e+plus「会員情報更新のリマインダー」は詐欺！続報——ポーランド発Azureを踏み台にした新たな送信インフラを解析

2026年7月25日

e+plus「会員情報更新のリマインダー」は詐欺！続報——ポーランド発Azureを踏み台にした新たな送信インフラを解析

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

チケット販売大手「e+plus（イープラス）」を騙るフィッシングメールが、また新しい形で届きました。以前の解析では韓国発・インド発のMicrosoft Azureが送信元として使われていましたが、今回はさらにポーランド・ワルシャワのAzureリージョンが踏み台にされていることが判明しました。攻撃者が世界各地のAzureリージョンを転々と使い回している実態が、また一つ裏付けられた形です。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)

※重要：本文中のリンクからログインすると、e+plusアカウントのID・パスワードを盗まれるおそれがあります。絶対にクリックしないでください。

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ 不審メールの基本情報
2. ■ メール本文の再現
3. ■ 送信ルート及び偽装判定
4. ■ 送信元の回線情報（ip-sc.net確認）
5. ■ フィッシングサイト詳細解析
6. ■ 過去記事との関連
7. ■ 注意点と対処法

■ 不審メールの基本情報

件名：【e+より】会員情報更新のリマインダー

差出人表示名：“e+plus” <info@mailer14.tv-leisu-sports.com>（e+plus公式とは無関係の独自ドメイン）

受信日時：2026年7月24日

※メールヘッダー詳細は個人情報保護のため非掲載です。

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは無効化して掲載しています。

いつもイープラスをご利用いただき、誠にありがとうございます。

このたび、会員システムのリニューアルに伴い、まだ更新がお済みでないアカウントに関して、
更新手続きをお願い申し上げます。

引き続きサービスをご利用いただくには、2026年7月30日までに更新手続きを完了してください。

▼ ログインして更新手続きを行う

ログイン後は、マイページにて現在の登録情報をご確認ください。

更新を希望されない場合、特別な手続きは不要です。一定期間ログインがない場合は、
弊社にてアカウントを停止させていただきます。

イープラスアプリをご利用中の方は、アカウント停止後、アプリとの連携が解除される
場合がありますのでご注意ください。

会員情報が未更新の場合、一部サービス（例：購入済みチケット情報など）へのアクセスに
制限がかかることがあります。お早めの更新をおすすめします。

「イープラス ヘルプページ」はこちらからご確認いただけます：[ 確認する ]

※このメールアドレスは配信専用となっております。
本メールに返信しても対応できませんのでご了承ください。

実際に受信した詐欺メールの画面

「アカウント停止」「アプリ連携解除」「購入済みチケットへのアクセス制限」と、チケットを持っている人ほど不安になる要素を丁寧に並べているのが特徴です。逆に言えば、身に覚えのない更新案内が届いても、慌てて「ログイン」を押さなければ何も起きません。

■ 送信ルート及び偽装判定

■ 送信元の解析

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass client-ip=20.215.185.202; helo=mailer14.tv-leisu-sports.com; envelope-from=info@mailer14.tv-leisu-sports.com

DKIM署名：あり（ただし`mailer14.tv-leisu-sports.com`という攻撃者自身が用意した独自ドメインでの自己署名。e+plus公式ドメインとは無関係）

【偽装判定】：
SPF・DKIMともに「認証OK」の判定が出ていますが、これはあくまで送信元として名乗っている`mailer14.tv-leisu-sports.com`というドメイン自体との整合性が取れているだけです。e+plusの正規ドメイン（eplus.jp／eplus.ne.jp）とは一切関係がありません。認証結果が良好であることと、ブランドの正当性は別の話です。

■ 送信元の回線情報（ip-sc.net確認）

IPアドレス：20.215.185.202

プロバイダー：Microsoft Corporation（AS8075 / MICROSOFT-CORP-MSN-AS-BLOCK）

利用形式：hosting（Microsoft Azure）

所在地：ポーランド・マゾフシェ県ワルシャワ

脅威レベル（ip-sc.net判定）：低

脅威レベルが「低」と表示されていますが、これはMicrosoft Azureが誰でも契約できる正規のクラウドサービスであるためで、危険性が低いという意味ではありません。正規クラウド事業者のインフラを踏み台にすることで、単純なIPブラックリスト方式のフィルターをすり抜けやすくなるという側面があります。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://86wxjd［.］com/eP-1-Us-jp-jp

リンク先へアクセスすると、まずセキュリティソフト側で警告が表示されました。

ウイルスバスタークラウドが「安全ではない可能性があります」と警告した画面

Google Chromeのセーフブラウジング機能でも、同様にフィッシングサイトとして検出・警告されています。

Google Chromeが表示した「危険なサイト」警告画面

警告を解除して先に進むと、e+plus公式サイトのデザインをほぼそのまま再現した偽のログイン画面が表示されました。

誘導先で表示された偽のe+plusログイン画面。背景の公式サイトデザインも含め精巧に再現されている

背景に表示されている正規サイトのイベント告知バナーまで含めてほぼそのまま流用されており、ここにID・パスワードを入力するとアカウントが乗っ取られます。ウイルスバスターとChromeの両方で警告が出ていた点だけは、攻撃者にとって唯一の誤算だったと言えそうです。

■ 過去記事との関連

e+plusを騙るフィッシングメールは、これまでも複数回確認しています。2026年7月には韓国発のAzureを踏み台にし、プレーンテキスト版にゼロ幅文字を注入する難読化工作を行っていた事例（過去記事：e+plus「決済システム更新のご案内」は詐欺！韓国発Azure×ゼロ幅文字注入×二重ドメイン「.com.com」の新手口）、インド発のAzureとドイツ経由の中継を組み合わせ、アクセス端末によって表示内容を変えるクローキングまで実装していた事例（過去記事：e+plus「決済システム更新」また新手口 ― 電話番号を騙る誘導とインド発Azure・独国発中継のリレー構造）を確認しています。今回のポーランド発Azureも含めると、攻撃者はここまでに少なくとも3つの異なる国・地域のAzureリージョンを使い分けていることになります。件名や本文の切り口を変えながら、送信インフラだけは一貫して大手クラウド事業者を渡り歩いている点が、この攻撃者グループの特徴と言えそうです。

■ 注意点と対処法

URLをクリックしない：「会員情報更新」「ログイン」等の文言があっても、メール内のリンクは開かないでください。
セキュリティソフト・ブラウザの警告は無視しない：「危険なサイト」と表示された場合、そのまま引き返すのが安全です。
公式サイト・アプリから直接確認：会員情報の確認は、必ず日頃ブックマークしているe+plus公式サイトまたは公式アプリから行ってください。
誤って情報を入力してしまった場合：直ちにパスワードを変更し、e+plusのサポート窓口へ正規の連絡先を通じてご連絡ください。

本レポートの結論

e+plusを騙るフィッシング詐欺は今回で少なくとも3例目の確認となり、送信元は韓国・インド・ポーランドと、Microsoft Azureの各地域リージョンを渡り歩いています。SPF・DKIMともに「認証OK」でも安心できないこと、誘導先ではセキュリティソフトやブラウザの警告をきちんと確認することが被害防止の鍵です。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Burgundy