株式をお持ちの方にとって、「配当金のお知らせ」は、うれしい便りですよね。ましてや「お受取口座の確認が必要です」と言われたら、受け取り損ねたくない気持ちから、つい急いでしまうものです。その気持ちを狙ったメールが届きました。

今日は、マネックス証券を名乗る「配当金のお受取」メールを調べました。リンクの先には、時間が止まったままの偽ログイン画面が待っていました。

詐欺メールの本文

本文は次のとおりです。リンク先は読めないように加工して載せています。

マネックス証券株式会社 - 配当金のお受取に関するお知らせ

お客様各位

平素は格別のご高配を賜り、厚く御礼申し上げます。

このたび、お客様が保有されている国内上場株式の配当金について、お受取口座の確認が必要となりました。

対象口座　　　　　総合取引口座
対象銘柄　　　　　国内上場株式（複数）
配当金支払予定日　2026年10月中旬
お手続き期限　　　2026年10月20日 23:59
参照コード　　　　MNX-DIV-2026-578RWA

期限までにお手続きが確認できない場合、配当金のお振込みが一時保留となり、お受取が遅れる可能性がございます。

■ お手続き方法
以下の専用ポータルよりログインいただき、画面の案内に従ってお受取口座の確認を完了させてください。

▼ マネックス証券・配当金受取口座確認ポータルへ（リンク）
→ hxxps://novametalinc[.]com/content/ryzbvsprip

【ご注意】
・配当金の振込先は、お客様ご本人名義の口座に限られます。
・本メールに心当たりのない場合は、速やかにカスタマーセンターまでご連絡ください。
・マネックス証券が電話やメールで暗証番号やパスワードをお伺いすることは絶対にございません。

マネックス証券株式会社
金融商品取引業者 関東財務局長（金商）第165号
加入協会：日本証券業協会、一般社団法人 金融先物取引業協会

配信停止設定：https://www.monex.co.jp/
管理番号：MNX-DIV-2026-8DGZ

実際に届いたメールの画面（本文の背景は白で、最後の数行だけが水色。添付の画像は壊れた状態で表示）

いかにも本物らしい作りです。表になった項目、赤字の期限、参照コード、そして最後には登録番号や加入協会まで書かれています。ですが、いちばん下の「配信停止設定」には本物の公式サイトのアドレスが書かれているだけで、これは、本物らしく見せるための飾りと見られます（推測です）。メールの中でリンクになっているのは、ポータルのボタンと、この公式サイトのアドレスの2か所だけでした。

また、「マネックス証券が電話やメールで暗証番号やパスワードをお伺いすることは絶対にございません」と書きながら、ポータルへの「ログイン」を求めているのは、大きな矛盾です。

送信ルートと、偽物と分かるポイント

まず、メールそのものの作りを調べました。見た目は本物そっくりでも、中身にはいくつもの「ほころび」がありました。

① 差出人のドメインは、マネックス証券と無関係
差出人の表示は「マネックス証券」ですが、実際のアドレスは akrso@jiaheshenyang[.]com でした。このドメインは、2025年12月31日に登録された、約1年のものです。登録者の情報は非公開で、ドメイン情報サイトには、販売中として掲載されているとの表示もありました。接続先は 20.71.155.64（Microsoftのクラウド）です。

② 「SPF合格」「署名あり」でも、本物とは限らない
SPFは「このIPからこのドメインのメールを送ってよい」という登録と照らす仕組みで、今回は合格でした。しかし、攻撃者が自分で取ったドメインに自分で登録すれば合格します。DKIM（電子署名）も、署名したのはこの偽のドメイン自身で、検証の結果が今回の資料に出ていないので、判断はしていません。マネックス証券から届いた証拠にはなりません。

③ 送信元のIPアドレスは、クラウド事業者のもの
送信元は 20.71.47.60 でした。Microsoftが貸し出しているクラウド（ホスティング）のIPで、調査サイトの地図ではオランダのアムステルダムと出ます。ただしこれはデータセンターの場所で、送った人の居場所ではありません。脅威レベルは「低」と表示されていますが、大手クラウドを借りているだけのことも多く、安全という意味ではありません。

④ 送信の入口には、日本のネットワークの記録（専門的なので、読み飛ばしても大丈夫です）
メールが通った道筋の記録には、攻撃者のメールサーバーに、ID・パスワードで認証して送り込んだ跡がありました。その入口のIPは 163.209.221.72 で、調査サイトでは日本の学術機関のネットワーク（京都市）の法人向け回線と出ます。ここから送られていたとすれば、その機器やアカウントが乗っ取られ、踏み台にされている可能性があります（推測です）。記録にある「nagano.jp」で終わるホスト名は、送る側の自己申告で、確認はできていません。

⑤ お手続き期限が、受信日の翌日
メールは10月19日の朝に届き、「お手続き期限」は2026年10月20日 23:59、つまり翌日までです。「期限までに確認できない場合、配当金の振込が一時保留となる」と、考える時間を与えずに急がせています。

⑥ 添付ファイルは、壊れた画像
「exws.png」という添付が付いていますが、中身はわずか7バイトで、画像としては成立していません。メールの画面では、壊れた画像のマークが出ます。目的は分かりませんが、本物らしく見せるための飾りか、送信ツールの不具合の可能性があります（推測です）。

⑦ 「白い本文＋水色の末尾」は、古くから見られる型
本文の背景が白く、最後の数行だけが水色の背景になっている作りは、当サイトの調査では、以前から使われている詐欺メールの作成セット（キット）の特徴として見られるものです。ブランド名を差し替えるだけで、同じ作りのメールを量産できるため、証券会社や金融機関を装うメールで繰り返し目にします。

※メールヘッダー詳細は個人情報保護のため非掲載

リンクの先を調べました

いちばん気になったのは、「配当金受取口座確認ポータルへ」のボタンの先です。次の流れは、当サイトの調査用にたどって確認したものです。皆さんは、リンクを開かないでください。

注意点と対処法

配当金は、手続きの案内を急かされても、慌てる必要はありません。メールではなく、ご自身で確かめた入口から確認してください。

• ボタンも、リンクも押さない。メールは削除して大丈夫です。
• マネックス証券の公式ページ「マネックス証券を装ったフィッシングメールにご注意ください」には、ログインを促すメールはすべて詐欺とあります。配当金の振込を装う内容も、確認されている手口として挙げられています（2026年10月13日更新）。
• 口座の状況を確かめたいときは、メールのリンクではなく、登録済みのブックマークや公式アプリから、ご自身でログインしてください。
• もしIDやパスワードを入力してしまっても、責められることではありません。公式ページでは、すぐにログインパスワードと取引パスワードを変更し、お客様ダイヤルへ連絡するよう案内されています。身に覚えのない取引がないかも、あわせて確認してください。
• 同じパスワードを、ほかのサービスでも使っている場合は、そちらも変更しましょう。
• 不安が消えないときは、消費者庁の相談窓口（消費者ホットライン188）や、最寄りの警察署、警察相談専用電話（#9110）に相談できます。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

会社のメールボックスに、社内システムの障害や復旧を知らせるお知らせが届く。働いている方なら、一度は目にしたことがある光景ではないでしょうか。「あ、復旧したんだ」と、深く考えずに読み流してしまうことも多いですよね。

今日は、そんな社内向けのお知らせを装った偽メールを調べました。9月にも取り上げた件名ですが、今回は少し様子が違いました。

偽メールの本文

本文は次のとおりです。画面に出たままの形で載せています。「？」の部分は、後で説明する文字化けです。

社員各位

お疲れ様です。ITヘルプデスクです。

本日発生いたしました社内ネットワークおよびリモートアクセス（VPN）の接続障害につきまして、復旧作業が完了いたしました。
長時間にわたりご不便をおかけいたしましたことをお詫び申し上げます。

現在、旧接続セッションが残っている影響で一部の端末から接続できない状態が発生しております。
対象の皆様は、以下の「臨時再接続ポータル」より設定の更新を行ってください。

？ネットワーク再接続ポータル
https://google.com

【対象者】
・正社員
・契約社員
・パートナー社員

ご迷惑をおかけいたしますが、ご理解とご協力のほどよろしくお願い申し上げます。

？？？？？？？？？？？？？？？
ITインフラストラクチャー部 ヘルプデスク
内線番号：5678
？？？？？？？？？？？？？？？

実際に届いたメールの画面（差出人欄のアドレスは伏せています）

文面は、本物の社内通知そっくりです。ところが、いちばん大事な「ネットワーク再接続ポータル」の宛先には、リンクが付いていません。書かれているのは、誰でも知っている検索サイトのアドレス（https://google.com）が、ただの文字として並んでいるだけです。押しても、何も起きません。

送信ルートと、偽物と分かるポイント

メールの作りを調べると、いくつもの「ほころび」がありました。

① 差出人は自社ドメインに見えるが、認証に失敗している
差出人のアドレスは、受信者の所属組織と同じドメインでした。しかし、メールの差出人欄は、送る側が好きなように書けてしまいます。実際、SPFは「ソフトフェイル」で、DKIM（電子署名）の署名もありませんでした。SPFは、「このIPからこのドメインのメールを送ってよい」という登録と照らす仕組みで、ソフトフェイルは「ドメインの持ち主は、このIPからの送信を推奨していない」という意味です。

② 送信元は、ベトナムの通信会社のIP
送信元は 118.71.14.95 でした。ベトナムの通信会社FPTの法人向け回線で、調査サイトの地図ではハノイと出ます。脅威レベルは「低」と表示されていますが、これは安全という意味ではありません。また、これは回線の場所であって、送った人の居場所とは限りません。乗っ取られた機器や、中継として使われた機器の可能性もあります。

③ 日付が、着いた時刻より約7時間先だった
メールに書かれた日付は「2026年10月19日 13時8分」で、世界標準時より6時間進んだ時間帯でした。世界標準時に直すと、午前7時8分です。ところが、実際に受信側へ着いたのは、日本時間の午前9時19分（世界標準時の午前0時19分）でした。日付が、着いた時刻より約7時間も先になっています。まだ起きていない時刻のメールは、ありえません。

どうやって見つけたか：メールの「日付」の記載と、メールが届いた時刻の記録を並べ、それぞれの時差を引いて、世界標準時にそろえて比べました。日付は送る側が自由に設定できるため、こうした矛盾が起きます。

④ 本文が、文字化けしている
画面では「？」が混ざっています。メールを「テキスト表示」に切り替えると、本文の日本語が、数字の並び（社 のような記号）に置き換わっているのが見えます。送信ツールの文字コードの設定がうまくいっていないか、迷惑メール判定をすり抜けるための細工と考えられます（推測です）。

メールをテキスト表示にした画面。日本語が数字の記号に置き換わっている

⑤ 内線番号は、いかにも仮の番号
署名の「内線番号：5678」は、1234や5678のような、仮の番号によくある並びです。署名の上下の線も、文字化けで「？」の連なりになっています。作り込まれた本番用のメールというより、組み立て途中のひな形のように見えます。

⑥ 送信ソフトの名乗りが、とても古い（専門的なので、読み飛ばしても大丈夫です）
送信ソフトとして「Microsoft Outlook Express 6」と名乗る記載がありました。20年以上前のソフトの名前で、いまの環境ではまず使われません。この記載は送る側が自由に書ける欄なので、決め手にはなりませんが、同じ表記が、セクストーション型の脅迫メールにも見られました。同じ送信ツールが使われている可能性があります（推測です）。

※メールヘッダー詳細は個人情報保護のため非掲載

リンクのないメールを、なぜ送るのか

押す先のないメールを送ることに、どんな意味があるのでしょう。ここからは、確認できた事実をもとにした推測です。目的を断定できる材料は、手元にありません。

• 生存確認：宛先のアドレスが実在するか、迷惑メールの網をすり抜けて届くかを確かめている可能性があります。届け先がなければ、普通は「宛先不明」の通知が返ってきます。それがなければ「実在する」と判断できてしまいます。
• 試験送信：ダミーのURLや仮の番号、文字化けが残っていることから、本番用に作りかけの文面を、試しに送っている可能性があります。
• ならし運転：無害なメールを先に送り、送信元の評判を育てている可能性もあります。

いずれにしても、今後、同じ文面に本物のリンクが付いて届くことは、十分に考えられます。「リンクがないから大丈夫」と流さず、同じ件名のメールが届いたら注意してください。

9月に届いた「同じ件名」との違い

実は、同じ件名のメールは、9月にも届いていました。当サイトの記事「社内ネットワーク（VPN）障害の再接続手順は自社ドメインを騙る偽メール」で取り上げています。

	9月4日の記事	今回
送信元	ボリビアのホスティング	ベトナムの通信会社の回線
リンク	あり。偽のWindows警告のページ	なし。ダミーのURLだけ
狙い	電話へ誘導するサポート詐欺	生存確認・試験送信の可能性（推測）

文面はほぼ同じなのに、中身の性格が変わっています。同じ件名でも、本物のリンクが付いているかどうかは、毎回確かめてください。

注意点と対処法

社内を名乗るメールは、つい信じてしまいがちです。慌てずに、普段の連絡方法で確かめましょう。

• 返信はしない。返事をすると、「このアドレスは生きている」と知らせてしまいます。
• 会社で受け取った場合は、メールを削除する前に、社内のIT担当（情報システム担当）に知らせてください。同じメールが、ほかの社員にも届いているかもしれません。
• 本当にネットワーク障害があったのか気になるときは、メールにある連絡先ではなく、社内チャットや内線、掲示板など、普段使っている方法で確かめてください。
• もしリンク付きの同じメールが届いて、偽のウイルス警告が出ても、画面の電話番号には電話せず、タブやブラウザを閉じてください。
• 管理者の方へ：自社のドメインを騙られないよう、SPF・DKIM・DMARCを正しく設定し、認証に失敗したメールを受け取らない設定をしておくと、同じ手口を防ぎやすくなります。
• 不安が消えないときは、個人の方向けにIPA（情報処理推進機構）の情報セキュリティ安心相談窓口があります。企業・組織の方は、案内ページにある、組織向けの窓口をご利用ください。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

お昼休みにスマホでメールを確認していたら、差出人欄に並んでいたのは、なんと自分自身のアドレス。「自分から自分に、メールを出した覚えはないのに」と、思わず手が止まった経験はありませんか。

今日は、そんな「自分から届いたメール」の正体を調べました。ご自身のアカウントが乗っ取られたと慌てる前に、ぜひ読んでみてください。

詐欺メールの本文

本文は次のとおりです。署名にあった受信者のドメイン名は伏せ、リンク先は読めないように加工して載せています。

重要なお知らせ

ご利用のアカウントから送信されたメールについて、追加の確認が必要です。

システム上、お客様ご自身のアカウントから送信されたメールに対して、同じアカウントから返信が確認されています。

現在の記録は以下のとおりです。

送信元：お客様のアカウント
対象メール：お客様のアカウントから送信されたメール
返信元：お客様のアカウント
処理状況：確認待ち

この返信に心当たりがある場合も、ない場合も、以下のリンクから内容をご確認ください。

[ 返信内容を確認する ]（リンク）
→ hxxps://nozanozoyo[.]z1[.]web[.]core[.]windows[.]net/dgaw44qyuy/

確認後、関連するアカウントのアクティビティをご確認いただけます。

[ アカウントアクティビティを確認する ]（リンク）
→ 上と同じ宛先

確認が完了するまで、この通知はアカウント上に表示されます。

この通知は、アカウント上で確認されたメール送信および返信情報に基づき自動的に生成されています。

（受信者のドメイン名） セキュリティチーム

実際に届いたメールの画面（差出人欄と署名のドメイン名は伏せています）

「重要なお知らせ」「確認待ち」「確認が完了するまで、この通知は表示されます」と、静かに不安をあおる作りです。なお、メールの中に「Microsoft」といった具体的なサービス名は出てきません。

送信ルートと、偽物と分かるポイント

まず、メールそのものの作りを調べました。本文だけを見ると、もっともらしく見えてしまいます。

① 「自分から自分へ」は、差出人欄を書き換えただけ
このメールは、差出人と宛先が、どちらも受信者本人のアドレスでした。ですが、メールの差出人欄は、手紙の差出人住所と同じで、送る側が好きなように書けてしまいます。差出人が自分でも、アカウントが乗っ取られたとは限りません。実際、送信元の記録を見ると、まったく別の場所から届いていました。

② 「お客様のアカウント」ばかりで、具体的な情報が何もない
「現在の記録」の欄は、送信元も、対象メールも、返信元も、すべて「お客様のアカウント」としか書かれていません。いつ、どの件名で、何というアドレスから返信があったのか、本物の通知なら必ず載せるはずの情報が1つもありません。誰にでもそのまま送れる、定型文だからです。署名にも、具体的なサービス名がありませんでした。

③ 「心当たりがある場合も、ない場合も」リンクを押させる文面
心当たりがあれば「確認しなきゃ」、なければ「何かおかしい」と、どちらの人もクリックしたくなる書き方です。ここで焦らないことが、いちばんの対策になります。

④ 送信元のIPアドレスは、パキスタンの通信事業者のもの
送信元は 103.178.120.90 でした。調査サイトでは、パキスタン・パンジャーブ州のラホールにある通信事業者の法人向け回線と出ます。脅威レベルは「高」で、脅威の詳細は「サイバーアタックの攻撃元」、攻撃の対象は「メール」とありました。ただし、これは回線の場所であって、送った人の居場所とは限りません。乗っ取られた機器や、中継に使われた機器の可能性もあります。

⑤ SPFは「ソフトフェイル」、電子署名もなし
SPFは、「このIPからこのドメインのメールを送ってよい」という登録と照らす仕組みです。今回は、「ドメインの持ち主は、このIPからの送信を推奨していない」という意味のソフトフェイルでした。本物の持ち主が送ったメールなら、まず通る検査です。DKIM（電子署名）の署名も付いていませんでした。

⑥ リンク先は、Microsoftの「本物のドメイン」の中にあった
ボタンのリンク先は、nozanozoyo[.]z1[.]web[.]core[.]windows[.]net でした。末尾の windows.net は、Microsoftが1995年に登録した、本物のドメインです。ここだけを見ると、安全に見えてしまうかもしれません。

⑦ 受信経路の記録で、差出人が本物か確かめる（専門的なので、読み飛ばしても大丈夫です）
メールが通った道筋の記録では、最初の受け取り口に、パキスタンの回線事業者の名前（.com.pk）が入った行がありました。自分から自分に送られたメールなのに、国内の自分の環境ではなく、外国の回線から届いています。差出人欄の書き換えを疑う、有力な手がかりです。

※メールヘッダー詳細は個人情報保護のため非掲載

リンクの先を調べました

リンクの先がどうなっているのかも確かめました。次の様子は、当サイトの調査用に開いて確認したものです。皆さんは、リンクを開かないでください。

注意点と対処法

「自分から届いた」という不気味さで、誰でも不安になります。大切なのは、メールの案内ではなく、ご自身で確かめた入口から動くことです。

• リンクは開かない。メールは削除して大丈夫です。自分が送った覚えがなくても、アカウントが乗っ取られたとは限りません。
• 本当にアカウントの状況が心配なときは、メールのリンクではなく、ブックマークや、ご自身で探した公式サイトからログインして、サインイン履歴などを確認してください。
• リンクの本当の宛先は、パソコンならリンクにマウスを重ねる、スマホなら長押しすると確かめられます。Microsoftの公式ページ「フィッシング詐欺から保護する」にも、確認の方法や、不審なメールの報告のしかたが載っています。
• もしリンクを開いて、IDやパスワードを入力してしまっても、責められることではありません。落ち着いて、そのアカウントと、同じパスワードを使っているサービスのパスワードを変更し、可能なら多要素認証（本人確認の二段階目）を有効にしてください。
• 職場や学校のアカウントの場合は、早めにIT担当者へ連絡してください。カードや口座の情報まで入力した場合は、カード会社や銀行にも連絡します。
• 不安が消えないときは、消費者庁の相談窓口（消費者ホットライン188）や、最寄りの警察署、警察相談専用電話（#9110）に相談できます。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

秋の行楽シーズン、高速道路を走る機会が増えた方も多いかもしれません。そんな時期に「ETCの料金を返金します」というメールが届いたら、つい開きたくなりますよね。その気持ちはごく自然なものです。

今日は、ETC利用照会サービスを名乗る「ご返金手続き」のメールを調べました。ボタンの先には、見る機器によって顔を変える偽サイトが待っていました。

詐欺メールの本文

本文は次のとおりです。受信者のアドレスは伏せ、リンク先は読めないように加工して載せています。

平素よりＥＴＣ利用照会サービスをご利用いただき、誠にありがとうございます。

システムのデータ処理に伴い、過去の通行料金において一部過剰請求が確認されました。
つきましては、対象となるお客様へ過払い分の通行料金をご返金いたします。
内容をご確認のうえ、期日までにお手続きをお願い申し上げます。

■□■━━━━━━━━━━━━━━━━━━━━━━━━
【 ご返金内容 】
━━━━━━━━━━━━━━━━━━━━━━━━■□■

・ご返金額：14,860円
・受付期限：2026年10月21日 23:59まで
・受付番号：ZR-75036
・対象アドレス：（受信者のメールアドレス）

▼ 下記のリンクより、ご返金先口座のお手続きへお進みください ▼

[ ご返金のお手続きへ進む ＞ ]（ボタン）

※リンクが開けない場合は、以下のURLをブラウザに貼り付けてアクセスしてください。
hxxps://www[.]etc-meisai[.]jp/refund/…（見た目のURL。実際のリンク先は別）

※期限を過ぎますと、オンラインでのご返金手続きができなくなりますのでご注意ください。
※すでにお手続き済みの際や、お心当たりがない場合は本メールを破棄いただきますようお願いいたします。
※本メールは送信専用のため、ご返信いただきましても回答いたしかねます。

ＥＴＣ利用照会サービス事務局
Copyright (C) 2026 ETC Usage Enquiry Service. All Rights Reserved.

実際に届いたメールの画面（受信者のアドレスは伏せています）

「過剰請求」「ご返金」「期日まで」と、うれしさと焦りを同時に誘う言葉が並びます。最後の「すでにお手続き済みの際や、お心当たりがない場合は本メールを破棄ください」という一文は、いかにも親切な案内に見せるための飾りと見られます（推測です）。

送信ルートと、偽物と分かるポイント

まず、メールそのものの作りを調べました。見た目はそれらしくても、いくつもの細工がありました。

① 見えているURLと、本当のリンク先が違う
ボタンも、本文に書かれたURLも、見た目は etc-meisai[.]jp の文字が並んでいます。これは、本物のETC利用照会サービスと同じ名前です。ところが、実際のリンク先を調べると、どちらも amxpjylc[.]vip という全く別のドメインでした。表示されているURLは本物そっくりですが、実際のリンク先は別のドメインです。メールでは、表示する文字とリンク先を別々に書けるため、こうしたことができてしまいます。

② 「ＥＴＣ利用照会サービス」の文字が、特殊な記号でバラバラにされていた
本文と、ページの題名にあたる部分で、「ＥＴＣ利用照会サービス」という言葉が、文字の向きを変える特殊な記号（制御記号）で細かく区切られていました。たとえば「ＴＥ」「照用利Ｃ」「ーサ会」「スビ」のように、並びをわざと崩して書いてあります。画面では向きが戻されて普通に読めますが、プログラムが文字を順に読むと、「ＥＴＣ」という言葉が見つかりません。こうした記号は、本文の中に約46個ありました。

どうやって見つけたか：メールソフトの「ソースを表示」などでメールの元データ（HTML）を開くと、本文のところどころで言葉がバラバラの順で並び、その間に見慣れない記号が挟まっているのが分かります。今回は、元データを1文字ずつ調べるプログラムで数えました。迷惑メールの自動チェックをすり抜けるための細工と考えられます（推測です）。

③ 差出人も返信先も、ETCとは無関係
表示名は「/u53107 ＥＴＣ」で、頭の「/u53107」は管理用の番号のように見えます。本当の差出人は help81a0@wure[.]amxpjylc[.]vip、返信先は security405ab6@amxpjylc[.]vip でした。どちらも、ETC利用照会サービスとは関係のないドメインです。

④ 送信元のIPアドレスは、クラウド事業者のもの
送信元は 104.198.119.99 でした。Googleが貸し出しているクラウド（ホスティング）のIPで、調査サイトの地図では東京都渋谷区と出ます。ただしこれはデータセンターの場所で、送った人の居場所ではありません。脅威レベルは「低」と表示されていますが、大手クラウドを借りているだけのことも多く、安全という意味ではありません。

⑤ 「SPF合格」でも本物とは限らない
SPFは「このIPからこのドメインのメールを送ってよい」という登録と照らす仕組みで、今回は合格でした。しかし、攻撃者が自分で取ったドメインに自分で登録すれば合格します。ETCから届いた証拠にはなりません。DKIM（電子署名）は署名自体は付いていましたが、検証の結果が今回の資料に出ていないので、判断はしていません。

⑥ 送信ドメインは、登録から約1年の新しいドメイン（専門的なので、読み飛ばしても大丈夫です）
送信とリンクに使われた amxpjylc[.]vip は、2025年11月1日に登録された、約1年のドメインです。登録者の情報は非公開になっていました。接続先は 172.65.185.109 で、Cloudflareという大手のサービスを経由しています。地図ではカナダのトロントと出ますが、Cloudflareの特性上、実際の運営者の場所を示すものではありません。

⑦ 受信経路の記録に、日本の法人回線を名乗る行があった（これも専門的なので、読み飛ばして大丈夫です）
メールが通った道筋の記録の古い側に、攻撃者側の送信用サーバー（メールの中継役）を名乗る行があり、そこに 202.214.140.99 というIPが書かれていました。調査サイトでは日本の通信事業者（東京都千代田区）の法人向け回線と出ます。ただし、この行は送る側が書ける部分で、本当の経路かどうかは確認できていません。

※メールヘッダー詳細は個人情報保護のため非掲載

ボタンの先を調べました

いちばん気になったのは、「ご返金のお手続きへ進む」ボタンの先です。次の流れは、当サイトの調査用にたどって確認したものです。皆さんは、リンクを開かないでください。

注意点と対処法

「返金」という言葉は、うれしいぶん、確認が甘くなりがちです。慌てずに、メールではなく、ご自身で確かめた入口から動くことが大切です。

• ボタンも、QRコードも、LINEの友だち追加も押さない。メールアドレスなども入力しない。メールは削除して大丈夫です。
• メールに見えているURLを信用しない。パソコンならリンクにマウスを重ねる、スマホならリンクを長押しすると、本当の宛先を確かめられることがあります。
• ETC利用照会サービスの公式ページにも、「フィッシングサイト・不審メールにご注意ください」という注意喚起があり、ご利用料金の返金に関する不審なメールにも注意が呼びかけられています。ETCの利用状況を確かめたいときは、メールのリンクではなく、ブックマークや、ご自身で探した公式サイトから確認してください。
• ETC関連サービスをかたる偽メールの手口の例は、JAF Mateの記事でも紹介されています。
• もしメールアドレスなどを入力してしまっても、責められることではありません。クレジットカードの番号や口座の情報まで入力した場合は、落ち着いて、カード会社や銀行に連絡してください。ID・パスワードを入力した場合は、同じものを使っているサービスのパスワードも変更しましょう。
• LINEで友だち追加をしてしまった場合は、一般的には、メッセージを返さず、ブロックして通報する対応が考えられます。
• 不安が消えないときは、消費者庁の相談窓口（消費者ホットライン188）や、最寄りの警察署、警察相談専用電話（#9110）に相談できます。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

もし、見知らぬ人から「あなたの秘密を知っている」というメールが届いたら、誰だって心臓がどきっとします。その反応は、とても自然なものです。

今日は、「よろしくお願いします！」という、ごく普通の件名で届いた脅迫メールを調べました。結論から言うと、中身は根拠のない「はったり」でした。

詐欺メールの本文

届いた本文は次のとおりです。ビットコインの送金先アドレスは、悪用を防ぐため載せていません。

どうも、こんにちは。
まずは自己紹介をさせていただきますね。私はプロのプログラマーで、自由時間ではハッキングを専門にしております。
今回残念なことに、貴方は私の次の被害者となり、貴方のオペレーティングシステムとデバイスに私はハッキングいたしました。

数ヶ月間、貴方を観察してきました。
端的に申し上げますと、貴方がお気に入りのアダルトサイトに訪問している間に、貴方のデバイスが私のウイルスに感染したのです。

このような状況に疎い方もいらっしゃいますので、より細かく現状を説明いたします。
トロイの木馬により、貴方のデバイスへのフルアクセスとコントロールを私は獲得しています。
よって、貴方の画面にあるもの全てを閲覧、アクセスすることができ、カメラやマイクのON/OFFや、他の様々なことを貴方が知らない間に行うことが可能です。

その上、貴方のソーシャルネットワークやデバイス内の連絡先全てにもアクセスを行いました。

なぜ今までウイルス対策ソフトが全く悪質なソフトウェアを検出しなかったんだろうとお考えではないかと思います。

実は、私のスパイウェアは特別なドライバを利用しており、頻繁に署名が書き換えられるため、貴方のウイルス対策ソフトでは捕らえられなかったのです。

画面の左側では貴方がご自分を楽しませている様子、そして右側ではその時に視聴されていたポルノ動画を表示するようなビデオクリップを作成いたしました。
マウスを数回クリックするだけで、あなたの連絡先やソーシャルメディアのお友達全員に転送することができます。
この動画を公開アクセスのオンラインプラットフォームにアップロードしたら貴方は驚くかもしれませんね。

朗報は、まだ抑止することができることです。
ただ 19万円 相当のビットコインを私のBTCウォレットに送金いただくだけで止められます（方法がわからない方は、オンライン検索すれば、段階ごとに方法を説明した記事が沢山見つけられるはずです）。

私のビットコインウォレット（BTC Wallet）: （送金先アドレスは非掲載）

貴方の入金が確認できるとすぐに、卑猥な動画はすぐに削除し今後私から２度と連絡がないことを約束します。
この支払いを完了させるために４８時間（きっちり２日間）の猶予がございます。
このメールを開くと既読通知は自動的に私に送られるため、その時点でタイマーは自動的にカウントを開始します。

送金できない場合はメールにてお問い合わせください。

このメールを誰かに転送しようとしていることが分かると、すぐに貴方の卑猥な動画を公開させます。

合理的に考えて、バカな真似はこれ以上しないでください。わかりやすい説明を段階を踏んでお伝えをしたつもりです。今貴方がすべきことは私の指示に従って、この不快な状況を取り除くことです。

ありがとうございます。幸運を祈ります。

実際に届いたメールの画面（宛先と送金先アドレスは伏せています）

「嘘」と分かるポイント

怖い言葉が並んでいますが、落ち着いて見ていくと、ほころびだらけです。

① 宛名も、名前も、具体的な情報もない
「貴方」としか書かれていません。本当にあなたを数か月も観察していたなら、名前くらいは書けるはずです。個人を特定できる情報が何一つないのは、誰にでも同じ文面を送っている証拠です。

② 感染させる手段が、そもそも見当たらない
メールには、リンクも添付ファイルもありません。HTML形式の本文を調べても、画像や外部につながる仕掛けは見つかりませんでした。メールを読んだだけでスマホやパソコンがウイルスに感染することは、この内容では考えにくいです。

③ 「開くと既読通知が届き、タイマーが始まる」も根拠なし
本文には、開封を知らせる仕掛けは見当たりませんでした。「48時間以内」という期限は、考える時間を奪って慌てさせるための演出です。

④ 「ウイルス対策ソフトに見つからない」は、言い逃れ
「特別なドライバで署名を書き換えるから検出されない」とありますが、これは「見つからないのは当然です」と先回りしているだけです。感染した証拠としては、何も示されていません。

⑤ 動画のサンプルも、連絡先の一部も示されていない
本物の盗撮や盗み見をしていたなら、証拠の一部を見せて信じさせるはずです。このメールは、「作成いたしました」と書くだけでした。

⑥ 「転送したらすぐ公開」は、相談を封じる決まり文句
誰かに相談されると困るので、「転送を検知する」と書いて、家族や警察への相談を止めようとしています。そんな検知の仕組みはなく、相談しても何も起きません。

なお、「アダルトサイトを見ていた」と書かれると、恥ずかしさで冷静でいられなくなる方もいるかもしれません。ですが、この文面は誰にでも同じものが送られています。あなたの行いを知っているわけではありませんので、ご自分を責める必要はありません。

送信ルートと、詳しく調べて分かったこと

次に、メールの作りも調べました。ここは少し専門的なので、読み飛ばしても大丈夫です。

① 差出人の表示と、実際の送信ドメインが別
画面に出る差出人は、名前が空欄のhotmailアドレスです。ところが、送信の手続きで使われていたドメインは ejfb[.]com でした。見た目の差出人と、実際の送り元が食い違っています。

② 送信元IPは台湾の通信会社で、SPFは不合格
送信元は 61.222.211.70 でした。台湾の通信会社HiNet（中華電信）のIPで、調査サイトでは台北、「法人向け」の回線として表示され、脅威レベルは「低」でした。メールの日付も台湾時間（日本より1時間遅れ）で書かれていて、台湾からの送信という点と矛盾はありません。ただし、日付の時刻は送る側が自由に設定できるので、決め手にはなりません。また、これは回線の場所であって、犯人の居場所とは限りません。乗っ取られた機器や、中継として使われた機器の可能性もあります。さらに、SPFは「不合格」でした。SPFは「このIPから、このドメインのメールを送ってよい」という登録と照らす仕組みで、不合格は「許可された送り元ではない」という意味です。DKIM（電子署名）も付いていませんでした。

③ 名乗られたドメインは、売りに出されている古いドメイン
送信手続きに使われた ejfb[.]com は、2007年に登録された古いドメインです。調べたところ、現在は「販売中」として表示されていました。ドメインの接続先は 13.248.169.48（Amazonのクラウド。地図上はカナダのモントリオール）で、これは販売ページを置いている側と見られます。メールを送ったIPではありません。つまり、犯人は「他人の持ち物」を名乗っているだけと考えられます。「プロのプログラマー」を名乗る割に、ずいぶん借り物が多いようです。

④ メールソフトの名乗りが、20年以上前のもの
送信に使われたメールソフトとして、「Microsoft Outlook Express 6」と名乗る記載がありました。とても古いソフトの名前で、いまの環境では使われません。この記載は、送る側が自由に書けるので、何か決め手になるわけではありませんが、不自然な点のひとつです。

※メールヘッダー詳細は個人情報保護のため非掲載

注意点と対処法

驚いたときほど、「何もしない」ことがいちばん安全な行動です。

• ビットコインは送らない。一度送ると取り戻すのは極めて難しく、送っても脅しが止まる保証はありません。
• 返信もしない。返事をすると「このアドレスは生きている」と知らせてしまい、似たメールが増えるおそれがあります。メールは削除して大丈夫です。
• 念のため、使っているパスワードの使い回しがないかを見直し、可能なら二段階認証を設定しておくと安心です。
• もしメールに、あなたが実際に使っているパスワードが書かれていた場合は、そのパスワードを使っているサービスのものをすべて変更してください。
• 不安が消えないときや、続けて届くときは、ひとりで抱えず、消費者庁の相談窓口（消費者ホットライン188）や、最寄りの警察署、警察相談専用電話（#9110）に相談できます。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

月曜日の朝、仕事や家事を始める前にメールを開いたら、カード会社らしき相手から「期限あり」の知らせ。「放っておくと止められるかも」と、つい急いでしまいますよね。その気持ちはごく自然なことです。

今日は、そんな心理を突いてくる「VISA」を名乗るメールを調べました。ボタンの先には、思わぬ「あの」アプリが待っていました。

2026年10月18日、同じ内容が95通届いていました

受信箱を開くと、2026年10月18日付けでVISAを名乗るメールがずらりと並んでいました。数えると全部で95通。件名は次の4種類で、どれも「確認・更新のお願い」という似た内容です。

• 【期限あり】アカウント情報の確認・更新のお願い（今回の解析対象）
• 【重要】お客様情報の確認・更新のお願い
• 【重要】ご登録情報の更新・本人確認のお願い
• 【ご確認ください】本人確認書類のご提出のお願い

差出人の表示名は「VISA」と「【VISA】」の2通りで、ほとんどのメールに添付ファイルが付いていました。この記事では、このうち「【期限あり】アカウント情報の確認・更新のお願い」の1通を代表として調べています。ほかの3件名は個別には解析していませんが、同じ日にまとめて届き、見た目の作りも同じなので、同じ送り主の可能性が高いと見ています。

受信ボックスに並んだVISAを名乗るメール（1枚目）

同じ日の受信分（2枚目）。ほぼすべてに添付ファイルのマークが付いています

詐欺メールの本文（代表の1通）

本文は次のとおりです。見えない文字は取り除き、リンク先は読めないように加工して載せています。

お客様

平素よりVISAカードをご利用いただき、誠にありがとうございます。

大変恐れ入りますが、最近、不正登録が相次いでいるため、ご本人確認の書類のご提出をお願いしております。

また、ご登録情報に誤りがないか、ご確認いただけますようお願い致します。

アカウント情報に誤った内容が登録されている場合、弊社利用規約に基づきサービスを停止させていただくことがございます。あらかじめご了承くださいますようお願いいたします。

以下の銀行をご利用の場合は、2026年10月31日（土）までにご登録情報の更新をお願いいたします。

取扱金融機関一覧
（大手銀行から地方銀行・ネット銀行まで、98行の名前が縦に並んでいます）

※ アプリ「VISA」から、情報を確認するための書類をご提出ください。

※ なお、本人確認を行うにはアプリが必要です。まだお持ちでない方は、お手数ですが下記よりインストールをお願いいたします。

[ VISAアプリで今すぐ情報を更新してください ]（ボタン）
→ リンク先：hxxps://ynbzm[.]com/reservation/lyfr 以上、ご理解とご協力のほど、よろしくお願いいたします。 個人情報の取り扱い等について、当社にご要望、ご質問またはお問い合わせがございましたら、下記の方法でご遠慮なくお知らせくださいますようお願いいたします。 - サポート：https://www.visa.co.jp/support.html - Eメール：privacy@visa.co.jp - 郵送先： Visa Global Privacy Office 900 Metro Center Blvd. Foster City, CA, 94404 USA このEメールは配信専用です。返信しないようお願いいたします。

本文の最後にあるサポートのURLやメールアドレス、郵送先は、本物らしく見せるための飾りと見られます。メールの中でリンクになっているのは、あのボタンだけです。

もうひとつ気になるのが「取扱金融機関一覧」です。カードのお知らせのはずなのに、なぜか銀行の名前が98行も並んでいます。読む人に「自分の銀行も入っている」と思わせたり、本物の案内のように長く見せたりする狙いかもしれません（これは推測です）。期限の「2026年10月31日（土）」が実際の暦と合っているのも、もっともらしさを足しています。

実際に届いたメールの画面（添付ファイルはVISA.kgoと表示。開いていません）

送信ルートと、偽物と分かるポイント

まず、メールそのものの作りを調べました。見た目はVISAでも、中身にはいくつもの細工がありました。

① 差出人の名前は「VISA」に見えるだけ
メールソフトの画面には「VISA」と出ますが、実際に保存されている並びは「ASIV」です。文字を右から左へ並べ替える特殊な制御記号を前後に混ぜて、画面の上だけ「VISA」と読めるようにしていました。本当の送信元アドレスは prod@prod[.]ynbzm[.]com で、VISAのものではありません。

② 件名にも本文にも、見えない文字が仕込まれていた
件名は、見た目が「【期限あり】アカウント情報の確認・更新のお願い」の23文字です。ところが中身を調べると28文字あり、余分な5文字は画面に何も表示されない「ゼロ幅文字」でした。本文にも、同じような見えない文字が約600個も混ざっていました。

どうやって見つけたか：今回は、メールの件名と本文を元の文字データに戻し、1文字ずつ種類を調べるプログラムで数えました。お手元で確かめるなら、件名をコピーしてテキストエディタに貼り付け、文字数のカウントを見てください。見た目の文字数より多ければ、見えない文字が入っています。狙いは、迷惑メールの自動チェックをすり抜けることだと考えられます（推測です）。

③ 送信元のIPアドレスは、クラウド事業者のもの
送信元は 57.154.20.239 でした。Microsoftが貸し出しているクラウド（ホスティング）のIPで、調査サイトの地図ではアメリカのアリゾナ州フェニックスと出ます。ただしこれはデータセンターの場所で、送った人の居場所ではありません。調査サイトの脅威レベルは「低」と表示されていますが、大手クラウドを借りているだけのことも多く、安全という意味ではありません。

④ 「SPF合格」でも本物とは限らない
SPFは「このIPからこのドメインのメールを送ってよい」という登録と照らす仕組みで、今回は合格でした。しかし、攻撃者が自分で取ったドメインに自分で登録すれば合格します。VISAから届いた証拠にはなりません。DKIM（電子署名）は署名自体は付いていましたが、検証の結果が今回の資料に出ていないので、判断はしていません。

⑤ 受信経路の記録に、偽の経路を差し込んだ形跡（専門的なので、読み飛ばしても大丈夫です）
メールが通った道筋の記録のいちばん古い行に、大手通信会社の社内用ホストを名乗る行がありました。ところがそこには、外からは使えない社内用の番号が書かれており、外部からの本当の最初の受け取り口は、その上の別の行でした。「大手を経由したメール」に見せかけるため、偽の記録を差し込んだ可能性が高いと見ています（確証まではありません）。

※メールヘッダー詳細は個人情報保護のため非掲載

ボタンの先を調べました

いちばん気になったのは、「本人確認にはアプリが必要」と案内されたボタンの先です。次の流れは、当サイトの調査用にたどって確認したものです。皆さんは、リンクを開かないでください。

当ブログでVISAを名乗るメールを取り上げるのは、今回が初めてです。また、アプリを入れさせようとするタイプの詐欺も初めての紹介になります。

注意点と対処法

急かされると、誰でも慌てます。大切なのは、メールの案内ではなく、ご自身で確かめた入口から動くことです。

• ボタンも、QRコードも、添付ファイルも開かない。メールは削除して大丈夫です。
• Visaの公式ページには、「Visaがメールでカード会員の個人情報や機密情報を確認することはない」「不審なメールには返信せず削除し、添付ファイルは開かない」とあります。詳しくはVisa公式の注意喚起をご覧ください。
• 本当に確認したいときは、メールのリンクは使わず、お手持ちのカードに書かれた連絡先や、ご自身で探した公式サイトから確かめてください。
• スマホのアプリは、公式のストアから入れるのが基本です。アプリのインストールや、「提供元のアプリを許可」「VPN接続の許可」といった操作を求められたら、そこで止まってください。
• もし押してしまっても、責められることではありません。落ち着いて、一般的には機内モードやWi-Fiの切断で通信を止め、カード会社や銀行へ連絡してください。あわせて、消費者庁の相談窓口（消費者ホットライン188）や、最寄りの警察署、警察相談専用電話（#9110）にも相談できます。

まとめ

Data Provided by Heartland-Lab Security Research Unit
IPアドレス情報の参照元：ip-sc.net（IP調査兵団）

もしスマホの画面に「49万円の買い物が完了しました」と出たら、一瞬ドキッとしますよね。今回は、そんな「身に覚えのない高額な注文」を知らせて、電話をかけさせようとするメールを調べました。

届いたメールの内容

本文は次のとおりです。商品名・金額・注文番号まで細かく書かれていて、いかにも本物らしく見せています。

お客様各位（または 該当社員様）

平素は弊社サービスをご利用いただき、誠にありがとうございます。

本日 10月17日 10:07、お客様のご登録口座（または法人共通決済アカウント）にて、以下のご注文および決済手続きが完了いたしましたのでお知らせいたします。

【ご注文・決済詳細】
・ご注文商品：MacBook Pro 16インチ M3 Max / 32GB RAM（注文番号：APL-8849-202610）
・決済日時：2026年10月17日 10:07
・ご請求金額：¥498,000（税込）
・お届け先住所：東京都新宿区***（ご登録住所と異なる配送先が指定されています）
・ステータス：発送準備中（本日 18:00 出荷予定）

※万が一、本注文に身に覚えがない場合、または不正利用の可能性がある場合は、出荷停止および返金手続きのため【本日 17:30 まで】に以下の緊急カスタマーサポート窓口までお電話にてご連絡ください。

--------------------------------------------------
不正決済・ご注文取り消し専用窓口（国際サポートデスク）
電話番号：+1-240-833-7257（受付時間：24時間対応 / 日本語可能）
※お電話の際、オペレーターに注文番号【 APL-8849 】をお伝えください。
※国際電話となるため、国番号（+1）をお確かめの上おかけ間違いのないようご注意ください。
--------------------------------------------------

※発送手配が自動進行中のため、メールでのキャンセル受付は停止しております。必ずお電話にてご連絡をお願いいたします。

購買・カスタマーサポート緊急対応チーム

このメールが「急がせる」ために使っている言葉は、次のとおりです。「本日17:30まで」「発送準備中」「メールでのキャンセルは停止」。どれも、考える時間を奪うためのものです。電話でしか取り消せないと思わせて、国際電話へ誘導しています。

詳しく調べて分かったこと

① 社名も、リンクも、添付もない

どこの会社の注文なのか、メールのどこにも書かれていません。宛名も「お客様各位（または 該当社員様）」と、全員に当てはまる書き方です。ボタンやリンクもなく、反応する方法は電話番号だけです。注文番号の頭に「APL-」とあるので、Appleを連想させる狙いかもしれませんが、これは当サイトの推測です。

② 狙いは「電話」より「生存確認」かもしれない

国際電話を、わざわざ自分からかける人は多くないはずです。そこで考えられるのが、「このメールアドレスは、ちゃんと届くか」を確かめるための生存確認という可能性です。受信箱に届いたことが分かれば、その宛先は「生きている」として、次の詐欺メールを送る候補にできます。もちろん、電話をかけた人から情報を聞き出す目的も考えられるので、どちらの場合でも電話もしない、返信もしないのが安全です。

③ 差出人は「受信者自身のドメイン」の偽装

差出人のアドレスは、受信者と同じドメインの「noreply」風に見せかけたものでした。社内からのメールに見せるための偽装です。でも、外から最初に届いた送信元は 37.5.241.83 で、ドイツのVodafoneの個人向けケーブル回線（逆引き名 ip-037-005-241-083.vkd65.pools.vodafone-ip.de）でした。SPFは「softfail（正式な送信元ではなさそう、という判定）」、署名のDKIMはありませんでした。

メールソフトは、2000年代の古い「Outlook Express 6」を名乗っています。いまどきこのソフトで国際詐欺メールを送る人は、まずいません。名乗りは偽物とみて間違いなさそうです。

④ 件名と本文に「見えにくい細工」

件名は「かっさいおつらびは息恋のおたらせ」と、意味が通りません。さらに括弧の代わりにアラビア文字の合字が2つ入っています。迷惑メール判定ソフトの検査を避けるための細工とみられます。

本文にも細工がありました。メールの「ソース表示（生データ表示）」で本文を開くと、日本語がすべて「お」のような数字だけの表記に置き換わっています。画面では普通の日本語に見えるのに、機械が文字を読むときには数字の列になるため、単語での検知がしにくくなります。

⑤ 電話番号を調べると、危険な情報ばかり

メールにある +1-240-833-7257 は、国番号「+1」＝アメリカの番号です。当サイトでこの番号を検索したところ、危険を知らせる情報が多く見つかりました。かけてしまうと、高い通話料や、名前・カード番号などの聞き出しにつながるおそれがあります。

⑥ 攻撃者のうっかり

このメールが届いたのは、10月18日の午前2時56分。ところが本文は「本日10月17日 10:07に決済、【本日17:30まで】にお電話を」と書いています。届いた時点で、期限も「18:00の出荷予定」も、とっくに過ぎていました。

さらに、メールの送信日時（Dateヘッダー）は、実際に届いた時刻より約1時間45分も「未来」になっていました。時計の合わせ方まで、気が回らなかったようです。

注意点と対処法

高額な注文の知らせは、誰でも一瞬あわててしまうものです。うっかり気になってしまっても、恥ずかしいことではありません。大切なのは、「電話してください」と言われた時点で、いったん手を止めることです。

日曜の朝、コーヒーを片手にスマホでメールをチェック……そんな、ほっとひと息ついたタイミングで届くと、つい開いてしまうのが「ギフトカードをお贈りします」という甘いお知らせです。今回は、そんな気持ちのすきまをねらった、Amazonを装うメールを調べました。

届いたメールの内容

本文は次のとおりです。見た目はAmazonそっくりで、ギフトカード番号の欄に「コピーする」ボタンまで付いていました。

お買い物感謝ギフトカード 16,000円分

日頃のご愛顧に感謝し、ギフトカードをお贈りします。

ギフトカード番号（16,000円分）
23EN-HJRO-OVQM-B0NJ
有効期限：令和8年10月18日まで

ギフトカードをご利用いただくには、Amazonアカウントガードアプリのダウンロードが必要です。アプリをインストールの上、以下の手順で兌換をお願いいたします。

有効期限まであと2日：令和8年10月18日までに兌換を完了してください。期限後はギフトカードが無効となります。

兌換手順
1 Amazonアカウントガードアプリをダウンロードし、起動してください
2 アプリ内の「ギフトカード兌換」をタップしてください
3 先ほどコピーしたギフトカード番号を「ギフトカード番号」入力欄に貼り付けてください
4 「兌換する」ボタンをタップして、兌換を完了してください

兌換完了後：ギフトカードはお客様のお名前のAmazonアカウントに自動的に紐付け（バインド）されます。Amazon.co.jpでのお買い物にご利用いただけます。

[ こちらからAmazonアカウントガードをダウンロード ]（hxxps://hgghf[.]com/k/Iq0He）

ご注意：ギフトカードの兌換には、最新版のAmazonアカウントガードアプリが必要です。兌換できない場合は、アプリを最新版に更新するか、Amazonカスタマーサービスまでお問い合わせください。

本メールは送信専用です。ご返信いただいてもお答えできません。
ご不明な点は、Amazonカスタマーサービスまでお問い合わせください。
© Amazon.com, Inc. or its affiliates

ここで一番の問題は、ギフトカードを受け取るために、専用アプリを入れさせようとしていることです。カードの番号は、アプリを入れさせるための飾りにすぎません。

ちなみに、攻撃者のうっかりも見つかりました。メールを受け取ったのは10月17日なのに、「有効期限まであと2日」と書かれています。期限が18日なら、実際は「あと1日」です。日数の計算までは、気が回らなかったようです。

もうひとつ、日本語にも手がかりがあります。普通なら「引き換え」と書くところを「兌換（だかん）」と書いていたり、「紐付け（バインド）」と言い換えていたりと、少し不自然な言い回しが混じっています。

送信ルートと「なりすまし」の細工

メールの記録をたどると、外から最初に届いた送信元は 20.121.28.86 でした。アメリカにあるMicrosoft系のクラウドです。名乗りのドメインは exaggerate[.]iudqz[.]com でしたが、このIPの逆引き名は別のドメイン（amcfw[.]ciichlj[.]com）でした。また、メールソフトにはiPhoneのメールアプリを名乗る記載がありますが、実際の送信元はクラウドのサーバーです。

SPFとDKIMは、どちらも「pass」でした。これは、攻撃者が自分で用意したドメインの設定を正しく整えているためで、passだからといって安全という意味ではありません。

リンク先を詳しく調べると分かったこと

メールの「ダウンロード」ボタンは、hxxps://hgghf[.]com/k/Iq0He につながっていました。このアドレスは入口にすぎず、見る端末によって、行き先が変わるようになっていました。順番に見ていきます。

ステップ1　まず「ロボットではありません」の画面

最初に出るのは、白い画面に「I’m not a robot」のチェックボックスだけが置かれたページです。本物のGoogleの認証画面に似せています。人にとっては見慣れた画面で安心感があり、一方で自動で調べるツールの目をそらすことにも使われます。

ステップ2　パソコンで開くと「スマホで開いて」とQRコード

パソコンで開くと、thefishguha-jp[.]com という別のアドレスに切り替わり、「システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません」と表示されました。画面の中心にはQRコードがあり、スマホで読み取るよう促しています。Amazonのメールなのに、なぜかVISAのロゴが出ているのも不自然です。パソコンでは何も起きないように見せて、スマホへ誘導するための画面と考えられます。

ステップ3　スマホで開くと「偽のGoogle Play」画面

スマホで開くと、domloupspfn-jp[.]com に切り替わり、Google Playのストア画面そっくりのページが表示されました。「VisaApp」というアプリで、「4.8★」「100万+ダウンロード」と人気があるように見せています。「インストール」ボタンの下には、「アプリを更新」「権限を許可」といった説明画像まで並んでいました。

ここでいちばん危ないのは、説明画像が「不明なアプリのインストール」の許可をオンにさせようとしていることです。本物のストアでは、こうした許可は必要ありません。この許可を出すと、悪意のあるアプリがスマホに入る入口を自分で開けてしまうことになります。

入口のドメインについて

最初の入口になっている hgghf[.]com は、2024年11月に登録されたドメインで、登録の期限は2026年11月20日です。登録者の情報は非公開にされていました。今は「このドメインは販売中」という表示が出ていて、いつもは目立たない状態にしてあるように見えます。同じサーバー（43.164.190.251、韓国・ソウルのTencent系ホスティング）には、ほかにも9つのサイトが載っていると表示されました。

なお、同じ日（10月17日）には、件名を変えた同じ系統のメールが、確認できただけで15通ほど届いていました。「アプリ登録特典のお知らせ」「対象キャンペーンのご案内」「キャッシュバックのお知らせ」など、5種類の件名です。送信者の表示も「Amazonギフトカード」「Amazonカスタマーサービス」などと、少しずつ変えてありました。

注意点と対処法

「ギフトカード」「キャッシュバック」「感謝の気持ち」といった言葉は、つい気になってしまうものです。うっかり開きそうになったとしても、決して恥ずかしいことではありません。大切なのは、「アプリを入れてください」と言われた時点で、いったん手を止めることです。

おはようございます、Heartです。10日からの3連休は、ゆっくり過ごせましたか？ 連休が明けた火曜日の朝は、たまった仕事のメールを開くのがちょっと気が重いですよね。

実は詐欺メールも、連休が明けた13日から一気に増えていました。今週も1週間分をまとめて、いつものように「グラフ」でわかりやすくお伝えします。
先週の様子は週刊レポートW41もあわせてどうぞ。

今週の数字、まず4つ

① 1日ごとに届いた数

棒が長いほど、たくさん届いた日です。オレンジ色の棒が、今週いちばん多かった日です。

10日〜12日の3連休は、1日あたり200通前後でした。ところが連休明けの13日から一気に500通前後へ倍増しています。「休み明けでメールをまとめて確認する日」を、詐欺グループは狙っているのかもしれません。

② 日ごとの「中身」の内訳

色は、どんな手口のメールかを表しています。13日からオレンジ色（国税庁）が、一気に太くなったのが分かりますか？

③ 手口別ランキング TOP10

今週は、国税庁・e-Taxを装うメールだけでほぼ半分（50.1%）でした。2位以下を大きく引き離しています。

日替わりの顔ぶれ

今週の注目トピック

① 国税庁・e-Tax：連休明けに約3.7倍。「書類を発送しました」型が新登場

10〜12日の3日間は合計110通でしたが、13日からは1日300通超（13日339通、14日330通、15日328通）です。先週のW41では約372通でしたから、約3.7倍です。しかも国税庁を装うメールのうち約1,032通（76.0%）に添付ファイルが付いていました（開いていません）。

「郵便で書類が届く」という設定にすると、「ポストを見ておかなきゃ」と気になって、メールの確認ボタンを押したくなります。そこを狙った新しい手口だと思われます（あくまで件名からの推測で、本文のリンク先は調べていません）。

② Apple：身に覚えのない「ギフトカード領収書」（81通）

「Apple ギフトカードのご購入明細」のように、買った覚えのない領収書で不安にさせるタイプです。12日23通、13日28通、16日23通と、日をおいて繰り返し届きました。心当たりがないときは、メールの「キャンセル」や「問い合わせ」のボタンは押さず、iPhoneの設定アプリや公式サイトで、ご自分の購入履歴を確認してください。

③ Amazon・Prime：日曜日に99通が集中（合計137通）

「Prime会費のお支払いが完了していません」「お支払い方法をご確認ください」という内容です。11日（日）だけで99通届きました。日曜日は家族でゆっくりスマホを見る時間が長いので、狙われやすいのかもしれません。

④ 証券会社：「パスキー移行」「配当金」型（111通）

auカブコム証券37通、マネックス証券23通、三菱UFJ eスマート証券20通、松井証券19通、SBI証券12通を名乗るメールが、13日〜16日に届きました。「パスキー」とは、パスワードのかわりに指紋や顔でログインする新しい方法です。実際に導入が進んでいるので、信じやすいのが厄介です。

⑤ 件名が汎用的なメール（228通）

「ご確認いただきたいご報告」「お手続き状況をご精査ください」など、何のサービスか分からない件名です。日本語がどこか不自然なのも特徴で、16日に83通、17日は午前7時までに22通と、週の終わりにかけて増えました。

⑥ ポイント有効期限（件名に期限日が書かれたものが110通）

Vポイント、オリコ、みずほ銀行、WAON、メルカリなどを名乗り、「もうすぐ失効します」と急がせるタイプです。件名に書かれた期限日は、すべて受信日の3日前〜5日後というごく近い日付でした。ポイントが本当に失効する前に「確認しなきゃ」と思わせる、おなじみの作りです。

⑦ 会社のアドレスを装うメール（約100通）

勤務先のメールアドレスや会社名を使って、「アカウントの異常ログイン通知」「FW: Payments for Due Invoices（未払い請求書の転送）」「【業務連絡】」などの件名で届きます（会社名・ドメインは伏せています）。14日に20通ありました。同僚や取引先からのメールに見えても、心当たりがなければリンクは開かず、本人に別の方法で確認してください。

先週（W41）との比べ

項目	W41（先週）	W42（今週）	変化
受信した詐欺メール	2,160通	2,709通	約25%増
迷惑判定をすり抜けた	約251通（11.6%）	481通（17.8%）	約6ポイント悪化
添付ファイル付き	約875通（40.5%）	1,257通（46.4%）	約6ポイント増
国税庁・e-Tax	約372通	約1,358通	約3.7倍
差出人名が「カスタマーサポート」だけ	約411通	172通	減少
Apple・iCloud	約301通	81通	減少
楽天（ペイ・カード・アプリ）	約249通	20通	大きく減少
Amazon・Prime	約19通	137通	約7倍
ANAマイレージクラブ	約89通	73通	やや減少
会社のアドレスを装う	約64通	約100通	増加

※先週は主に差出人名、今週は件名と差出人名のキーワードで機械的に振り分けているため、手口別の数字は「目安」です（数%〜十数%の違いが出ることがあります）。

おまけ：攻撃者のうっかりミス

期限が3日前にもう過ぎているのに「まもなく失効します」と急かすポイント期限メールが、今週は28通もありました。タイムマシンで送ってきたのでしょうか。

ほかにも、宛名のところに「[RECEIVER_USERNAME]」という差し込み用の部品がそのまま残っていたり、日付のあとに中国語で「木曜日」を意味する「星期四」と書かれていたり。仕上げが甘くて、少し助かります。

【特集①】最近増えている「不正アプリ」とは

今週の10日だけで、「Android限定」「楽天アプリDLで特別ポイント」とアプリのダウンロードをすすめる件名のメールが19通届きました。19通すべてに添付ファイルが付いていました（開いていません）。また、「e-Taxアプリでご確認を」という件名も6通ありました。先ほどの国税庁の公式ページには、還付金の受け取りのためのアプリのダウンロードは求めないと書かれています。

警察庁の注意喚起（Cyber Police Agency Letter 2026年9月号）によると、不正アプリによる被害は、次のように進みます。

アプリは、メールやSMS、SNS広告のリンクからは入れない。これがいちばん大切です。そのうえで、次のことを心がけてください。

• アプリは公式のアプリストアから入れます。公式ストアでも、提供元（作った会社）や内容をよく確かめます。
• スマホのOSを最新にして、ウイルス対策ソフトを入れます。
• 入れてしまったら、すぐに削除します。そして警察署やサイバー犯罪の相談窓口に相談します。
• あわせて、使っている決済サービス・カード会社・銀行にも連絡して、身に覚えのない動きがないか確認します。

【特集②】相次ぐサイバー攻撃と個人情報の漏えい、私たちは何をすればいい？

10月に入り、企業や自治体が不正アクセスを受けて、お客さんの個人情報が漏れたと報じられるニュースが相次いでいます。NHKは、セキュリティ会社が「ことし7月以降に被害が増えていて、サイバー攻撃にAIが悪用されている可能性が高い」とみていると伝えました（10月6日）。

一方で、公的機関は慎重です。JPCERT/CCは「すべての事案で同じ手口が使われたとは限らない」とし、警察庁も原因や事案どうしの関係はまだはっきりしていないとしています（10月8日、まとめ記事による）。つまり、原因は今も調べている途中です。

出典：piyolog（公的機関の発表をまとめた記事）、個人情報保護委員会（10月7日の会議ページ）

漏えいが、詐欺メールとどうつながるの？

名前、メールアドレス、電話番号などが漏れると、「あなたの名前入り」「実際に使っているサービス名入り」の、本物そっくりのメールやSMSが届きやすくなります。今週の国税庁・証券会社・カード会社のメールも、実在するサービスの名前を使って信じさせる作りでした。警察庁も、漏えいした企業を装うメールのリンクは押さないよう呼びかけています（まとめ記事による）。「情報が漏れました、確認してください」というメールこそ、まず疑ってください。

今日からできる3つの対策（デジタル大臣の呼びかけより）

• パスワードの使い回しをやめる：サービスごとに別のパスワードにします。1か所で漏れても、ほかに広がりません。
• 多要素認証をオンにする：パスワードに加えて、スマホに届く確認コードなどで二重にチェックする仕組みです。
• 怪しいメール・SMSは公式から確認：リンクを押さず、公式サイトや公式アプリを自分で開きます。

自分が使っているサービスで漏えいが発表されたら、その会社の公式サイトのお知らせを確認し、同じパスワードを使っているほかのサービスも変更し、カード明細やポイントの残高にも目を通しておくと安心です。

今日から使える対策5か条

相談できる窓口

• 消費者ホットライン「188」（消費者庁）：全国共通の番号で、お住まいの地域の消費生活センターなどにつながります。
• サイバー事案に関する相談窓口（警察庁）：都道府県警察の相談窓口もここからたどれます。
• 情報セキュリティ安心相談窓口（IPA）：03-5978-7509、受付は10時〜17時（土日祝日・年末年始を除く）。

集計の方法

参考リンク

• e-Taxを装った不審なメール等にご注意ください（国税庁 e-Tax）
• 不正アプリによる不正送金被害が発生 被害にあわないために（警察庁 Cyber Police Agency Letter 2026 Vol.18）
• 個人情報保護委員会 会議ページ（令和8年10月7日・注意喚起資料の掲載）
• 国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた（piyolog）
• NHK：不正アクセスで企業から大量の個人情報が漏えい（10月6日）

まとめ

今週は、連休が明けた13日から詐欺メールがぐっと増えました。国税庁を装うメールは約3.7倍で、迷惑メール判定をすり抜ける割合も増えています。そして、不正アプリや情報漏えいのニュースが続く今は、「実在するサービスの名前で、もっともらしく届く」メールがますます信じやすくなっています。

どんなに本物そっくりでも、メールの中のリンクやボタンは開かず、ご自分で公式サイトや公式アプリを開く。この習慣だけで、被害の多くは防げます。

この記事が、ご家族や身近な方を守るきっかけになれば幸いです。特にスマホに不慣れなご家族には、ぜひ教えてあげてください。

先週の週刊レポートはこちら（W41）です。

毎日のやり取りに使っているLINEから「ポイントが届いています」と知らせが来たら、ちょっと嬉しくなりますよね。

今回は、LINEを名乗って「11,250ポイントが届いています」と伝えるメールです。結論から言うと、これは詐欺メールです。本日お昼前にご紹介した同じ手口の続報にあたります。ポイントを受け取るためのアプリは、入れないでください。

届いた詐欺メールの本文

実際に届いたメールの本文を再現します。「11,250」という具体的な数字と、受取期限の「令和8年10月22日」で、急がせる作りです。

件名：【重要】キャンペーン還元ポイントが届いています

キャンペーン還元ポイントが届いています

11,250
ポイント

対象キャンペーンの還元ポイントがお客様のアカウントに届いています。LINEアプリ内で受け取ってください。

受取期限：令和8年10月22日まで

[Android版 LINEアプリをダウンロード]
※受け取りにはAndroid版LINEアプリのインストールが必要です

本メールは送信専用です。ご返信いただいてもお答えできません。
ご不明な点は、公式アプリ内のお問い合わせよりご確認ください。
© LINEヤフー株式会社

▲ 実際に届いたメールの画面（緑のボタンは「Android版 LINEアプリをダウンロード」）

ポイントが届いたと聞けば、気になるのは自然なことです。ただ、本物のLINEが「ポイントを受け取るために、このメールのボタンからアプリを入れてください」と求めることはありません。ポイントを受け取るためにアプリを入れさせるのは詐欺です。

送信ルートの調査｜見えない文字で「LINE」に見せかけていた

差出人の表示名は「LINEボーナス通知」と見えますが、実際のメールアドレスは eloquent.gzlygs[.]com という、LINEとは無関係のドメインです。送信元のIPアドレス 52.231.67.186 は、IP調査サイトではMicrosoftの回線で、場所は韓国と表示されました。ただし、この場所は攻撃者の居場所を示すものではありません。

この表示名には、からくりがありました。メールの中身（ソース）では、文字が「知通スナーボENIL」という逆の並びで入っていて、その前に「文字を右から左へ並べ替える」特別な制御文字が付いています。この制御文字のせいで、画面上だけ「LINEボーナス通知」とひっくり返って見えるのです。さらに件名や本文にも、目に見えない幅ゼロの文字が混ぜられていました。

こうした見えない文字は、メールのソースをテキストエディタに貼り付けたり、文字コードを表示できるツールに通したりすると、「U+200B」のような記号になって姿を現します。今回もその方法で見つけました。文字を細かく分断して、迷惑メールの自動チェックをすり抜けようとしているとみられます。

なお、SPF・DKIMという送信者認証には合格の記録がありますが、認証に合格していても本物とは限りません。攻撃者が自分のドメインで設定すれば、詐欺メールでも合格します。

おまけに、送信ソフトは「Microsoft Outlook 16.82」と名乗っているのに、同じヘッダーの中には、ずっと古い時代のOutlookの識別子が混ざっていました。ソフト名を飾るなら、年代もそろえてほしいところです。

詳しく調べると分かったこと｜PCとスマホで行き先が変わる

メールのボタンは、hxxps://tajuhui[.]com/link/ghPgS という短縮リンクにつながっています。このドメインは、2024年11月に登録されたもので、接続先のIP 23.146.188.249 は、IP調査サイトでは香港と表示されました（別の調査ツールでは米国と表示され、食い違っています）。登録情報の上では国が中国となっていますが、登録情報は偽ることもできるため、参考程度にとどめます。

この短縮リンクを開くと、使っている機器によって表示が変わる「クローキング」が行われていました。

パソコンの場合：まず確認画面、そしてQRコード

▲ パソコンで最初に表示された確認画面（reCAPTCHA。スマホでは表示されませんでした）

パソコンで開くと、最初に「I’m not a robot（私はロボットではありません）」という確認画面が出ます。本物のGoogleの仕組みを借りたもので、自動で調べるツールを避けつつ、安全そうな雰囲気を出す狙いとみられます。スマホで開いた場合には、この画面は表示されませんでした。

▲ 確認のあとに表示された、QRコードの画面（hxxps://yunongzhongy-jp[.]com/）

確認が終わると、LINEのロゴ付きの画面に切り替わります。「システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません」と書かれ、スマートフォンでQRコードを読み取るよう求められます。メンテナンスというのはもちろん嘘で、パソコンで来た人を、狙いのスマホ（Android）に移させるための仕掛けとみられます。本記事では、このQRコードの読み取り先までは確認していません。

スマホの場合：Google Play風の偽「LINEポイント」ページ

▲ スマホで開いたときの偽ページ（hxxps://thousandwha-jp[.]com/）

スマホで開くと、Google Playのアプリ紹介ページにそっくりな画面が現れます。「LINEポイント」という名前で、高評価や「100万+ダウンロード」の表示まで並んでいますが、これらは偽のページに好きなように書ける数字です。

ページの説明画像には、「アプリを更新」「接続内容を確認（VPN接続の許可）」「インストールを許可（不明なアプリのインストールをオンにする）」という3つの手順が示されています。公式のGoogle Playでは、こんなことは求められません。「不明なアプリのインストール」を許可してはいけません。自分の手で端末の守りを緩めさせ、本物とは別のアプリを入れさせるための誘導とみられます。当サイトでは、このアプリのダウンロードや実行は行っておらず、中身は確認していません。

本日の記事の続報｜同じPC向けページの使い回し

本日お昼前に、ほぼ同じ手口のメールを取り上げました。

• 「【重要】未受取のLINEポイントがあります」はLINE偽装メール｜PCはQR、スマホは偽アプリ配布ページに切り替わる手口

今回のメールは、件名、送信ドメイン、短縮リンク、スマホ向けのドメインが入れ替わっていました。一方で、パソコン向けのQRコード画面のドメイン yunongzhongy-jp[.]com は、前の記事と同じものです。表示名の見せかけ方や、見えない文字の使い方も共通しています。同じ仕組みを使い回して、見た目だけを変えながら、次々と送っているとみられます。

注意点と対処法

• メールのボタンやリンクは開かないでください。LINEのお知らせは、LINEアプリの中や公式アカウントで確認しましょう。
• パソコンで「QRコードをスマホで読み取ってください」と出たときも、読み取ってはいけません。パソコンでは使えないと言われるのが、この手口の合図です。
• アプリは、Google PlayやApp Storeなどの公式ストアから入れてください。「不明なアプリのインストール」の許可は、オンにしないでください。
• もし偽のアプリを入れてしまったら、まずそのアプリを削除し、「不明なアプリのインストール」の許可をオフに戻してください。そのうえで、LINEや銀行・カードのパスワードを別の端末から変更し、身に覚えのない利用がないか確認しましょう。不安が残るときは、端末の初期化や、携帯電話会社への相談も検討してください。
• 被害や不安がある場合は、警察相談専用電話（#9110）にも相談できます。

まとめ

「【重要】キャンペーン還元ポイントが届いています」は、LINEを装った詐欺メールです。見えない文字で「LINE」らしく見せ、PCとスマホで行き先を変えながら、Android向けの偽アプリを入れさせようとします。ポイントのためにアプリを入れさせるメールは、すべて疑ってください。

家族やお友だちにも、ぜひこの記事を教えてあげてください。