【続報】DHL EXPRESS「配送先と支払い情報を確認してください」詐欺、同一のポーランド発IPが手数料を1.99ドルに変更し再送——今度は精巧な偽サイトが稼働中

2026年7月24日

【続報】DHL EXPRESS「配送先と支払い情報を確認してください」詐欺、同一のポーランド発IPが手数料を1.99ドルに変更し再送——今度は精巧な偽サイトが稼働中

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

2026年7月15日にご紹介した「DHL EXPRESSを騙る配送先と支払い情報を確認するメール」の続報です。件名はほぼ同じですが、送信元IPが完全に一致しており、同一の攻撃者が9日後に手口を微調整して再送してきたことが確認できました。

※重要：本文中のリンクをクリックし、案内に従って支払い手続きを進めるとクレジットカード情報を盗まれるおそれがあります。絶対にクリックしないでください。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)

■ メールヘッダー解析（送信者情報）

件名：[spam] [DHL EXPRESS] 配送先と支払い情報を確認してください。

表示名：「DHL EXPRESS［自社ドメインを想起させる文字列］account.」＜［同文字列］account.@message.net＞

SPF：Fail（認証失敗）

受信日時：2026年7月23日

※メールヘッダー詳細は個人情報保護のため非掲載です。

ご覧の通り、このメールはDHL EXPRESSを装った真っ赤な偽物です。7月15日と同一の攻撃者による再送です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。送信者アドレス等は個人情報保護のため伏字にしています。

お客様各位

配送伝票番号 US789******46US の荷物が通関手続き中であることをお知らせいたします。
この貨物には関税が課される品目が含まれており、通関には支払いが必要です。

お支払い額：1.99$

オンラインで関税をお支払いいただけます。当社ウェブサイトにアクセスし、案内に従って手続きを行ってください。

［情報を更新する］

注記：2〜3回の配達試行後も受取人が不在の場合、荷物は送り主に返送されます。

敬具
DHL EXPRESS カスタマーサービスチーム

実際に受信した詐欺メールの画面。送信者欄は個人情報保護のためマスクしています

■ 送信ルート及び偽装判定——7月15日の記事との比較

項目	7/15記事	今回（7/23）
送信元IP	5.185.151.166	5.185.151.166（完全一致）
SPF判定	Fail	Fail
請求手数料	2.11ドル（本文中は2.99ドルとの矛盾あり）	1.99ドル
誘導先ドメイン	colibridistribuidora.com.br	peclaw.com.br
サイトの状態	読み込み中断で内容確認不可	DHL公式サイトを精巧に模倣した状態で稼働中

【偽装判定】：
送信元IPが前回と完全に一致していることから、同一の攻撃者（またはグループ）が同じ送信インフラを使い回していることはほぼ確実です。手数料の金額や誘導先ドメインを変えながら、繰り返し似た内容のメールを送りつけていると考えられます。今回も表示名に自社ドメインを想起させる文字列を含めるという、前回と同じ偽装テクニックが使われていました。

■ フィッシングサイト詳細解析

誘導先ドメイン：peclaw.com.br

サイトサーバーIP：216.172.172.172

回線情報（ip-sc.net確認）：
プロバイダ：Oracle Corporation／AS31898（ORACLE-BMC-31898）／利用形式：hosting

ロケーション：ブラジル　サンパウロ州　ヴィニェード

【サイトの状態】：前回記事では誘導先サイトが読み込み中断状態でしたが、今回はDHL公式サイトの追跡ページを精巧に模倣した偽サイトが実際に稼働していました。「peclaw」という法律事務所を思わせるドメイン名で、ブラジルの正規サイトが乗っ取られて悪用されている可能性が高いパターンです。

法律事務所のサイトを乗っ取って国際配送業者になりすますとは、攻撃者もずいぶん自由な業種転換をするものです。

誘導先で実際に表示された、DHL公式サイトを精巧に模倣した偽の追跡ページ

■ 注意点と対処法

少額の手数料でも油断しない：1〜2ドル程度の少額請求は、カード情報を入力させるための「入口」に過ぎません。
メール内のリンクをクリックしない：荷物の追跡・関税確認は必ずDHL公式サイトから、手元の正規の追跡番号で行ってください。
サイトが精巧に作られていても信用しない：今回のように見た目が本物そっくりでも、URLのドメインが公式のものと異なれば偽サイトです。
同じ攻撃者から繰り返し届く可能性を認識する：今回のように同一の送信元から手を変え品を変え再送されるケースがあります。一度見分けた手口は覚えておきましょう。

本レポートの結論

7月15日の記事と送信元IPが完全に一致する、同一犯による再送でした。前回は表示できなかった偽サイトが、今回は精巧な形で実際に稼働していたことから、攻撃者側がインフラを立て直して再挑戦してきたことがうかがえます。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Charcoal