」が使われていました。有名企業の正規サービスを経由させることで、メールフィルターの検知をすり抜けやすくする狙いがあると考えられます。 |
フィッシングサイト詳細解析
本文中の「夏のお買い得商品を見る」ボタンのリンク先（hxxps://clck[.]ru/3V7YTy）に実際にアクセスして確認したところ、現在はYandex自社のコンテンツサービス「Dzen（旧Yandex Zen）」へリダイレクトされる状態でした。つまり、この短縮URLが本来向けていた詐欺サイト（または販売サイト）自体は、既に閉鎖されたか、リンクの向け先が失われている状態と考えられます。
とはいえ、これは今回たまたま無効化されていただけであり、同じ手口・同じインフラ（Yandex短縮URL経由）を使った魔改造B-CASカードの違法販売勧誘は、これまでも件名やデザインを変えながら繰り返し確認されています。短縮URLの転送先は運営側がいつでも書き換えられるため、「今は繋がらないから安全」ではない点にご注意ください。
関連する過去記事
魔改造B-CASカードの違法販売勧誘は、当ラボでも件名や誘導手口を変えながら複数回取り上げています。あわせてご確認ください。
- 【実録】「2年越しの毒電波を克服」魔改造B-CASカード販売メールの正体
- 「毒電波なんてくそくらえ、いつでもたた」魔改造B-CAS販売勧誘メール
- 「テレビは見ないよってただですよ」も魔改造B-CAS詐欺！
- 魔改造B-CASカード詐欺、わずか4日で「最新版」に更新
- 魔改造B-CAS違法販売、3日目も継続中
今回のように「セール広告」の体裁に紛れ込ませる手口は、これまでの直球タイトルの勧誘メールよりも一見無害に見えるぶん、かえって油断を誘う点に注意が必要です。
注意点と対処法
- セール広告のような穏やかな見た目でも、「B-CASカード改造」「毒電波対策」といった文言があれば内容を読まずに削除してください。
- B-CASカードの改造・不正利用は電波法や不正競争防止法等に抵触するおそれのある違法行為です。「無料でBS/CSが観られる」といった甘い言葉に惑わされないでください。
- メール本文中のリンクは、たとえ今アクセスできなくても踏まないでください。転送先は運営側でいつでも書き換え可能です。
- 送信者の表示名が「メールアドレスのような文字列」になっている場合は、実際のFromアドレスを必ず確認してください。
- セキュリティソフトの導入は、こうした詐欺サイトへの誤アクセスを未然に防ぐ有効な対策です。
セール広告に紛れ込ませるという新しい隠れ蓑を使っていても、中身は変わらず違法な勧誘です。件名や見た目だけで「セールの案内かな」と判断せず、本文の内容までしっかり確認する習慣を大切にしてください。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Forest
今、拡散中の詐欺メール
