今回はいつもの「1通を徹底解剖」する記事とは趣向を変え、10日間で集まった迷惑メール約710件を集計・分類した「まとめ解析」記事です。個別の送信元IPやヘッダー情報の鑑定ではなく、大量データから浮かび上がる「攻撃の型」そのものに注目します。

■ 「名乗り変え」とは何か（用語解説）

詐欺メールの文面・デザイン・煽り文句（「48時間以内に手続きしないと利用停止」など）の骨格をほぼそのまま使い回し、送信者として名乗るブランド名だけを日替わりで変えてばらまく手口です。同じ「型紙」に、公的機関やら銀行やら暗号資産取引所やらの「衣装」を次々着せ替えているイメージだとわかりやすいかもしれません。ブランドを固定せず広く送りつけることで、受信者の中に実際にその機関・サービスを利用している人を効率よく引っかけようとしています。

ご覧の通り、これらはすべて公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

同一の「本人確認・再認証・口座凍結回避」という切り口で送られてきたメールを、名乗ったブランド・機関別に集計すると以下の通りです（棒の長さが件数の目安です）。

合計すると、この「本人確認・再認証」の切り口だけで127件にのぼります。名乗るブランドこそ違えど、「期限」「凍結」「法令遵守」といったキーワードで不安を煽る構造は驚くほど共通しています。

■ タイムライン（2026年7月3日）

同じbitFlyerの名を騙りながら、たった17分間で5通、しかも角度を変えて畳みかけるという、機械的な自動配信でなければ実現できない速度です。1通目で怪しいと気づかなくても、2通目・3通目と表現を変えて追い打ちをかけることで、読者の不安を積み上げる狙いがあると考えられます。

今回の集計では、大手ブランドだけでなく、独自ドメインを取得して自前のメールアドレスを運用している事業者・個人を狙った波状攻撃の実例も確認できました。

この事例では、「【重要】アカウント閉鎖リクエストの有効化が必要 – 48時間以内にご対応ください」という同一文面で、宛先のローカル部分（＠より前の部分）だけを、admin・info・shop・support・contact・sales・user・accountといった、いかにも実在しそうな一般的な文字列に総当たりで差し替えて、短期間に60件以上が送りつけられていました（※対象ドメイン名は個人情報保護のため伏せます）。

独自ドメインでメールを運用している方は、「admin@」「info@」のような定番のアドレスほど狙われやすいと心得てください。

送信者名も「Service-」「Admin-」「IT-Admin-」「IT_Service-」といった接頭辞に、意味のないランダムな数字列を付け足したものが多数使われており、機械的な自動生成であることがうかがえます。件名冒頭にも管理番号らしき数字（例：835587、943744など）が振られており、こちらも大量生成・大量送信の裏付けと言えるでしょう。

同じ10日間には、こうした「名乗り変え」以外にも、Amazon配送なりすまし（127件）、B-CAS・毒電波系スパム（97件）、ユニクロ・dポイント・MUJI・NHK系のギフト詐欺（83件）なども多数確認されています。これらは全体の傾向として近日中に別の特集記事でも取り上げる予定です。

■ 注意点と対処法

1. 「本人確認」「凍結回避」を理由にメール内のリンクから手続きさせようとする連絡は、送信元がどこを名乗っていても即・詐欺と判断してください。金融機関や公的機関がメール内リンク経由でパスワードやマイナンバー・口座情報の入力を求めることはありません。
2. 公式サイトを確認：気になる場合は、メール内のリンクではなく、必ず公式アプリまたはブックマークからアクセスして状況を確認してください。
3. 独自ドメイン運用者は特に注意：admin@・info@・support@など定番のアドレスにはこの種の連番攻撃が来やすいため、迷惑メールフィルタの強化やメールアドレスの使い分けを検討してください。
4. 公的機関の注意喚起：デジタル庁 公式サイト、国税庁 公式サイトでも同種のなりすましメールについて注意喚起がされています。

本レポートの結論

公的機関・銀行・暗号資産取引所・独自ドメインまで、名乗る相手を変えながら同じ「型紙」を使い回す名乗り変え波状攻撃が、この10日間だけで127件以上確認されました。ブランド名を鵜呑みにせず、「本人確認」「凍結回避」という手口のパターンそのものを覚えておくことが一番の防御になります。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

【実録】MetaMask「アカウント凍結リスク」の正体：わずか15分に5通、PC/スマホで誘導先を使い分ける波状攻撃を暴く

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

暗号資産ウォレット「MetaMask（メタマスク）」を騙る「アカウント凍結リスク」メールが確認されました。同一犯とみられるグループから、わずか15分間で切り口の異なる5通のメールが波状攻撃のように送りつけられており、リンク先もPC（パソコン）とスマートフォンでわざわざ別サイトを用意する念の入れようです。以前当ラボで解析したbitFlyer「アカウント凍結回避の最終ご案内」詐欺と同じ「凍結」を煽る手口・同じ時間帯の連続送信パターンであり、同一グループによる仮想通貨サービス利用者を狙った一連のキャンペーンである可能性が高いと見ています。

※重要：HTMLメールとして配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。

■ メールヘッダー解析（送信者情報）

件名：[spam]【最終確認】アカウント凍結リスクとセキュリティ状況のご案内

送信者名：MetaMask Support（表示名は自由に詐称可能なため、実際の送信元アドレスの確認が重要です）

送信元アドレス：WKXTZA@ccqjem.help.szlwjqj.jp

受信日時：2026年7月3日（金）16:46:41

SPF（送信ドメイン認証。メールの送信元サーバーが正規のものかを判定する仕組み）：Pass（送信元IPがドメイン所有者の許可したサーバーと一致）

Received-SPF client-ip：35.215.99.147

ご覧の通り、このメールはMetaMask公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

アカウント凍結リスクのお知らせ

MetaMask ― Risk Management

MetaMask公式の警告：
シークレットリカバリーフレーズ（ウォレットを復元するための呪文のような12個の英単語。これを他人に教えるとウォレットの中身を全て盗まれます）をオンライン上で入力したり、第三者と共有したりしないでください。これはあなたのウォレットへの唯一のアクセス鍵です。MetaMaskがこれらの情報を要求することは絶対にありません。

〇〇様

平素よりMetaMaskをご利用いただき、誠にありがとうございます。

本メールは、お客様のアカウントにおけるセキュリティリスク評価が基準値を超過したことを受け、最終確認としてお送りしております。現時点ではアカウントは通常通りご利用いただけますが、以下の条件に該当する場合、資産保護のためアカウントの一部機能が凍結される可能性がございます。

・過去30日間に不審なサードパーティDApps（外部の分散型アプリ）との接続履歴がある
・複数のフィッシングブラックリストドメインへのアクセスが検出された
・秘密鍵の漏洩が疑われるオンチェーンシグナル（ブロックチェーン上の取引記録から検知される異常な兆候）が確認された

確認期限：24時間以内

上記リスク要因に心当たりがない場合でも、予防的確認として以下の公式リンクよりアカウントの安全状態をご確認いただくことを強く推奨いたします。確認が完了し次第、凍結リスクは自動解除されます。

アカウントの安全状態を確認する

リンクが開かない場合：
https://www.cxr777.com/?W6DDecTMqL3HW8drhkdE2v6Q

ご不明な点はMetaMask公式サポートまでお問い合わせください。

お客様の大切な資産を守るため、引き続きセキュリティ向上に努めてまいります。

※本メールは自動送信されています。
※お心当たりのない場合は破棄してください。
※MetaMaskはConsensysの登録商標です。
※本メールは〇〇様宛にお送りしております。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=35.215.99.147; helo=wkxtza.ccqjem.help.szlwjqj.jp;

【偽装判定】：
MetaMask公式は前述の通りサポートチケットへの返信以外にメールを送信することがなく、送信ドメイン「szlwjqj.jp」もMetaMask公式のドメイン（metamask.io）とは一切無関係です。「szlwjqj」というランダムな文字列のドメインは、使い捨てのフィッシング専用インフラの典型例です。

送信元IP（client-ip）解析：
IPアドレス：35.215.99.147
ホスト名：szlwjqj.com
プロバイダー：Google Ireland Limited（Google Cloud Platform。世界中の企業や個人が利用できるGoogleのクラウドサーバーサービスで、攻撃者が匿名で使い捨てサーバーを借りる目的でも悪用されます）
利用形式：hosting（ホスティング。サーバーを借りて自分のサイトやメール配信基盤として使う形態）
AS番号（インターネット上のネットワークを識別する番号）：43515
発信元ロケーション：アメリカ・カリフォルニア州ロサンゼルス（郵便番号90009）
Googleマップ：【位置情報を確認する】

【波状攻撃の実態】：
同一の宛先に対し、2026年7月3日16:31〜16:46のわずか15分間で、「アカウントのセキュリティ状態」「不審なトランザクションの検知」「セキュリティ監査」「送金・出金機能の制限回避」「アカウント凍結リスク」と切り口を変えながら計5通が連続送信されていることを確認しています。件名を段階的に変えることでスパムフィルターの学習をすり抜けつつ、受信者に「複数の警告が来ている＝本当に危険な状態だ」と誤認させる典型的な畳みかけ手口です。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://www.cxr777［.］com/?y18G4ENtypQ0YnJu24y0fLuA

リンクドメイン：cxr777.com

【PC/スマホ別・誘導先の使い分け】：
このフィッシングサイトの最大の特徴は、アクセスする端末によって挙動を変える点です。

• PCからアクセスした場合：「アクセス拒否・リクエストがブロックされました」という画面が表示され、フィッシングサイトの中身を見ることができません。これは調査者やセキュリティ企業がPCから解析することを妨害する目的の防御策（クローキングの一種）とみられます。
• スマホからアクセスした場合：MetaMask公式サイトを精巧に模倣した偽ログイン画面が表示され、メールアドレスの入力を求められます。続いて「利用規約」画面が表示され、12秒間のカウントダウンが終わるまで同意ボタンが押せないという、正規サービスらしい”丁寧さ”を演出する巧妙な時間稼ぎの仕掛けが施されています。

サイトサーバー情報：Google Ireland Limited（Google Cloud Platform）／米カリフォルニア州ロサンゼルス

脅威レベル（ip-sc.net判定）：低（※新規に立てられたばかりのサーバーであるため、まだブラックリスト登録が追いついていない可能性が高く、油断は禁物です）

■ 注意点と対処法

1. URLをクリックしない：リンク先は資産を盗むための精巧な偽サイトです。特にシークレットリカバリーフレーズの入力は絶対にしないでください。
2. MetaMaskからの突然のメールはすべて疑う：MetaMask公式は、ユーザーが自分から問い合わせをしない限りメールを送ってくることはありません。
3. 短時間に複数の警告メールが届いても慌てない：今回のように件名を変えて連続送信すること自体が、詐欺グループの常套手段です。
4. 公式情報の確認：MetaMask公式「このメールは本当にMetaMaskからのものですか？」

本レポートの結論

MetaMask「アカウント凍結リスク」メールは、わずか15分間で切り口を変えながら5通も送りつけられる波状攻撃型の詐欺であり、PC・スマホで別々のフィッシングサイトを用意する周到さも確認されました。以前解析したbitFlyerを騙る同様の凍結詐欺と手口・時間帯が酷似しており、暗号資産関連サービスの利用者を横断的に狙う同一グループの犯行である可能性が高いです。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam]【最終ご案内】アカウントの凍結回避とセキュリティ設定の確認

送信者名：bitFlyer 本人確認

送信元アドレス：ozebon@pjkmev.receipts.hnjlfsgs.com

ドメインIP解析：35.215.103.170（Google LLC／Google Cloud Platform、アメリカ合衆国）

受信日時：2026年07月03日 15時30分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはbitFlyerを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

ここで！

「波状攻撃」とは

同じ攻撃者が、短時間のうちに件名や差出人名、切り口だけを変えて何通も連続でメールを送りつけてくる手口です。1通目を見逃しても2通目、3通目と繰り返し目に入ることで「そんなに何度も言われるなら本当かもしれない」という心理的な圧力をかける狙いがあります。今回のbitFlyerを騙るメールも、わずか17分間で「本人確認」「二段階認証」「アカウント凍結回避」と切り口を変えながら5通が送られてきており、典型的な波状攻撃のパターンです。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、Google Cloud Platform上のサーバー（35.215.103.170）からでした。SPF・DKIMともに「Pass」ですが、これは攻撃者が自分で取得した使い捨てドメイン「hnjlfsgs.com」に正しく認証設定を行っただけのことであり、bitFlyer公式からのメールであることの証明には一切なりません。

【偽装判定】：
正規のbitFlyerからのメールは「bitflyer.com」等の公式ドメインから送信されます。本メールの送信ドメイン「hnjlfsgs.com」はbitFlyerとは無関係の使い捨てドメインであり、公式サーバーとは一切関係がありません。

■ PC・スマホで異なる誘導先（デバイス別クローキング）：
メール内リンクの実際の遷移先を調べたところ、アクセス元がPCかスマートフォンかによって、全く別のドメインへ誘導されることが分かりました。PCの場合は「daxuchina.com」（Cloudflareのプロキシ配下）、スマートフォンの場合は「9955game.com」（本来はゲーム関連サイトのドメインで、Tencent Cloud日本リージョン上）です。用途の異なる複数のドメインを使い分けることで、セキュリティ製品による一括検知を避けようとしていると考えられます。

発信元ロケーション解析：
アメリカ合衆国（Google Cloud Platform）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析

誘導先URL（PC向け・伏せ字）：hxxps://www[.]daxuchina[.]com/?VaPwcEf3DoMaRmXLvXAvIM2a

誘導先URL（スマホ向け・伏せ字）：hxxps://9955game[.]com/login

【サイトの状態】：PC版ではまずファイアウォールの「アクセス拒否」画面が表示されることがあり、これを回避して進むと、利用規約を8秒間かけて自動スクロールさせるという「いかにも公式らしい」演出を経て、bitFlyer公式にそっくりな偽ログイン画面が表示されます。メールアドレスとパスワードを入力すると、攻撃者にアカウント情報が渡ってしまいます。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

FINAL NOTICE — ACTION REQUIRED
アカウント凍結回避の最終ご案内

bitFlyer リスク管理本部
【bitFlyerからの最重要注意事項】
お客様のパスワード、二段階認証コード、秘密の質問への回答は、いかなる場合でもbitFlyerの従業員を含む第三者に教えないでください。bitFlyerがこれらの情報をお尋ねすることは一切ございません。

（受信者アドレス）様

平素よりbitFlyerをご利用いただき、誠にありがとうございます。

本メールは、お客様のアカウントに関する最終ご案内でございます。これまでに複数回お送りしたセキュリティ確認のお願いに対し、お客様のアカウントにおいて未確認の状態が継続しております。

このままご確認をいただけない場合、お客様の資産を保護するための緊急措置として、以下の機能を凍結させていただくことになります。

凍結対象となる機能：
・日本円の入出金（銀行口座連携を含む）
・暗号資産の入出庫（外部ウォレット送受信）
・販売所・取引所での売買注文
・新規の積立設定およびレンディング申込

最終確認期限：24時間以内

凍結を回避し、引き続きすべての機能をご利用いただくためには、以下の公式リンクよりセキュリティ設定の確認とご本人様確認を完了していただく必要がございます。

【 セキュリティ設定を確認する 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

ご不明な点は、bitFlyerカスタマーサポートまでお問い合わせください。

bitFlyerは、お客様の大切な資産をお守りするため、万全のセキュリティ体制で臨んでおります。

※本メールは自動送信されています。
※お心当たりのない場合は、至急bitFlyerカスタマーサポートまでご連絡ください。
※bitFlyerは株式会社bitFlyerの登録商標です（暗号資産交換業者 関東財務局長 第00003号）。

■ 注意点と対処法

1. 「セキュリティ設定を確認する」ボタンは絶対にクリックしないでください。リンク先はメールアドレス・パスワードを盗むための偽サイトです。
2. アカウント状況を確認したい場合：メール内のリンクからではなく、必ずbitFlyer公式サイト（bitflyer.com）をブックマークまたは検索して直接アクセスしてください。
3. 短時間に何通も似た内容のメールが届く「波状攻撃」は、詐欺グループの典型的な手口です。数の多さに焦らされず、1通ずつ冷静に判断してください。
4. 公式注意喚起の参照：bitFlyer公式「フィッシング詐欺にご注意ください」ページ

本レポートの結論

「アカウント凍結回避の最終ご案内」を騙るメールは、bitFlyerを装った詐欺メールで、17分間に5通が送られる波状攻撃の一つでした。PC・スマホでリンク先を使い分けるという手の込んだ仕掛けもあり、暗号資産を狙う攻撃者の本気度がうかがえます。「凍結」「最終」という言葉に急かされて、冷静な判断力を失わないようにしてください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[重要] TEPCO 未払い金額のお支払いをお願い申し上げます 番号：04167042

送信者名：TEPCO【料金お支払いセンター】

送信元アドレス：laugh@laugh.cn-home-canada28.com

ドメインIP解析：20.110.146.228（Microsoft Corporation／Azure、アメリカ合衆国）

受信日時：2026年07月03日 10時28分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはTEPCOを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

ここで！

URLに「.japan.com」が入っているのに、なぜ偽物と分かるの？

URLの安全性を判断するうえで一番大切なのは「ドメイン名」の部分で、これは「最初のスラッシュ（/）より前」にある文字列で決まります。今回の誘導先URLは「bonus-jingyu.com」というドメインの後に、パスの一部として「japan.com」という文字列がくっついているだけで、実際のドメインとは何の関係もありません。「.japan.com」という文字列が含まれているからといって、日本の正規サイトである証明にはならないのです。URLを確認するときは、必ず「最初のスラッシュより前」の部分だけに注目してください。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、Microsoft Azure上のサーバー（20.110.146.228）からでした。SPF・DKIMともに「Pass」ですが、これは攻撃者が自分で取得した使い捨てドメイン「cn-home-canada28.com」に正しく認証設定を行っただけのことであり、TEPCO公式からのメールであることの証明には一切なりません。

【偽装判定】：
正規の東京電力エナジーパートナーからのメールは「tepco.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「cn-home-canada28.com」はTEPCOとは無関係の使い捨てドメインであり、公式サーバーとは一切関係がありません。

発信元ロケーション解析：
アメリカ合衆国（Microsoft Azure）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://bonus-jingyu[.]com/Y9QlxFuxFJ.japan.com

【サイトの状態】：当ラボが調査した時点では接続が拒否され（ERR_CONNECTION_REFUSED）、すでにインフラが停止済みでした。攻撃者は非常に短期間でドメインを使い捨てていることが確認されています。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

東京电力エナジーパートナー：未決済金額（5,931円）のご請求について

2026年6月分のご請求に関し、未だご入金の確認ができておりません。以下の通りご請求内容を再送いたします。

請求内容　2026年6月分 電気料金
請求金額　5,931円（税込）
お支払期限　2026-07-03

お手数ですが、下記リンクよりお支払い方法（クレジットカード、コンビニ、銀行振込等）を選択し、お手続きをお願いいたします。

【 お支払い手続き画面へ（公式サイト） 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

※本メールは送信専用アドレスからお送りしています。
※既にお支払い済みの場合は、本メールを破棄してください。

東京電力エナジーパートナー株式会社

■ 注意点と対処法

1. 「お支払い手続き画面へ」ボタンは絶対にクリックしないでください。リンク先は決済情報を盗むための偽サイトです。
2. 電気料金の未払いに心当たりがない場合：東京電力は通常、紙の請求書や「くらしTEPCO web」での事前通知を行っており、いきなりメールで督促することはありません。
3. リンク先URLは必ず「最初のスラッシュより前」のドメイン部分だけで判断してください。「japan.com」等の紛らわしい文字列に惑わされないでください。
4. 公式注意喚起の参照：東京電力エナジーパートナー公式「当社を装った電気料金支払いを促す不審なメールについて」ページ

本レポートの結論

「TEPCO未払い金額のお支払いをお願い申し上げます」というメールは、東京電力を装う詐欺メールです。誘導先URLに「.japan.com」という文字列を紛れ込ませ、公式サイトらしさを演出する手口が使われていました。URLの安全性は、必ず「最初のスラッシュより前」のドメイン部分だけで判断してください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam] 新しいブラウザからのサインインが確認されました

送信者名：セキュリティサポート

送信元アドレス：info@ishothit.me

ドメインIP解析：167.89.16.38（Twilio SendGrid、アメリカ合衆国）

受信日時：2026年07月03日 14時11分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはApple IDを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

ここで！

SPF・DKIMが両方とも「正常」なのに、なぜ偽物と分かるの？

SPFやDKIMは「そのドメインの管理者が、このメールの送信を許可していますよ」という技術的な証明にすぎません。攻撃者が自分で取得したドメイン（今回で言う「ishothit.me」）を、正規のメール配信サービスに正しく登録して送信すれば、SPF・DKIMはどちらも問題なく「合格」になります。つまりこれは「ishothit.meというドメインの持ち主が送った」ことの証明であって、「Appleが送った」ことの証明では全くありません。認証結果だけを見て安心するのは危険です。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
受信サーバーに直接着信したのは、Twilio SendGridのサーバー（167.89.16.38）からでした。SendGridは世界中の多くの企業が利用する正規のメール配信サービスであり、それ自体は安全な基盤です。しかし、誰でもアカウントを作成してメールを送信できてしまうため、攻撃者が自分のドメインを登録して悪用するケースが後を絶ちません。

【偽装判定】：
正規のAppleからのメールは「apple.com」ドメインから送信されます。本メールの送信ドメイン「ishothit.me」はAppleとは無関係の使い捨てドメインであり、公式サーバーとは一切関係がありません。

発信元ロケーション解析：
アメリカ合衆国（SendGrid）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://www[.]ishothit[.]me/hquzfz

【サイトの状態】：当ラボが調査した時点では、このドメインはすでに名前解決ができず（DNS_PROBE_FINISHED_NXDOMAIN）、インフラがすでに停止済みでした。攻撃者は非常に短期間でドメインを使い捨てていることが確認されています。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

Apple ID
セキュリティ確認通知

通常とは異なるアクセスが確認されました

（受信者アドレス）様のアカウントにおいて、普段のご利用状況とは異なるサインイン環境が検出されました。

確認された可能性のある内容
・通常と異なる地域またはネットワークからのアクセス
・未確認の端末またはブラウザからのサインイン
・短時間で複数回行われた認証操作

現時点でアカウントの停止は行っておりませんが、ご本人による操作でない場合、第三者がアカウント情報を把握している可能性があります。

確認項目：サインイン履歴、登録端末、二段階認証の設定状況
推奨対応：心当たりのないアクセスがある場合は、パスワード変更と認証設定の見直し

安全保護のため、下記より現在のアカウント状況をご確認ください。

【 アカウント状況を確認する 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

※Appleがメールでパスワードや確認コードをお尋ねすることはありません。
※確認コードや認証情報を第三者へ共有しないでください。

Apple
サポート　プライバシーポリシー

■ 注意点と対処法

1. 「アカウント状況を確認する」ボタンは絶対にクリックしないでください。リンク先はApple IDとパスワードを盗むための偽サイトです。
2. サインイン履歴を確認したい場合：メール内のリンクからではなく、必ず公式サイト（account.apple.com）に直接アクセスするか、お使いの端末の「設定」アプリから確認してください。
3. 送信元アドレスがSendGrid経由でSPF・DKIMに合格していても、安心材料にはなりません。最終的な送信ドメインが「apple.com」かどうかだけを見てください。
4. 公式注意喚起の参照：Apple公式「フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する」ページ

本レポートの結論

「通常とは異なるアクセスが確認されました」というApple ID偽装メールは、正規のメール配信サービスSendGridを使って送信された詐欺メールです。SPF・DKIMともに正常に通ってしまうため、メールソフト側の警告表示だけでは見抜けません。最終的な送信ドメインが「apple.com」であるかどうかを、必ず自分の目で確認する習慣をつけてください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam]【重要通知】ePlus決済情報の再確認・更新手続きのお願い

送信者名：eplus_members

送信元アドレス：sdff@mail01.maccmsrust.com

ドメインIP解析：52.253.90.102（Microsoft Corporation／Azure、シンガポール）

受信日時：2026年07月02日 21時01分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはe+plusを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、Microsoft Azure上のサーバー（52.253.90.102、シンガポール）からでした。SPF・DKIMともに「Pass」ですが、これは攻撃者が自分で取得した使い捨てドメイン「maccmsrust.com」に正しく認証設定を行っただけのことであり、e+plus公式からのメールであることの証明には一切なりません。

【偽装判定】：
正規のe+plusからのメールは「eplus.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「maccmsrust.com」はe+plusとは無関係の使い捨てドメインであり、公式サーバーとは一切関係がありません。

■ 過去記事との比較：
以前ご紹介した「e+plus決済システム更新」を騙るメールは、送信元が韓国リージョンのAzure、送信ドメインが「〜.com.com」という二重構造でした。今回は送信元がシンガポールリージョン、ドメインも単一構造の「maccmsrust.com」と、細部が異なります。同一犯の再送というより、同じ文面テンプレートを複数の攻撃者・グループが使い回している可能性が高いです。

発信元ロケーション解析：
シンガポール（Microsoft Azure）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://tjgongshui[.]com/bYGTXPXH

【サイトの状態】：ウイルスバスターが「フィッシング」として即座にブロック。当ラボが調査した時点では、このドメインはすでに名前解決ができず（DNS_PROBE_FINISHED_NXDOMAIN）、インフラがすでに停止済みでした。攻撃者は非常に短期間でドメインを使い捨てていることが確認されています。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

e+plus 公式アカウントより送信

【重要通知】e+plus決済システム更新のご案内

平素よりe+plusをご利用いただき、誠にありがとうございます。

この度、セキュリティ基準の強化に伴い、決済情報の再確認と更新手続きが必要となっております。

■ 更新の必要性
新しいセキュリティ基準により、旧情報では認証に失敗する可能性があります。
スムーズなサービス利用のため、更新をお願いいたします。

■ お手続き方法
1. 下記ボタンより専用ページへアクセス
2. 登録情報の確認・更新
3. 変更内容の保存
最新情報で認証を完了する

ご不明点がある場合は、サポート窓口までお問い合わせください。

TEL：0570-06-9911（平日9:00-18:00）
※本メールは自動送信されています。

【 今すぐ専用ページへアクセス 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

※本更新手続きはセキュリティ強化のため必須です。
※お手続きを完了いただかないと、決済認証に失敗する可能性があります。
※お客様の情報保護のため、定期的な確認をお願いしております。

セキュアなサービス提供のため、ご理解とご協力をお願い申し上げます。

本メールはe+plus決済システム更新に関する重要なお知らせとして配信しております。
お問い合わせ先：0570-06-9911（平日9:00-18:00）
※受付時間外は翌営業日以降のご対応となります。

■ 注意点と対処法

1. 「今すぐ専用ページへアクセス」ボタンは絶対にクリックしないでください。リンク先は決済情報を盗むための偽サイトです。
2. 決済情報を確認したい場合：メール内のリンクからではなく、必ずe+plus公式サイトまたは公式アプリから直接ログインしてご確認ください。
3. 同じ文面のメールが今後も別の送信元から届く可能性があります。「決済システム更新」「セキュリティ基準の強化」といった言い回しを見かけたら、まず疑ってください。
4. 公式注意喚起の参照：e+plus公式「イープラスを騙った不審なメール等にご注意ください」ページ

本レポートの結論

「e+plus決済システム更新のご案内」を騙るメールは、以前の韓国発・二重ドメイン版とは異なるインフラ（シンガポール発Azure）から送信された別便でした。同じテンプレートが複数の送信元から繰り返し届いていることから、フィッシングキットとして出回っている可能性があります。「決済システム更新」という言葉を見かけたら、送信元がどこであれ、まず疑ってください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam]【セゾンカード】セキュリティシステム更新に伴う再認証の手続き

送信者名：SAISON

送信元アドレス：noreply@csotmj.dwnrk.com

ドメインIP解析：40.114.202.235（Microsoft Corporation／Azure、オランダ）

受信日時：2026年07月03日 14時46分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはセゾンカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

ここで！

「ゼロ幅文字注入」とは

画面上には表示されないものの、コンピューター上ではしっかり「文字」として認識される特殊な制御文字（ゼロ幅接合子など）を、件名の文字と文字の間に大量に挟み込む手口です。人間の目には普通の日本語の件名に見えますが、コンピューター上のデータとしては全く別の文字列になるため、スパムフィルターが持っている「危険な件名リスト」との一致を回避しやすくなります。今回のメールの件名データを実際に確認したところ、ほぼ全ての文字の間にこの特殊文字が挿入されていました。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、Microsoft Azure上のサーバー（40.114.202.235、オランダ）からでした。SPF・DKIMともに「Pass」ですが、これは攻撃者が自分で取得した使い捨てドメイン「csotmj.dwnrk.com」に正しく認証設定を行っただけのことであり、セゾンカード公式からのメールであることの証明には一切なりません。

【偽装判定】：
正規のセゾンカードからのメールは「saisoncard.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「dwnrk.com」はセゾンカードとは無関係の使い捨てドメインであり、公式サーバーとは一切関係がありません。

■ イオン銀行版との比較：
件名のテンプレート（「セキュリティシステム更新に伴う再認証の手続き」）は、以前ご紹介したイオン銀行を騙るメールと完全に一致します。ただし、イオン銀行版はZoho Mail経由での中継が確認されていたのに対し、今回のセゾンカード版はMicrosoft Azureから直接送信されていました。送信基盤が異なるため、同一犯と断定はできませんが、同じフィッシングキット（テンプレート）が複数の攻撃者・グループ間で使い回されている可能性があります。

発信元ロケーション解析：
オランダ（Microsoft Azure）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://cyrkp[.]com/MopfSggn/

サイトサーバーIP：192.227.190.150、アメリカ合衆国

【サイトの状態】：ウイルスバスターが「フィッシング」として即座にブロック。ブロックを解除して進むと「安全な接続を確認しています」という偽の読み込み演出（実際には何も確認していません）が数秒間表示された後、SAISON CARD公式サイトをほぼそっくりに再現した偽ログイン画面が表示されます。Netアンサー ID・パスワードを入力すると、攻撃者にアカウント情報が渡ってしまいます。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

セゾンカード SAISON CARD

【重要】セキュリティ認証 再確認のお願い

平素よりセゾンカードをご利用いただき、誠にありがとうございます。

お客様のカードにご登録いただいております「セキュリティ認証（本人認証サービス）」の有効期限が切れているか、または再登録が必要な状態となっております。
セキュリティ強化のため、再認証手続きを弊社システムにて依頼しております。

※再認証が完了しない場合、一部のインターネット決済（オンラインショッピング等）がご利用いただけなくなる可能性がございます。

要対応期限：2026-07-03（当日中）
対応内容：セキュリティ認証（本人認証サービス）の再登録・認証手続き

認証手続きは下記の専用ボタンより認証画面へお進みください。
（※セキュリティ保護のため、必ずご自身でブラウザを開き直接アクセスするか、セゾン公式アプリからお手続きください）

【 セキュリティ認証ページ 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

 本メールに心当たりがない場合や、不審な点がある場合は直ちにセゾンカードコールセンターまでご連絡ください。
※本メールは送信専用アドレスより配信されています。返信いただいてもご回答できませんのでご了承ください。

 セキュリティ対策の観点から、不審なメールのリンクを直接クリックせず、セゾン公式サイトのブックマークまたはセゾン公式アプリからアクセスすることを推奨します。

株式会社セゾンカード
〒170-6056 東京都豊島区東池袋三丁目1番1号 サンシャイン60
カスタマーサポート：0120-324-594（無料）
＊紛失・盗難のご連絡は、24時間年中無休で承っております。

2026 株式会社セゾンカード / SAISON CARD

■ 注意点と対処法

1. 「セキュリティ認証ページ」ボタンは絶対にクリックしないでください。リンク先はNetアンサーID・パスワードを盗むための偽サイトです。
2. セキュリティ認証の状況を確認したい場合：メール内のリンクからではなく、必ずセゾンカード公式サイトのブックマークまたは公式アプリの「Netアンサー」から直接ログインしてご確認ください。
3. 「本日中」「当日中」といった期限の言葉に焦らされないでください。正規のセキュリティ更新案内が、突然のメールで即日対応を求めることは通常ありません。
4. 公式注意喚起の参照：セゾンカード公式「フィッシング詐欺について」ページ

本レポートの結論

「セキュリティシステム更新に伴う再認証の手続き」というメールは、以前ご紹介したイオン銀行版と同じテンプレートを使った、セゾンカードを装う詐欺メールです。件名には目に見えないゼロ幅文字が仕込まれ、送信元はオランダのAzureサーバーでした。同じ台本のメールが今後も別のブランドを装って届く可能性が高いです。「セキュリティシステム更新」「再認証」「当日中」といったキーワードの組み合わせを見かけたら、まず疑ってください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam]【要対応】お支払い方法の更新が必要です｜カード情報をご確認ください No.57804

送信者名：メルカリ

送信元アドレス：info@mercari.co.jp（表示名のみ。実際の送信元は下記参照）

ドメインIP解析：20.121.187.147（Microsoft Corporation／Azure、アメリカ合衆国）

受信日時：2026年07月02日 19時36分頃

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはメルカリを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

ここで！

DKIMヘッダーに「mercari.co.jp」と書いてあるのに、なぜ偽物と分かるの？

DKIMは、メールの送信元が「本当にその署名鍵を持っている組織かどうか」を暗号技術で確認する仕組みです。ヘッダーに「d=mercari.co.jp」と書くこと自体は誰でもできますが、実際にメルカリの秘密鍵を持っていない限り、この署名は検証時に失敗します。つまり、ヘッダーに企業名が書いてあることは、本物の証明にはまったくなりません。今回のメールもこのパターンで、見た目だけの偽装でした。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、Microsoft Azure上のサーバー（20.121.187.147）からでした。SPF認証は「Pass」ですが、これは攻撃者が使い捨てで用意した一斉配信用ドメイン「cdjidong.com」に対して正しく設定されていただけのことであり、メルカリ公式からのメールであることの証明には一切なりません。

【偽装判定】：
正規のメルカリからのメールは「mercari.jp」等の公式ドメインから送信されます。本メールの実際の送信ドメイン「cdjidong.com」はメルカリとは無関係の大量メール配信用ドメインであり、公式サーバーとは一切関係がありません。差出人の表示名とアドレスの見た目だけがメルカリを装っていました。

発信元ロケーション解析：
アメリカ合衆国（Microsoft Azure）
Googleマップ：【位置情報を確認する】

■ フィッシングサイト詳細解析（多段階リダイレクト）

①メール内リンク：本文中の「カード情報の登録・更新はこちら」ボタンから、まず短縮URLサービスへ遷移します。

②短縮URL：hxxps://bjbhzk[.]com/u/yvthydgpzp — ウイルスバスターがこの時点で「フィッシング」として即座にブロックします。

③偽の人間認証ゲート：ブロックを解除して進むと、「サイトへの接続が安全かどうか確認しています」という、reCAPTCHAを模した偽の認証画面が表示されます。盾のアイコンをタップさせることで、機械的な検知ツールの回避と、利用者に「安全確認済み」と思い込ませる二重の狙いがあると考えられます。

④二次リダイレクト先：hxxps://liuyingfa[.]top/jp — ここでもウイルスバスターがブロック。さらにブロックを解除して進むと、今度はGoogle Chromeのセーフブラウジング機能も「危険なサイト」として二重に警告します。

⑤最終着地点：すべての警告を無視して進んだ先に、メルカリの公式ログイン画面をそっくり再現した偽ページが表示されます。ここでメールアドレスとパスワードを入力すると、攻撃者にアカウント情報が渡ってしまいます。

【現在の状況】：短縮URL・二次リダイレクト先ともに、調査時点ではすでに名前解決ができず、インフラが停止済みでした。攻撃者は短期間でドメインを使い捨てていることが確認されています。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは絶対にクリックしないでください。

このたびはメルカリをご利用いただき、誠にありがとうございます。

■ お支払い機能が一時停止中です

ご登録いただいているクレジットカードの有効期限が切れている、またはご利用が停止されていることが確認されたため、現在以下の機能がご利用いただけない状態となっております。

・商品の購入および決済
・メルカリポイントの購入
・メルカリギフト券の購入

■ 新しいカード情報をご登録ください

お手数をおかけしますが、新しいクレジットカード情報をご登録いただけますと、すべての機能がすぐにご利用いただけるようになります。

【 カード情報の登録・更新はこちら 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

※手続きにはメルカリアプリへのログインが必要です（約2分で完了します）

■ ご確認いただきたい事項

・新しいカード情報をご登録後は、そのままお支払いにご利用いただけます
・カード会社によっては、追加のセキュリティ認証が必要となる場合があります
・すでにカード情報をご更新いただいている場合は、本メールをお気になさらずに破棄ください

ご不明な点がございましたら、メルカリアプリ内の「お問い合わせ」よりご連絡ください。

メルカリ（mercari）運営事務局
ヘルプセンター：https://www.mercari.com/jp/help/（実際のリンク先とは異なります）

本メールは配信専用のため、ご返信いただいてもお受けできません。

■ 注意点と対処法

1. 「カード情報の登録・更新はこちら」ボタンは絶対にクリックしないでください。途中に何段階もの警告画面が出てきますが、それを無視して進むことは絶対に避けてください。
2. 途中でセキュリティソフトやブラウザの警告が出た場合：「ブロックしたサイトにアクセス」「安全でないサイトにアクセス」といったボタンは絶対に押さず、そこでブラウザを閉じてください。警告は正しく機能しています。
3. カード情報を更新したい場合：メール内のリンクからではなく、必ずメルカリ公式アプリから直接ログインして手続きしてください。
4. 公式注意喚起の参照：メルカリ公式「フィッシングメールやフィッシングサイトにご注意ください」ページ

本レポートの結論

「お支払い方法の更新が必要です」というメルカリなりすましメールは、短縮URL・偽の人間認証ゲート・二重のセキュリティブロックを経て、本物そっくりの偽ログイン画面へたどり着く多段階のフィッシング詐欺でした。途中で複数のセキュリティ警告が出ても、それを無視して進んでしまう人が一定数いることを見越した悪質な設計です。警告が出たら、そこで必ず立ち止まってください。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

■ メールヘッダー解析（送信者情報）

件名：[spam] （自社ドメイン）の現在のメールボックス容量が90%を超えています。

送信者名：（自社ドメイン）サポートチーム

送信元アドレス：自社ドメイン名を含むローカルパート＋無関係の実在団体の正規ドメイン（個人情報保護のため詳細は非掲載）

ドメインIP解析：日本国内のサーバーから送信（詳細IPは調査中）

受信日時：2026年07月02日 20時01分頃

※メールヘッダー詳細・宛先は個人情報保護のため非掲載

ご覧の通り、このメールは自社ドメインを装った真っ赤な偽物です。社内・関係者への注意喚起として、この解析結果を共有してください。

ここで！

差出人アドレスに「自社ドメインらしき文字列」が入っているのに、なぜ偽物と分かるの？

メールアドレスは「ローカルパート＠ドメイン」という構造になっています。攻撃者は@より前の部分（ローカルパート）に「自社ドメイン名らしき文字列」を自由に書き込むことができますが、実際に信頼できる情報は@より後ろの「本当のドメイン」の方です。今回のメールも、一見自社の名前が含まれているように見えて、実際の送信ドメインは全く無関係の団体のものでした。メールアドレスを見るときは、必ず@より後ろまで確認する習慣が大切です。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
当ラボの受信サーバーに直接着信したのは、日本国内のIPアドレスからでした。SPF・DKIMともに「Pass」と表示されていますが、これは攻撃者が実際の送信ドメイン（無関係の実在団体のもの）に対して正しく認証設定を行っただけのことであり、自社からの正規のメールであることの証明には一切なりません。

【偽装判定】：
実際の送信ドメインを調べたところ、当ラボの業務とは一切関係のない、実在する公益法人の正規ドメインでした。無関係の第三者ドメインが盗用されており、公式のシステム通知とは一切関係がありません。この団体名は本記事では伏せます。

■ 送信基盤について：
ヘッダーには、盗用されたドメイン以外に、国内の法人向けメール配信サービスとみられる基盤のDKIM署名も付与されていました。正規のメール配信サービスが、無関係のドメインを騙るメールの中継に使われてしまっている可能性があります。

■ フィッシングサイト詳細解析

誘導先URL：Cloudflareのオブジェクトストレージサービス「R2」上に設置された偽ログインページ（個人情報保護のため、URL内の識別子部分は伏せます）

リンクドメイン：pub-[ランダム文字列].r2.dev

【注目ポイント】：URLのパラメータ部分に、受信者のメールアドレスをBase64エンコードして埋め込む「個人特定型」の仕組みが確認されました。これにより、誰がこのリンクを開いたかが攻撃者側で追跡できるようになっていると考えられます。当ラボではこのパラメータの内容は解析のみに留め、記事には掲載していません。

【サイトの状態】：アクセスすると、シンプルな英語のログイン画面が表示されます。IDとパスワードを入力すると、攻撃者にアカウント情報が渡ってしまいます。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。宛先・固有情報は伏せています。リンクは絶対にクリックしないでください。

容量残りわずかのご案内

（宛先メールアドレス）様、

現在のメールボックス容量が90%を超えています。
容量が不足すると新しいメールを受信できなくなります。

・ゴミ箱や迷惑メールの削除
・大きな添付ファイルの移動
・古いメールの整理

【 今すぐ確認する 】（＝フィッシングサイトへのリンク。実際にはクリックできないようになっています）

このメッセージは通知専用です。

■ 注意点と対処法

1. 「今すぐ確認する」ボタンは絶対にクリックしないでください。リンク先はID・パスワードを盗むための偽サイトです。
2. 差出人アドレスは@より後ろの「本当のドメイン」まで必ず確認してください。自社名らしき文字列が入っていても油断は禁物です。
3. メールボックス容量の確認は、メール内のリンクからではなく、契約しているレンタルサーバー会社の管理画面へ直接ログインして行ってください。
4. 不審なメールを受け取った場合：社内で情報共有し、同僚が誤ってクリックしないよう注意喚起してください。
5. 公式注意喚起の参照：フィッシング対策協議会 公式サイト

本レポートの結論

「メールボックス容量が90%を超えています」という自社ドメインなりすましメールは、実際には無関係の実在団体のドメインを盗用して送信された詐欺メールです。誘導先にはCloudflareのオブジェクトストレージが使われ、受信者ごとに個人を特定できるURLパラメータまで仕込まれていました。「自社を名乗るメール＝安全」とは限りません。差出人アドレスの@より後ろまで必ず確認する習慣を、社内・関係者と共有してください。この記事のURLをコピーして、家族や同僚のLINEグループで「これ気をつけて！」と共有してあげてください。