【解析】e+plus「e̒+puls」ホモグリフ偽装メール——SPF Pass表示の罠とPC遮断・スマホのみ偽ログイン誘導の二重クローキング

ご覧の通り、このメールはe+plusを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 届いた詐欺メール
• 2. ■ 送信者名に仕込まれた二重の偽装
• 3. ■ PC遮断・スマホのみ誘導という二重クローキング
• 4. ■ 注意点と対処法

■ メールヘッダー解析

件名：[spam] 【重要】イープラス決済情報の再確認・更新手続きのご案内

送信者表示："e̒+puls" <ukyfu17@ukyfu17.eoafz.com>

送信元IP（Received-SPF基準）：52.231.70.116（韓国・Microsoft Azure）

SPF判定：Pass（ただし攻撃者が自作したドメイン自身の認証にすぎない）

受信日時：2026年7月19日 14:35

※メールヘッダー詳細は個人情報保護のため非掲載

▲ 緑のバナーで「イープラス公式アカウントより送信」を偽装した詐欺メール本文

※以下は届いた詐欺メールの本文を技術検証のために忠実に再現したものです。

イープラス
【重要】イープラス決済システム更新のご案内

平素よりイープラスをご利用いただき、誠にありがとうございます。

この度、セキュリティ基準の強化に伴い、決済情報の再確認と更新手続きが
必要となっております。

■更新の必要性
新しいセキュリティ基準により、旧情報では認証に失敗する可能性があります。
スムーズなサービス利用のため、更新をお願いいたします。

■お手続き方法
1. 下記ボタンより専用ページへアクセス
2. 登録情報の確認・更新
3. 変更内容の保存

最新情報で認証を完了する
※お手続きを完了しない場合、決済認証に失敗する可能性があります。

要対応期限：明日（07月20日・月）
対応内容：イープラス決済システム更新（セキュリティ基準強化に伴う再認証）

［今すぐ専用ページへアクセス］

イープラス運営事務局
お問い合わせ：0570-06-9911（平日9:00-18:00）

■ 偽装ポイント①：見えない文字の混入（ホモグリフ的手法）

メールヘッダーを詳しく調べると、送信者名は=?UTF-8?Q?e=CC=92+puls?=という形式でエンコードされていました。これは「e」の直後に、見た目にはほぼ気づけない特殊な結合文字（アクセント記号のような装飾を加える不可視の文字）が仕込まれていることを意味します。当ラボが以前取り上げたAmazonの「A」を「Å」に置き換える手口と同じ系統の、文字レベルでのなりすまし偽装です。

■ 偽装ポイント②：綴りの入れ替え
正しいブランド名は「e+plus（プラス）」ですが、本メールでは「e+puls」と、”l”と”u”の順番が入れ替えられています。ぱっと見では気づきにくい、典型的なタイポスクワッティング（綴り違いドメイン・表記の悪用）です。

💡 ここで！用語解説：SPF「Pass」は安全の証明ではない

SPF（Sender Policy Framework）は「そのメールアドレスの持ち主が許可したサーバーから送られたか」を検証する仕組みです。今回のメールは判定が「Pass（合格）」でしたが、これは攻撃者が自分で用意した偽ドメイン（ukyfu17.eoafz.com）自身が、そのドメインのSPF設定を正しく行っているだけにすぎません。なりすまし先であるe+plus公式ドメインとは一切関係がなく、「SPF Passだから安全」という思い込みは非常に危険です。送信元のドメイン名そのものが公式のものかどうかを、必ず確認する必要があります。

■ フィッシングサイト詳細解析

PCでアクセスした場合：hxxps://jtegpj［.］com/kALojlld → 403 Forbidden（アクセス拒否）が表示され、中身を見ることができません

スマホでアクセスした場合：hxxps://sxymp［.］com/KtzRoyfN/ → 偽のログインページへ誘導

着地サイトのIP：jtegpj.com＝47.245.63.241、sxymp.com＝8.216.51.3（いずれもAlibaba Cloud経由）

ロケーション表示について：調査ツール上ではどちらも「東京都渋谷区」という同一座標が表示されましたが、組織名を見ると一方は「Alibaba Cloud – JP」、もう一方は「Alibaba.com Singapore E-Commerce Private Limited（シンガポール法人）」でした。クラウド事業者特有の位置情報のズレと考えられ、表示上の東京都渋谷区という住所は実際の運営拠点を示していない可能性が高いため、本記事ではGoogleマップの掲載を見送ります。

▲ PC誘導先のjtegpj.comは、ウイルスバスターがフィッシングとして既にブロック対象にしていた

▲「私は人間です」という体裁の確認ボタン。実際のCAPTCHA（画像選択等の本人確認）ではなく、単に次の画面へ進ませるための演出

▲ e+plus公式サイトそっくりのログイン画面。ここでID・パスワードを入力すると攻撃者に送信される

1. 送信者名の見た目だけで信用しない：「e+plus」「イープラス」と表示されていても、実際の文字コードに不可視の文字が混入している場合があります。
2. SPF「Pass」を過信しない：攻撃者が自分のドメインで正しくSPF設定をしていれば、Pass判定は出ます。送信元ドメイン名そのものが公式かどうかを確認してください。
3. URLを絶対にクリックしない：公式サイトへは、必ずブックマークや公式アプリからアクセスしてください。
4. ID・パスワードを入力しない：入力した時点で、攻撃者にアカウント情報が渡ります。
5. もし入力してしまった場合：直ちに公式サイトから正規の手順でパスワードを変更し、クレジットカードを登録している場合はカード会社にも連絡してください。

本レポートの結論

「e」の1文字に仕込まれた不可視の細工、SPF Passという一見安心できそうな判定、そしてPCとスマホで表情を変えるクローキング——今回のe+plus偽装メールは、複数の偽装テクニックが重ねられた、かなり手の込んだ作りでした。「公式っぽく見えるから」「認証が通っているから」という表面的な安心材料は当てにならないことを、改めて心に留めておいてください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。