【続報】国税庁・e-Tax「還付金の処理状況に関するお知らせ」詐欺——開封確認要求と偽装Receivedヘッダーの新手口を解析

■ メールヘッダー解析（送信者情報）

件名：[spam] 税務署からのお知らせ【還付金の処理状況に関するお知らせ】

差出人表示名：文字化けした表示名（デコードすると「e-Tax（国税電子申告・納税システム）」を意図した文字列）

送信元アドレス：noreply@mail03.mgrrqon.cn（国税庁の公式ドメイン「nta.go.jp」「e-tax.nta.go.jp」とは無関係）

受信日時：2026年08月26日 08:26

送信システム：Sylpheed 3.8.0

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールは国税庁を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（一部文字化け含む）。

e-Taxをご利用いただきありがとうございます。
国税還付金の電子発行を開始しました。

令和8年度の税制改正等のうち、以下の申告手続について、追加及び修正を行い。
税制改正に伴い、税金の状況をわかりやすくするため。

E-Tax の個人納税アカウントを持つことを全員に義務付けています
このメール受信後24時間以内に下記の専用リンクからE-taxアカウントをご登録ください。
○ 注意事項
・以下のリンクから案内に従ってE-tax個人アカウントの登録を行ってください。
・案内メールの有効期限は2026年08月30日 23:55となりますので、有効期限内に確認を行ってください。
・e-Taxの利用可能時間は、e-Taxホームページでご確認してください。

⇒（リンクは危険なため掲載を省略します）

e-Taxをご利用いただきありがとうございます。
ご提出された還付申告の処理状況について、ご連絡します。
詳細については、還付金処理状況をご確認ください。

○ 注意事項
・メッセージボックスのお知らせの内容の詳細を確認するためには、マイナンバーカード等の電子証明書による認証が必要です。詳細は、「メッセージボックスのセキュリティ強化について」からご確認ください。

（以下、個人情報保護方針など正規サイトの文面をそのままコピーした長文が続く）

国税庁
〒100-8978
東京都千代田区霞が関3-1-1
法人番号7000012050002
国税庁Copyright © NATIONAL TAX AGENCY ALL Rights Reserved.

💡ここで！ 「開封確認」の要求について

メールソフトによっては、このメールを開いた際に「差出人がこのメールの開封確認を求めています」というバナーが表示されます。これはヘッダーにDisposition-Notification-Toという項目が仕込まれているためです。本来はビジネスメールで「相手が読んだか確認したい」ときに使う一般的な機能ですが、詐欺メールで悪用されると、うっかり「開封確認を送付」を押した瞬間に「このメールアドレスは実際に使われている」という情報が攻撃者に伝わってしまいます。開封確認は絶対に送信しないでください。単に無視するか、確認ダイアログを閉じてください。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=20.46.169.85; helo=mail03.mgrrqon.cn

【偽装判定】：
正規の国税庁・e-Taxからのメールは「nta.go.jp」ドメインから送信されます。本メールの送信ドメイン「mail03.mgrrqon.cn」は国税庁と一切関係のない、フィッシング目的で取得されたとみられるドメインです。

【偽装ヘッダーの発見】：
ヘッダーの中には、大手キャリア（au）やポータルサイト（goo.ne.jp）のメールサーバーを経由したように見せかける行が挿入されていました。実際の送信元はSPF認証済みのクラウド事業者（Microsoft Azure）から直接届いており、これらの経由記録は「大手企業を経由した正規メールらしく」見せかけるための偽装です。あわせて、実際の送信ドメイン向けとは別に「aliyun.com」（Alibaba Cloud）を装ったもう一つのDKIM署名も付与されており、二重に権威付けを試みています。

発信元ロケーション解析：
東京都渋谷区／Microsoft Corporation（Azure、クラウドホスティング用途）
ロケーション詳細はip-sc.netにてご確認いただけます。

※送信元自体はAzureの正規IPですが、これはクラウド上に立てた攻撃者の踏み台と考えられ、Microsoft本体とは無関係です。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://soultempleacademy[.]com/Etax2/NTA/isuuse/UJ_APP/riecepstion/logsinInviduals

ドメイン登録情報：2025年9月3日登録、興味深いことに今回のメール送信のわずか2日前（2026年8月24日）に設定が更新されています。ドメインステータスは「Registered And No Website」＝通常のWebサイトを持たない状態で、無関係の正規サイトが乗っ取られ、送信直前にフィッシングページを設置し直した可能性が高いです。

サイトサーバーIP：154.195.67.29（香港、Gnet Inc./Asline Limited、AS9294）

【サイトの構成】：アクセスするとまずhCaptchaによるボット判定画面が表示され、人間による操作を要求します。これは自動解析ツールやセキュリティ研究者を弾くための仕掛けです。突破すると、本物そっくりのe-Taxロゴ・マスコットキャラクターを使った偽トップページが表示され、「同意」を押すと氏名（フリガナ）・生年月日・電話番号・メールアドレスの入力フォームへ進みます。

アクセス直後に表示されるhCaptchaのボット判定画面。人間の操作を要求することで自動解析を回避する

本物そっくりのロゴとマスコットキャラクターを使った偽e-Taxトップページ

氏名・生年月日・電話番号・メールアドレスの入力を求める偽フォーム

■ 注意点と対処法

1. URLをクリックしない：リンク先は個人情報を盗むための偽サイトです。「24時間以内」「有効期限」といった期限を切った煽り文句は詐欺の典型的な手口です。
2. 開封確認を送信しない：「開封確認を送付」のボタンは押さず、無視してください。
3. 氏名や電話番号を入力しない：万が一誘導先を開いてしまっても、情報は絶対に入力しないでください。
4. e-Taxからのメールかどうかは公式情報と照合：e-Taxが送信するメールは決まったパターンのみで、原則としてメール本文にURLを記載しません。詳細は国税庁公式サイトでご確認ください。
5. 公式注意喚起の参照：不審なメールや電話にご注意ください（国税庁公式）

本レポートの結論

国税庁・e-Taxを騙る「還付金の処理状況に関するお知らせ」は、2025年3月にご紹介した詐欺の令和版・新インフラ版でした。開封確認要求によるアドレスの生存確認、大手キャリアを装う偽装ヘッダー、正規サイトを送信直前に乗っ取ってのフィッシングページ設置と、旧来の手口から着実に進化しています。税金・還付金のテーマは反響が大きく、今後も波状的に類似メールが届く可能性がありますので、このパターンを覚えておいてください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。