【調査レポート】「個人情報保護方針に基づく再認証」えきねっと偽メール——SPF・DKIM両方Passの最高難度偽装と中国系インフラを暴く

このメールはえきねっと（JR東日本）とは無関係の、真っ赤な偽物です。
被害を未然に防ぐため、この解析結果を家族のLINEグループで共有してください。

• 1. 届いた詐欺メールの内容
• 2. 送信ルート及び偽装判定
• 3. フィッシングサイト解析：Cloudflare隠蔽の裏にAlibaba Cloud
• 4. 注意点と対処法

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです。記載のリンクには絶対にアクセスしないでください。

🔍 攻撃者のミス発見：メール冒頭に ??rder="0" style="display: block; max-width: 160px; width: 100%; height: auto;"> というHTMLタグの残骸が丸見えになっています。えきねっとロゴを表示するための画像タグを組み込もうとして、コーディングに失敗した跡です。本物のJR東日本がこのような凡ミスをするはずがありません。

■ Receivedヘッダー解析（サーバー通過証明）

【偽装判定】
正規のえきねっとからのメールは @eki-net.com ドメインから送信されます。本メールの送信元 noreply@z1x3c5v7.zh-main-caikewang.com はえきねっととは一切無関係のドメインです。

注目すべきはSPF・DKIMが両方Passしている点です。これは攻撃者が偽ドメイン（zh-main-caikewang.com）のDNS設定を正しく構成し、そのドメイン宛の認証を意図的に通過させているためです。つまり「このドメインとしては正規メール」ということであり、JR東日本を騙っていること自体が偽装です。多くのスパムフィルターを突破してしまう危険なタイプです。

送信元サーバー（161.33.152.158）：
zh-main-caikewang.com に関連するサーバーと判定されます。
【参考：日本国内中継点の位置情報】

※ロケーション情報はIPアドレスに基づく推定であり、調査時点のものです。実際の攻撃者の所在地と異なる場合があります。

インフラ命名規則：
今回確認されたドメイン群はすべて zh- プレフィックスで統一されており（zh-main-caikewang.com / zh-news-wdgames.com / zh-data-ng28gaming.com）、同一攻撃者による組織的な運営インフラと判定されます。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：
hxxps://eki-net.zh-news-wdgames[.]com/?ts=1780778646&sig=740f484f...（一部伏字）

表面ドメイン：eki-net.zh-news-wdgames.com（「eki-net」をサブドメインに仕込んだ偽装）
表面IP：172.67.135.197（Cloudflare CDN——本サーバーを隠蔽）

実サーバードメイン：zh-data-ng28gaming.com（エラー時に露出）
実サーバーIP：8.219.158.222（Alibaba Cloud——中国系クラウドインフラ）
【Alibaba Cloud北京リージョン周辺をGoogleマップで表示】

【サイトの仕掛け：デバイス判別クローキング】
アクセス端末を判別してページを出し分ける「クローキング」を実装しています。スマートフォンからのアクセスには偽えきねっとログイン画面を表示してID・パスワードを詐取、PCからのアクセスにはエラーページを返してセキュリティ研究者の調査を妨害します。このPC向けエラー表示が図らずも実サーバードメイン（zh-data-ng28gaming.com）を露出させました。

※ロケーション情報はIPアドレスに基づく推定であり、調査時点のものです。Cloudflare CDN経由のため通常は実サーバー所在地は不明です。

■ このメールを受け取ったら

1. リンクは絶対にクリックしない：「えきねっと公式サイトへ」ボタンは偽サイトへの入口です。
2. 送信元アドレスを確認する：正規のえきねっとメールのドメインは @eki-net.com のみです。それ以外は全て偽物です。
3. 公式サイトへは直接アクセス：えきねっとへのアクセスは必ずブックマークまたはブラウザで https://www.eki-net.com と直接入力してください。
4. 「当日中」という期限に焦らない：正規のえきねっとが当日限りの期限でアカウント認証を求めることはありません。
5. 情報を入力してしまった場合：すぐにえきねっとのパスワードを変更し、同じパスワードを使い回しているサービスも全て変更してください。

えきねっと公式の参考情報：
・えきねっとをかたる偽メール・偽サイトにご注意ください（えきねっと公式）

本レポートの結論

今回のフィッシングメールはSPF・DKIM認証を両方通過させる最高レベルの偽装を施しつつ、Cloudflare CDNで実サーバー（Alibaba Cloud）を隠蔽した組織的な詐欺です。「zh-」で始まる統一インフラで大量送信されており、えきねっとユーザーを標的に一日だけで15通以上が確認されています。新幹線や特急チケットを日常的に利用する方にとって、えきねっとのアカウント停止は死活問題です。その焦りを利用した巧妙な手口です。

身近な家族や友人が今まさに同じメールを受け取っているかもしれません。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📲 LINEで家族に共有する

■ 関連記事

えきねっと・JR東日本をかたる詐欺メールの関連記事はこちらの検索結果からご覧いただけます。