「Documents Pending Review」はDocuSignを騙る偽メール！受信者のドメイン名で”専用偽ログイン画面”を自動生成する巧妙な手口

2026年9月4日

今回は電子署名サービス「DocuSign」を騙る詐欺メールです。全文英語の海外発テンプレートですが、裏側の仕組みはこれまで見てきたどの手口よりも凝っていました。

【実録】「Documents Pending Review」はDocuSignを騙る偽メール：受信者のドメイン名で”専用偽ログイン画面”を自動生成する巧妙な手口

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

DocuSignを騙り、「安全な文書が届いています」と通知する英語の詐欺メールを技術解析しました。誘導先のページは、あなたのメールアドレスから会社のドメイン名を読み取り、あなたの会社名を使った専用ページのように見せかけます。テンプレートを使い回しているだけなのに、狙われた本人には「自分だけに用意された画面」に見えてしまう、巧妙な作りです。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★★ (5/5)

※重要：本メールはHTML形式で配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。文中のリンクは絶対にタップしないでください。

■ メールヘッダー解析（送信者情報）

件名：Attention Required: Documents Pending Review_Ref Id: #cs/A1Q/#zS0

差出人表示名：DocuSign

送信元アドレス：admin@uptimore.store（本物のDocuSignとは一切関係のないドメイン。正規のDocuSignは「docusign.net」を使用）

送信元IP（Received-SPF client-ip）：50.21.187.140（IONOS Cloud、米国リージョン）

SPF判定：Neutral（送信を許可も拒否もしていない、警戒すべき状態）

受信日時：2026年9月4日 15:20

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはDocuSignを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下は届いた詐欺メールの原文（英語）です。日本語の要約：「安全な文書が届いています。下のボタンから確認してください。このリンクは9/4の朝6時20分に期限切れになります」という内容で、受け取ってすぐ開封させようとする典型的な文面です。

This is an automated notification.

Document Available

[受信者のメールアドレス] has received a secure document.

[VIEW DOCUMENT]

Recipient
[受信者のメールアドレス]

Your secure document is ready for viewing. Click the button above to access it.

Thank you,
Document Services

This secure link expires on 9/4/2026 6:20:13 a.m..

Powered by your secure document delivery system.

Keep this email private.
This message contains a secure link intended only for the recipient. Please do not forward it.

Electronic document delivery allows you to securely review and access shared documents online from virtually any device

実際に届いたメールの表示画面（受信者情報は含まれません）

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Neutral; client-ip=50.21.187.140; helo=ip50-21-187-140.pbiaas.com

【偽装判定】：
ホスト名の「pbiaas.com」は、ドイツの大手ホスティング企業IONOS（旧ProfitBricks）が自動割り当てするサーバー名の形式です。正規のDocuSignとは無関係の第三者が、IONOS Cloud上に構築した送信環境から配信していることが分かります。また、リンク先の中継ページも同じIONOSのオブジェクトストレージ上に置かれており、送信から誘導まで同一のクラウド事業者を使い回している点が特徴的です。

【URLに埋め込まれた受信者情報】：
メール内リンクのパラメータには、受信者のメールアドレスがそのままURLに埋め込まれていました（Base64という方式で見た目は文字列に変換されていますが、簡単に元のアドレスへ戻せます）。これは、リンクを開いた人が誰かを攻撃者側で特定するためのトラッキング（追跡）の仕組みです。

💡ここで！なぜ会社名入りの”専用ページ”に見えるの？

メールアドレスの「＠」より後ろの部分（ドメイン）を見れば、そのアドレスがどの会社・組織のものかが分かります。今回のリンク先ページは、リンクを開いた瞬間に、埋め込まれたメールアドレスからこのドメイン部分を取り出し、「〇〇〇.jp Webmail」というように、あたかもその会社専用に用意されたログイン画面であるかのように、その場でページの見た目を作り替えていました。さらに裏側では、そのドメインが実際にどのメールサービス（Outlookなど）を使っているかを、インターネットの「MXレコード」という設定情報を調べることで判定しようともしていました。手間をかけて多くの人にばら撒くテンプレートでありながら、受け取った本人には「自分専用に届いた」ように錯覚させる、心理的にたちの悪い作りです。

■ フィッシングサイト詳細解析（多段構成）

第1段階（メール内リンク／中継ページ）：
hxxps://（異常に長い文字列）.s3.eu-central-3.ionoscloud.com/index.html?data=（受信者アドレスをBase64化した文字列）

誘導先IP：85.215.142.30（IONOS Cloud、ドイツ）

サブドメイン名には「web」「mail」「authenticator」といった単語が不自然に繰り返し詰め込まれており、フィルターや検索避けを狙ったものと考えられます。

裏側でMXレコードを調べながら、次の画面へ振り分ける準備をしている状態

最終フィッシングページ：
hxxps://cpanel.malwa.sbs/sso/index.html?email=（受信者のメールアドレス）

着地先IP：187.124.130.36（リトアニア）

受信者のメールドメイン名がタイトルとID欄に自動的に反映された偽ログイン画面

【サイトの状態】：ここでメールアドレスとパスワードを入力してしまうと、勤務先や自宅のメールアカウントのIDとパスワードを盗み取られてしまいます。メールアカウントが乗っ取られると、社内外の取引先への二次攻撃や、他サービスのパスワードリセットにも悪用される恐れがあり、被害が連鎖的に広がる危険性があります。

※解析データに基づき、攻撃者は送信・中継・着地の各インフラを複数の国・複数のクラウド事業者に分散させ、一部が検知・停止されても攻撃基盤全体は生き残る構成にしていることが確認されています。

■ 注意点と対処法

身に覚えのない「文書が届きました」通知は開かない：心当たりのない署名依頼や書類通知は、まず疑ってください。
メール内のリンクは絶対にタップしない：DocuSignの本物の通知には、メール本文に記載された「セキュリティコード」を公式サイトで直接入力する仕組みがあります。リンクを直接クリックさせる形式自体が要注意です。
会社名やドメイン名が表示されていても信用しない：今回のように、あなたの情報を使ってその場でページを作り替える手口があります。
公式の注意喚起も参照：DocuSign公式「Safety center」

本レポートの結論

「あなたの会社専用のページ」に見えても、その正体はテンプレートを使い回した詐欺サイトでした。IONOS・リトアニアと複数国のインフラを経由し、あなたのメールアドレスを材料にその場でページを作り替える手口は、これまでで最も手が込んだものの一つです。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族や同僚に『これ気をつけて！』と共有してあげてください。

LINEで共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Navy