【続報】国勢調査2026詐欺がリバイバル——新ドメインで再送、なぜか最終着地は「労働力調査」の偽サイトという珍事

HL-META: date=2026-07-28 | brand=総務省統計局 | sender_geo=米国 | site_geo=韓国 | spf=pass | dkim=unknown | cloaking=unknown

ご覧の通り、このメールは総務省統計局を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（実際にはHTMLメール形式で届いています）。

---

━━━━━━━━━━━━━━━━━━━━
総務省統計局　国勢調査2026
━━━━━━━━━━━━━━━━━━━━

お客様各位

平素より国勢調査へのご協力を賜り、誠にありがとうございます。

━━━━━━━━━━━━━━━━━━━━
■ 現在、国勢調査2026のご回答が確認できておりません
━━━━━━━━━━━━━━━━━━━━

国勢調査は、すべての住民を対象とした国家の基幹統計調査であり、回答は法令に基づく義務です。

回答期限が近づいております。まだお手続きがお済みでない場合は、早めのご回答をお願いいたします。

未回答の場合、統計法第13条に基づき、罰則（過料）の対象となる可能性があります。

━━━━━━━━━━━━━━━━━━━━
■ 回答期限
━━━━━━━━━━━━━━━━━━━━

2026年7月31日(金)　23:59まで

━━━━━━━━━━━━━━━━━━━━
■ オンライン回答の流れ
━━━━━━━━━━━━━━━━━━━━

ステップ1　以下のURLにアクセスし、回答ページへ進む
ステップ2　画面の案内に従い、必要事項を入力
ステップ3　内容を確認のうえ、送信を完了

▼ 国勢調査に回答する
https://www.soumu.go.jp/online/ （※実際のリンク先は本文中で解説）

※スマートフォン・パソコンから、いつでも回答できます
※ボタンが表示されない場合は、上記URLを直接クリックしてください

━━━━━━━━━━━━━━━━━━━━
■ 本メールについて
━━━━━━━━━━━━━━━━━━━━

本メールは送信専用です。ご返信いただいても対応できません。
ご不明な点は、国勢調査オンラインお問い合わせ窓口をご確認ください。

━━━━━━━━━━━━━━━━━━━━

総務省統計局
7RPMZHJP8

■ 送信ルート及び偽装判定

表示上の送信者：“国勢調査オンライン” <info@soumu.go.jp>（政府ドメインを名乗る表示名）

実際の送信元（SPF client-ip）：104.211.26.124
HELO：yilaimall.com
この送信元IPはMicrosoft Azure（米国バージニア州のデータセンター）に割り当てられたものです。ただしこれはAzureの汎用サーバー所在地であり、攻撃者本人の実際の所在地を示すものではありません。

【偽装判定】：SPF認証は「Pass（合格）」と表示されますが、これは表示上の送信ドメイン「soumu.go.jp」ではなく、攻撃者が用意した「yilaimall.com」というドメインを認証しているにすぎません。正規の総務省統計局からのメールは政府の公式ドメイン（go.jp）から送信されており、本メールの実際の送信インフラとは一切関係がありません。メール本文にはsoumu.go.jpを名乗るDKIM署名（電子的な送信元証明の一種）も付与されていましたが、正当性を検証できる記録は確認できませんでした。

【リンクの二重偽装】：メール本文に表示されているリンク文字列は「https://www.soumu.go.jp/online/」という正規サイトそっくりの見た目ですが、実際にクリックした際の遷移先（実リンク）は全く別の「ranovikexanora.com」というドメインでした。表示文字列と実際の遷移先が異なるのは、フィッシングメールの典型的な偽装手口です。本文をコピーしてメモ帳などのテキストエディタに貼り付けたり、メールソフトでリンクにカーソルを合わせて実際のURLを確認したりすることで、この偽装を見抜くことができます。

💡ここで！ 用語をやさしく解説

SPF（エスピーエフ）：「このメールは正規の送信元から届いていますか？」を確認する仕組みです。今回は「yilaimall.com」というドメインについては合格判定でしたが、それは総務省とは無関係の攻撃者ドメインだった、という点がポイントです。

DKIM（ディーキム）：メールが送信後に改ざんされていないかを電子署名で証明する仕組みです。今回は署名自体は付いていましたが、有効性を確認できる記録がなく、見せかけの可能性があります。

クラウドホスティング：Microsoft AzureやTencent Cloudのように、世界中の企業が間借りできるサーバー貸し出しサービスです。攻撃者もこうした一般企業向けサービスを悪用して詐欺サイトを一時的に構築しています。

■ フィッシングサイト詳細解析（2段階誘導）

【第1段階】誘導先URL（伏せ字）：hxxps://ranovikexanora［.］com/page/xxxxxxxxxx
サーバーIP：43.163.207.119（Tencent Cloud、日本国内のデータセンターとして登録）
アクセスすると、本物のセキュリティ確認を装った「盾アイコンを3つタップしてください」という認証画面が表示されます。

【第2段階】最終着地URL：hxxps://kgpzgbxegka［.］top/jp
サーバーIP：43.155.174.59（Tencent Cloud、韓国ソウル特別市のデータセンターとして登録）

この認証画面を突破した先に表示されたのは、なぜか「国勢調査」ではなく「労働力調査」という総務省統計局の別の統計調査を装った偽ページでした。件名も本文も「国勢調査2026」だったにもかかわらず、着地点だけ別の調査のテンプレートを使い回してしまったようです。攻撃者側のテンプレート取り違えと見られ、詐欺の巧妙さの割に詰めが甘いお粗末な一幕でした（笑）。

なお、Tencent Cloud・Microsoft Azureともに世界中の一般企業も利用する大規模クラウドサービスであり、これらのIPアドレス自体が「危険」というわけではなく、攻撃者が一時的に間借りしている状態にすぎません。実際の攻撃者の所在地はこれらの情報だけでは特定できません。

■ 過去の関連記事（続報について）

同じ「国勢調査2026 回答期限のご案内」を騙る詐欺メールについては、これまでも複数回取り上げてきました。

・2026年6月21日〜27日の7日間で27件を確認した際の解析：【続報】国勢調査2026詐欺、7日間で27件確認！総務省も公式に注意喚起した同一手口の正体（https://ymg.nagoya/census2026-27ken-shukei-2026/）

・送信元・誘導先ドメインを一新し、スマホ限定のクローキング機能まで実装した回：【続報】国勢調査2026「罰則適用前最終通知」詐欺が一新——イタリア発送・スマホ限定の偽サイトでクローキングを実装（https://ymg.nagoya/census2026-gaitame-cloaking-2026/）

今回はさらに送信元・誘導先ドメインを総入れ替えしたリバイバル版であり、攻撃者が同じ文言のテンプレートを使い回しながら、送信インフラだけを次々と使い捨てていることがうかがえます。

■ 注意点と対処法

1. URLをクリックしない：表示されているリンク文字列と実際の遷移先が異なる偽装が使われています。メール内のリンクは絶対にクリックしないでください。
2. 国勢調査はメールで案内されない：総務省統計局は、国勢調査の回答状況確認や回答のお願いをメールで行うことは絶対にないと明言しています。「法令に基づく」「罰則」といった脅し文句自体が詐欺のサインです。
3. 公式の注意喚起を確認：総務省｜総務省統計局をかたった不審メールの注意喚起（総務省公式サイト）でも同種のメールについて注意喚起が出されています。
4. 迷ったら家族や周囲に相談：特にご高齢の方は、一人で判断せずに家族や身近な人に確認してから行動することをおすすめします。

本レポートの結論

「国勢調査2026 回答期限のご案内」を騙る詐欺メールは、送信元・誘導先ドメインを次々と使い捨てながら、通知番号違いで大量にばらまかれる形で繰り返し届いています。表示リンクと実際のリンク先が異なる偽装、そして最終的に別の調査を装った偽ページに着地するというお粗末な一幕もありましたが、詐欺の危険性自体は変わりません。身近な方が慌てて手続きしてしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。