【続報】e+plus「決済システム更新のご案内」に新手口！“迷惑”を自称する件名と、見えない乱数文字の仕掛け

2026年7月31日

HEARTLAND-LAB SECURITY REPORT｜続報

【続報】e+plus「決済システム更新のご案内」に新手口！“迷惑”を自称する件名と、見えない乱数文字の仕掛け

前回、Azure（韓国リージョン）を踏み台にした「.com.com」二重ドメイン事件をご紹介したe+plusなりすましメール。今回は送信インフラを一新した新しい個体が届きました。件名に自ら「迷惑」を名乗る奇妙な仕掛けと、本文の奥に隠された乱数の壁を解析します。

連日厳しい暑さが続いていますが、皆さまお変わりありませんか。そんな中、受信箱にはいつも通り涼しい顔をした詐欺メールが届きます。今回はチケット販売サービス「e+plus」を騙るメールの、しかも“見覚えのある”手口の続報です。

■ 調査レポート概要

危険度評価：★★★★☆（4/5）

前回記事でご紹介した「e+plus決済システム更新のご案内」を騙るフィッシングメールの、送信インフラを一新した続報です。件名・本文の構成テンプレートは酷似していますが、送信元ドメイン・誘導先ドメインは前回と異なる新しいものでした。

受信日時	2026年7月30日
送信元ドメイン	mailer09.1ybgo.com
SPF判定	Pass（送信元として認証されているのみで、e+plus公式とは無関係）
DKIM判定	unknown（署名は存在するが検証結果は今回未確認）
誘導先ドメイン	`hxxps://libs0[.]com/eP-1-Us-jp-jp`
送信基盤	Microsoft Azure（詳細リージョン：unknown）

※メールヘッダー詳細は個人情報保護のため非掲載

⚠ このe+plusからのメールは偽物（フィッシング詐欺）です

まずは実際に届いたメールの画面をご覧ください。

画像：実際に届いたe+plusなりすましメールの表示画面

本文をテキストとして再現すると、以下のような内容でした。

【重要】e+plus決済システム更新のご案内

平素よりe+plusをご利用いただき、誠にありがとうございます。

この度、セキュリティ基準の強化に伴い、決済情報の再確認と更新手続きが必要となっております。
※更新手続きをお済ませいただかない場合、決済認証に失敗する可能性がございます。

要対応期限：2026-07-30（当日中）
対応内容：決済情報の再登録・認証手続き

認証手続きは下記の専用ボタンよりお進みください。
（※セキュリティ保護のため、必ずご自身でブラウザを開き直接アクセスするか、e+plus公式アプリからお手続きください）

［認証手続きを開始する］

本メールに心当たりがない場合や、不審な点がある場合は直ちにe+plusカスタマーセンターまでご連絡ください。
※本メールは送信専用アドレスより配信されています。返信いただいてもご回答できません。

「セキュリティ強化のため」「本日中に対応を」という、危機感を煽って冷静な判断をさせない典型的な文言が並んでいます。

1. 送信ルートと偽装判定
2. 用語解説：見えない文字の二段仕掛け
3. 「[meiwaku]」タグはどこで付いたのか
4. 誘導先サイトと見分け方
5. 注意点と対処法

送信ルートと偽装判定

送信元として認証されていたのはmailer09.1ybgo.comというドメインで、Microsoft Azure上のサーバーから送信されていました。SPF自体は「Pass」と表示されますが、これは「1ybgo.comというドメインが自分自身を名乗ることを許可している」という意味に過ぎず、e+plus公式であることを証明するものでは一切ありません。クラウド上に誰でも作れる送信基盤を用意し、そこから正規に見えるSPFを通しているだけの状態です。

前回ご紹介した記事（「【解析】e+plus『決済システム更新のご案内』は詐欺！韓国発Azure×ゼロ幅文字注入×二重ドメイン『.com.com』の新手口」）と件名・本文構成はほぼ同一ですが、今回は送信ドメイン・誘導先ドメインの両方が刷新されていました。同じ攻撃者、あるいは同じテンプレートを使う別グループが、インフラを使い捨てながら繰り返し送りつけてきていると考えられます。

用語解説：見えない文字の二段仕掛け

① ゼロ幅文字（本文の単語の中に埋め込み）

メールのHTMLソースを表示すると、「決済」「更新」などの単語の一文字ずつの間に、目には見えない特殊な文字（ゼロ幅ノーブレークスペースなど）が挟み込まれていました。人間の目には普通の日本語に見えますが、内部データ上は文字がバラバラに分断されており、「決済」「更新」といった単語をそのまま検知する迷惑メールフィルターをすり抜けやすくする狙いがあります。こうした仕掛けは、メール本文をテキストエディタに貼り付けたり、HTMLソースとして表示したりすることで、見えない文字が特殊な記号として可視化され、発見できます。

② 非表示の乱数ブロック（本文の末尾に丸ごと追加）

今回はさらに、メール本文の一番最後に「白文字・極小フォント・非表示指定」で隠された、意味のないランダムな文字列の塊が追加されていました。テキスト表示に切り替えると、本文の下に大量の英数字が現れます。これはゼロ幅文字とは別の手口で、迷惑メールフィルターの学習型判定（ベイズ判定）やメール本文のハッシュ値による重複検知を撹乱するために、メールごとに違う「無意味なノイズ」を混ぜ込む常套手段です。

画像：テキスト表示にすると本文末尾に現れる非表示の乱数文字列

「[meiwaku]」タグはどこで付いたのか

受信箱の件名は「[spam] [meiwaku] 【重要通知】e+plus決済システム更新のご案内」と表示されていました。実はこの2つのタグ、付いた場所がまったく違います。

「[spam]」は、こちら側の受信メールサーバーが独自の判定で機械的に付加したタグです。

「[meiwaku]」はメールヘッダーを詳しく調べると、件名そのものの中に、日本語部分と一体でエンコードされて書き込まれていました。つまり受信側のフィルターが付けたのではなく、送信者自身が最初から件名にこの文字列を書き込んでいたということです。なぜ攻撃者がわざわざ自分から「迷惑」と名乗る文字列を件名に含めたのかは断定できませんが、実在の迷惑メール報告・転送のやり取りで使われる件名テンプレートをそのまま流用してしまった可能性が考えられます。

誘導先サイトと見分け方

メール内のボタンのリンク先は hxxps://libs0[.]com/eP-1-Us-jp-jp でした。アクセスすると、まずセキュリティソフト（ウイルスバスタークラウド）が「フィッシングサイトの可能性」として警告・ブロックしました。

画像：誘導先URLはアクセス時点でセキュリティソフトにフィッシングサイトと判定されている

この警告を解除して先へ進んでみたところ、表示されたのは本物のe+plus公式サイトとほぼ同一のマゼンタ／ピンク基調のログイン画面でした。レイアウト・配色ともに精巧に再現されており、単純な色の違和感だけでは見抜けないレベルの完成度です。

画像：偽サイトのログイン画面。本物とほぼ同じマゼンタ基調で精巧に再現されている

比較のため、正規のe+plus公式サイトのログイン画面も掲載します。

画像：本物のe+plus公式サイトのログイン画面

つまり今回の手口は二段構えです。最初に届くメール本文は水色（#00ADEF）基調で公式のピンク系ブランドカラーとは異なるため、ここで違和感に気づけます。しかしリンク先の偽サイトそのものは本物とほぼ同じデザインで作り込まれており、いったんクリックしてしまうと画面の見た目だけで偽物と判断するのは困難です。だからこそ、色の違和感に気づいた時点でメールの指示に従わないことが何より重要になります。

LINEでこの記事を送る

注意点と対処法

本文中のリンクやボタンは絶対にクリックしないでください。
今回のように、リンク先の偽サイト自体は本物とそっくりに作られていることがあります。「サイトの見た目が本物と同じだから安心」とは判断せず、URLをリンクから開いた時点でアウトだと考えてください。
e+plusの利用状況を確認したい場合は、メール内のリンクからではなく、公式アプリまたはブックマークしている公式サイトから直接アクセスしてください。
「本日中」「更新しないと失敗する」といった期限を切って急がせる文言は、詐欺メールの典型的な手口です。慌てて操作しないことが一番の防御になります。
もし誤ってリンク先にクレジットカード情報やパスワードを入力してしまった場合は、直ちにカード会社への連絡とパスワード変更を行ってください。

e+plusを名乗るメールに限らず、「今日中に」「更新しないと使えなくなる」という急かし文句を見たら、まずは一呼吸置いてください。

正規サービスからの重要な連絡は、公式アプリやブックマーク済みの公式サイトでも必ず確認できます。

LINEでこの記事を送る

Data Provided by Heartland-Lab Security Research Unit

IPアドレス情報参照：ip-sc.net

使用配色テーマ：Teal