【実録】e+plus「決済システム更新のご案内」続報！SPF Pass詐称の罠、ウイルスバスターとChromeが三重に止めた危険なリンクの正体

2026年7月27日

夏のライブやフェスのチケット争奪戦が続く季節ですね。そんな中、e+plus（イープラス）を騙る詐欺メールの新しい手口が届きましたので、続報としてお届けします。

1. 📋 調査レポート：概要
2. 実際に届いたメール本文
3. 送信ルートと「SPF Pass」の落とし穴
- 3.1. 💡ここで！見えない文字による徹底した難読化
4. 誘導先で三重に鳴った警告
5. 送信元IPアドレスの詳細
6. 過去の関連記事
7. こんなときどうする？対策リスト
8. まとめ

📋 調査レポート：概要

件名	[spam] 【重要通知】e+plus決済システム更新のご案内
差出人表示	“e+plus 公式アカウントより送信” <pwsgg@pwsgg.ahzhangxian.com>
受信日時	2026年7月26日 10時39分頃
送信元IP（地域）	米国のクラウドサーバー（Microsoft Azure）
SPF判定	Pass（ただし要注意。詳細は本文参照）
危険度評価	★★★★★（非常に高い） SPF Pass表示・激しい難読化・複数のセキュリティ警告を突破する誘導構成

🚨 これはe+plus（イープラス）を装った詐欺メールです。リンク先で複数の警告が出ても、絶対に「進む」を選ばないでください。

実際に届いたメール本文

実際に届いたメールの文面です。

e+plus

【重要】e+plus決済システム更新のご案内

平素よりe+plusをご利用いただき、誠にありがとうございます。

この度、セキュリティ基準の強化に伴い、決済情報の再確認と更新手続きが必要となっております。
※更新手続きをお済ませいただかない場合、決済認証に失敗する可能性がございます。

要対応期限：2026-07-26（当日中）
対応内容：決済情報の再登録・認証手続き

［認証手続きを開始する］

⚠️ 本メールに心当たりがない場合や、不審な点がある場合は直ちにe+plusカスタマーセンターまでご連絡ください。
※ 本メールは送信専用アドレスより配信されています。返信いただいてもご回答できません。

🔒 不審なリンクはクリックせず、e+plus公式アプリからアクセスすることを推奨します。

e+plus
〒100-0005 東京都千代田区丸の内一丁目1-1
カスタマーサポート：0573-818-8723（無料）
* 紛失・盗難のご連絡は、24時間年中無休で承っております。

2026 e+plus / E-Plus

▲実際に届いたメールの画面です。ロゴやレイアウトが本物のe+plusにそっくりに作り込まれています。

※メールヘッダー詳細は個人情報保護のため非掲載

送信ルートと「SPF Pass」の落とし穴

今回のメールで特に注意していただきたいのが、SPF（送信元のメールサーバーが、そのドメインの管理者によって正式に許可されているかを確認する仕組み）の判定です。ヘッダーを確認すると、判定は「Pass（認証成功）」と表示されていました。これだけ見ると「ちゃんと認証されているから安全そう」と思ってしまいそうです。

しかし、ここに大きな罠があります。SPFが確認しているのは、あくまで「送信元のサーバーが、差出人アドレスに書かれたドメイン（pwsgg.ahzhangxian.com）の正規サーバーかどうか」だけです。差出人アドレス自体がe+plusとは無関係などころか、攻撃者が自分で用意したドメインである以上、「そのドメイン内では正規」と言われたところで、e+plusの正規メールであることの証明には一切なりません。SPFが「Pass」だからといって、安心材料にはならないケースがあるという好例です。

送信元をさらにたどると、メールは米国のMicrosoft Azure上のサーバーから送られており、その手前には日本語のホスト名（「shinjuku.tokyo.jp」を含む文字列）を持つ別のサーバーを認証付きで経由した形跡もありました。ホスト名だけを見ると日本国内のサービスのように錯覚しますが、実際の所在地は米国と判定されています。攻撃者が、正規のメール配信基盤を装った送信代行サービスのようなものを利用している可能性があります。

💡ここで！見えない文字による徹底した難読化

このメールの元データをテキストエディタに貼り付け、書式なしのプレーンテキストとして表示させたところ、「決済」「システム」「更新」といった言葉はもちろん、ほぼすべての文字と文字の間に、ゼロ幅文字と呼ばれる画面には表示されない特殊な文字が挟み込まれていることが分かりました。人の目には普通の日本語の文章に見えますが、コンピューター上のデータとしては一文字ずつバラバラに分断されています。これは、迷惑メールを自動でふるいにかけるフィルターが単語のかたまりを検知できないようにするための徹底した偽装で、これまでにご紹介したどの記事よりも埋め込みの密度が高いものでした。

誘導先で三重に鳴った警告

今回もっとも注目すべきなのが、実際にリンクへアクセスした際の流れです。Heartが確認したところ、リンク先に到達するまでの間に、セキュリティソフトとブラウザによる警告が3回も表示されました。

まず、ウイルスバスター（トレンドマイクロ製のセキュリティソフト）による「このWebサイトは、安全ではない可能性があります」という警告画面が表示されました。

▲第1段階：ウイルスバスターが最初の中継ドメインを「フィッシング」として検知し、警告を表示しました。

この警告をあえて通過すると、今度は「安全な接続を確認しています」という読み込み中の画面が表示され、さらに別のドメインへ転送されます。

▲第2段階：接続確認を装った中継用の画面。この裏側で次のドメインへ転送されています。

転送先で再び、今度は別のドメインに対してウイルスバスターの警告が表示されます。

▲第3段階：転送先の別ドメインに対しても、再びウイルスバスターが危険性を検知しました。

それでも先へ進もうとすると、今度はセキュリティソフトだけでなくブラウザ自体（Google Chromeの「セーフブラウジング」機能）も独自に危険性を検知し、赤い全画面の警告を表示します。

▲第4段階：セキュリティソフトとは別に、ブラウザ自身も独立してフィッシングサイトを検知し、強い警告を表示しました。

これら3種類・計4回の警告をすべて無視し「安全でないサイトにアクセスする」を選び続けた場合にのみ、最終的に本物そっくりの偽ログイン画面が表示されるという構成でした。

▲最終段階：e+plus公式サイトの上に、精巧に作り込まれた偽のログインポップアップが表示されます。ここでID・パスワードを入力すると、そのまま攻撃者に送信されてしまいます。

セキュリティソフトやブラウザの警告は、まさにこうした被害を防ぐために存在します。「表示が邪魔だから」「早く進みたいから」といった理由で警告を無視してしまうと、せっかくの防御機能が意味をなさなくなってしまいます。警告が出た時点で、それ以上は絶対に進まないでください。

送信元IPアドレスの詳細

送信元IPアドレスの詳細情報は、下記の外部サイトでどなたでも確認いただけます。

🔗 ip-sc.net による送信元IP調査結果

※調査時点の情報であり、日々変化する可能性があります。誘導先の一部はCloudflare（多数のウェブサイトが利用する保護サービス）を経由しており、実際の運営場所を特定できない状態でした。

過去の関連記事

e+plusを騙るフィッシング詐欺は、これまでも複数回ご紹介してきました。送信インフラを変えながら繰り返し届いていますので、あわせてご確認ください。

こんなときどうする？対策リスト

✅ セキュリティソフトやブラウザが「危険」と警告した時点で、それ以上絶対に進まない
✅ 「SPF Pass」等の技術的な表示があっても、差出人のメールアドレス自体が正規ドメインかどうかを必ず自分の目で確認する
✅ e+plusの決済情報を確認・変更する場合は、メール内のリンクではなく、必ず公式アプリまたはブックマークした公式サイトから行う
✅ 「本日中」など期限を強く迫る文言を見たら、まず落ち着いて公式サポートに確認する
✅ 万が一IDやパスワードを入力してしまった場合は、速やかにe+plus公式のサポート窓口へ連絡し、パスワード変更などの対応を行う

まとめ

今回のメールは、SPFの「Pass」表示という一見安心できそうな情報を逆手に取り、さらに複数のセキュリティ警告をかいくぐらせる構成になっていた、非常に手の込んだ詐欺メールでした。技術的な表示を鵜呑みにせず、警告が出たら引き返す勇気を持つことが、何よりの防御になります。この解析結果が、ご家族や周りの方への注意喚起の参考になれば幸いです。よろしければ下のボタンからLINEでシェアしていただけると、被害の予防につながります。

LINEでこの記事をシェアする

Data Provided by Heartland-Lab Security Research Unit
調査日：2026年7月27日／根拠データ参照元：ip-sc.net
※本記事に記載のIPアドレス・ロケーション情報は調査時点のものであり、日々変化する可能性があります。本記事の情報に基づいて生じた損害について、当ラボは責任を負いかねます。