お盆休みも終わりに近づき、日常のリズムが戻ってきた方も多いのではないでしょうか。そんな中、後払い決済サービス「Paidy（ペイディ）」を騙るフィッシングメールが届きましたので、さっそく調査レポートをお届けします。

■ 実際に届いたメールの画面

グリーンのベルト状バナー（「Paidy公式セキュリティ通知」）を配置したデザインは、2026年7月下旬頃から複数のブランドなりすましキャンペーンで使い回されている手口です。パープル系のボタンやカラースキームはPaidyの実際のブランドカラーに寄せて作られていますが、細部を見ると公式サイトとの矛盾が随所にあります。

実際に届いたメールの画面（送信元メールアドレス・件名を含む）

つきましては、誠に恐れ入りますが、現在ご登録いただいているお客様情報に誤りや変更がないか、下記要領に従いご確認のお手続きをお願い申し上げます。

■ 送信ルート及び偽装判定

■ フィッシングサイト詳細解析

メール本文のボタン「登録情報の確認を行う」をクリックすると、以下のような多段構成の誘導ルートをたどります。

ウイルスバスター クラウドが「安全ではない可能性があります」とブロックした画面

公式サイトのデザインを模倣した偽のログイン・新規登録画面

※不審なリンクの解析データに基づいており、当サイトでは実際にログイン情報等を入力する検証は行っていません。

■ 注意点と対処法

■ 関連記事

Paidyを騙るフィッシングメールは過去にも複数の手口で確認されています。あわせてご覧ください。

• 【実録】Paidy「本人確認が完了していないお客様」は詐欺！偽メールの見分け方
• 【注意】Paidy「11周年記念11,000円分ギフト」メールは詐欺！偽サイトの見分け方を徹底解析

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

お盆休みも終盤に差し掛かった8月半ば。帰省や旅行の荷物が届く時期を狙ってか、今週はいつにも増して詐欺メールの勢いが止まりませんでした。編集部（Heartland-Lab）の受信箱には、この1週間だけで997通もの詐欺・迷惑メールが届いています。今日は、その全件をブランド別に整理し、どんな手口が、どれだけの規模で押し寄せていたのかをグラフィカルにまとめてご紹介します。

ブランド別・件数ランキング

まずは全体像から。どのブランド・手口が、どれだけの割合を占めていたか、棒グラフで見てみましょう。バーが長いほど、今週あなたの受信箱にも届いていた可能性が高いということです。

個別ブランドの手口を見る

件数上位の手口について、実際の傾向を掘り下げます。

ちょっと補足：「なりすまし」って何？

今週の注意点と対処法

Data Provided by Heartland-Lab Security Research Unit
※本記事は2026年8月8日〜14日に確認されたメールログを基に作成しています。詐欺の手口は日々変化しており、記載の傾向は今後変わる可能性があります。
配色テーマ：週刊レポート固定グリーン

JCBを騙る偽メールが続いていますが、今回ご紹介するのはポイント失効を騙る一通です。見た目はよくできているのですが、細部を調べていくと、作り手の「うっかり」がいくつも見つかりました。

実際に届いた詐欺メール

▲ 「8,643pt」という具体的な数字を示し、8月20日23時59分という期限を強調して不安を煽る内容

※メールヘッダー詳細は個人情報保護のため非掲載です。

「JCB」が数学記号にすり替わっていた

メールの見た目上は「JCBカード」「JCBでポイントを確認・交換する」のように、ごく普通のアルファベットで書かれているように見えます。しかし実際のデータを詳しく確認すると、この「JCB」の部分は通常の英字ではなく、数学の教科書などで使われるイタリック体の特殊記号（見た目だけがそっくりな別の文字）に置き換えられていました。

HTMLソースに残っていた「中国語の作業メモ」

さらに面白い発見がありました。メールのHTMLソースコードの中に、本来は画面に表示されない「コメント」という開発者向けのメモ書きが、消し忘れられたまま残っていたのです。

<!-- Security & Access Guide Box（已删除https://www.jcb.co.jp网址） -->

これは中国語で「セキュリティ・アクセス案内ボックス（https://www.jcb.co.jpのURLは削除済み）」という意味です。テンプレートを作る過程で一時的に本物のJCB公式URLを置いていたものを、後から削除したという作業メモがそのまま配信されてしまったとみられます。攻撃者（少なくともテンプレート制作の担当者）が中国語を使用していることをうかがわせる、うっかりミスです。

誘導先の状況

本文中の「JCBでポイントを確認・交換する」ボタンをクリックすると、Google Chromeのセーフブラウジング機能が「危険なサイト」という警告を表示しました。

▲ Chromeのセーフブラウジングによる警告画面

誘導先ドメインquugren.meを改めて確認したところ、現在は「for sale（販売中）」の表示になっており、既にキャンペーンから切り離されているようでした。短期間だけ使い捨てるドメイン運用の一端がうかがえます。

注意点と対処法

• Oki Dokiポイント等の有効期限・交換手続きは、メール内のリンクからではなく、JCB公式サイトまたは公式アプリに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• 「JCB」の表記が普段と少し違う雰囲気に見える場合、書体が特殊な文字に置き換えられている可能性があります。少しでも違和感を覚えたら注意してください。
• 「〇〇ポイントが失効します」といった、具体的な数字を挙げて焦らせる文面には特に注意が必要です。
• 万が一リンク先でログイン情報を入力してしまった場合は、速やかに公式サイトからパスワードを変更してください。

まとめ

今回のJCBを騙る偽メールは、見た目こそ精巧に作り込まれていましたが、「JCB」の文字を特殊記号に置き換えるフィルター回避の工夫と、消し忘れられた中国語の開発メモという、制作の裏側を垣間見せる痕跡が残っていました。誘導先ドメインも既に手放されており、短期集中型の使い捨てキャンペーンだったとみられます。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月15日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

先日、りそな銀行を騙る「デビットカードご利用のお知らせ」という偽メールをご紹介したばかりですが、早朝また新たな1通が届きました。詳しく調べてみると、前回の記事と切っても切れない関係にあることが分かりました。

実際に届いた詐欺メール

▲ 「ご登録情報の確認のお願い」を騙る偽メール。「本メール送信より72時間以内」と対応期限を示して急かす典型的な手口

※メールヘッダー詳細は個人情報保護のため非掲載です。

前回記事と「中継サーバーが完全一致」

今回のメールを解析していく中で、先日の「デビットカードご利用のお知らせ」の記事とあまりにも共通点が多いことに気づきました。

誘導リンクのチケット文字列と、1段階目の中継サーバーのIPアドレスが、前回とまったく同一でした。件名や最終的な偽サイトのドメインは毎回変えているものの、メールを送りつけてから最初に転送する仕組みの部分は使い回されているようです。人間確認画面のアイコン数だけがわずかに違っており、細部の設定だけをランダムに変化させている可能性があります。

誘導先の状況

本文中の「ご登録情報の確認へ進む」ボタンをクリックすると、前回同様「サイトへの接続が安全かどうか確認しています」という人間確認画面が表示されました。

▲ 今回は「1個の盾アイコンを選択してください」という指示。前回の2個から変化している

この画面を通過すると、Google Chromeが「危険なサイト」という警告を表示しました。

▲ Chromeのセーフブラウジング機能による警告画面

警告を越えた先には、りそな銀行「マイゲート」を精巧に模した偽ログインページが待ち構えていました。

▲ 前回とほぼ同じデザインの偽ログイン画面。着地するドメインは毎回変わるが、見た目のテンプレートは共通

注意点と対処法

• 口座情報や登録情報の確認は、メール内のリンクからではなく、りそな銀行の公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• 「72時間以内」のように具体的な期限を示して急かす文面は、詐欺の典型的な手口です。焦らず、まずは公式アプリで事実確認をしてください。
• 同じような文面のりそな銀行メールが今後も届く可能性が高いキャンペーンです。件名が変わっていても油断しないようにしてください。
• 万が一マイゲートのログインIDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更し、りそな銀行に連絡してください。

まとめ

今回の偽メールは、件名や最終的な偽サイトのドメインこそ変えているものの、誘導リンクのチケット文字列と中継サーバーのIPアドレスという「裏側の仕組み」が前回記事と完全に一致しており、同一キャンペーンの継続であることが明確になりました。りそな銀行を騙るこの手のメールは、今後も件名を変えながら届き続ける可能性がありますので、引き続きご注意ください。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月15日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

本日すでにJCBを騙る偽メールを1本解析してご紹介しましたが、その直後に届いたもう1通を調べたところ、想像以上に「同じ」でした。件名は違うのに、中身はほぼ双子です。

実際に届いた詐欺メール

▲ 「【重要】JCBカードのご利用に関するセキュリティ確認のお願い」を騙る偽メール。送信者表示は「MyJCB」

※メールヘッダー詳細は個人情報保護のため非掲載です。

本日解析した記事と、驚くほど同じ

本日、同じくJCB（MyJCB）を騙る「本人確認（利用者認証）のお願い」というメールを解析したばかりですが、今回のメールを詳しく調べたところ、件名こそ違うものの、次の3点がまったく同一であることが分かりました。

送信者名の欄には、前回同様に画面上だけ「MyJCB」と正しく読めるよう仕組まれた逆読み偽装（データ上は「BCJyM」）が使われていました。そして、メールのテキスト版フォールバックを確認すると、今回もまた次のような文言が紛れ込んでいました。

▲ 「株式会社クレディセゾンでは…」という、JCBとはまったく関係のない文言が紛れ込んでいる

これは偶然の一致ではなく、前回と同じ「使い回しキット」が今回も使われた証拠です。件名だけを変えて複数のバリエーションを大量配信する、効率重視の運用がここでも垣間見えます。

誘導先はすでに機能停止

本文中のボタンをクリックすると、これまでと同様にChromeが「危険なサイト」と警告を表示しました。

▲ Chromeのセーフブラウジングによる警告画面

その先、最終的に転送される先は本日の記事と同じくkbtcm.com/lYfKfsvYで、ウイルスバスターも改めて「フィッシング」と判定していました。

▲ 脅威の種類「フィッシング」と表示された警告。URLは前回記事と同一の kbtcm.com/lYfKfsvY

しかし今回、警告を越えて実際にアクセスを試みたところ、サイト自体が既に機能を停止していました。

▲ 「ERR_SSL_PROTOCOL_ERROR」と表示され、サイトへの接続自体ができない状態

本日の1通目を解析してからそれほど時間が経っていないにもかかわらず、着地サイトが既に停止しているのは、通報等により何らかの対応が取られたか、攻撃者側が自主的にインフラを切り替えた可能性が考えられます。ただし、送信インフラや偽メールキット自体は健在とみられるため、今後、別の着地先を使った新たな便が届く可能性は十分にあります。

注意点と対処法

• MyJCBの本人確認・セキュリティ確認の手続きは、メール内のリンクからではなく、MyJCB公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• 似たような件名・文面のメールが複数届いた場合、それは同一キャンペーンの使い回しである可能性が高く、慌てて対応する必要はありません。
• 着地サイトが停止していても、同じ攻撃者が別のドメインで活動を続けている可能性があるため、油断せず今後も同様のメールに注意してください。

まとめ

今回の偽メールは、件名だけを変えた本日の別記事と実質的に同一キャンペーンであることが、送信者偽装の手口・ブランド取り違えバグ・最終着地URLの一致という3つの証拠から明らかになりました。着地サイトは既に機能停止していますが、送信の仕組み自体は生きているとみられるため、引き続きご注意ください。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

お盆休み真っ只中、旅行先での買い物やお土産の発送などでカードを使う機会が増える時期です。そんな中、りそな銀行のデビットカードを使った覚えのない支払い通知が届いたら、誰でもドキッとしてしまいますよね。今回はそんなメールをご紹介します。

実際に届いた詐欺メール

▲ 「デビットカードご利用のお知らせ」を騙る偽メール。Amazon.co.jpで9,280円利用したという、具体的な金額と加盟店名が記載されている

※メールヘッダー詳細は個人情報保護のため非掲載です。

今回のメールには送信者名や件名にゼロ幅文字などの偽装は見当たらず、文面もいたってシンプルです。「身に覚えのない利用金額を提示して、思わずリンクを踏ませる」という、詐欺の基本に忠実な作りと言えます。ただし、後述する誘導先の仕組みはかなり手が込んでいました。

「人間確認」を挟む多段階の誘導

本文中の「マイゲートよりご確認いただけます」というリンクをクリックすると、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」と警告を表示しました。

▲ 1段階目のリンク先に対するChromeの警告画面

警告を確認して先に進むと、次のような「サイトへの接続が安全かどうか確認しています」という画面が現れ、盾のアイコンを2つタップするよう求められました。

▲ 「あなたが人間であることを確認してください」という、いわゆる人間確認（CAPTCHA風）の画面

この画面を通過すると別のドメインへ転送され、そこでも再びウイルスバスターが「安全ではない可能性があります」とフィッシング判定を表示しました。

▲ 転送先ドメインに対するウイルスバスターの警告。脅威の種類「フィッシング」と明記されている

2度の警告と1度の人間確認を乗り越えた先には、りそな銀行の会員サービス「マイゲート」を精巧に模した偽ログインページが待ち構えていました。

▲ 本物のマイゲートとほぼ見分けがつかない偽ログイン画面。ログインIDとログインパスワードの入力を求めてくる

送信・中継・着地がすべて別々の国

今回の調査で特徴的だったのが、メールの送信から偽サイトへの着地まで、経由する基盤の所在地がすべて異なる国だったという点です。

なお、Azureの登録住所（韓国）は同社の大規模クラウド基盤の代表的な登録地にすぎず、実際の攻撃者の所在地を示すものではありません。この点も踏まえ、送信元の実際の所在地は「不明」として扱っています。

また、最終着地サイトのドメイン登録情報を確認したところ、ドメイン自体の取得は2025年8月でしたが、設定の更新日がメール送信の前日となっており、この配信に合わせて直前に設定を書き換えた可能性が高いとみられます。

注意点と対処法

• デビットカードの利用明細は、メール内のリンクからではなく、りそな銀行の公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• セキュリティソフトやブラウザが「危険」「フィッシング」と警告を出した場合は、そこでアクセスを中止してください。「人間確認」のような画面が出てきても、安全性が確認された証拠にはなりません。
• 身に覚えのない利用通知が届いても、まずは慌てず、公式アプリの利用履歴で事実を確認しましょう。
• 万が一マイゲートのログインIDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更し、りそな銀行に連絡してください。

まとめ

今回のりそな銀行を騙る偽メールは、文面自体はシンプルなものの、その先の誘導ルートには「人間確認」という自動検知回避の仕掛けや、送信・中継・着地がすべて異なる国という分散構成など、発見されにくくするための工夫が随所に見られました。「見た目がシンプルだから大丈夫」とは限らないという、良い教訓になる事例です。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

お盆休み真っただ中、クレジットカードの利用明細を確認する方も増える時期かと思います。そんな折、JCBを名乗る本人確認メールが届きましたが、中身を見ていくと予想外の展開になりました。

実際に届いた詐欺メール

※メールヘッダー詳細は個人情報保護のため非掲載です。

送信者名の逆読み偽装、そして件名と本文の「ちぐはぐ」

まず送信者名について。表示上は「MyJCB」となっていますが、実際のヘッダー情報を調べると、これまでのSAISON CARDの件と同様、文字を右から左へ表示させる特殊な制御文字を使い、データ上の「BCJyM」を画面上だけ「MyJCB」に見せかけるという逆読み偽装が使われていました。

ここまでは想定内の手口だったのですが、メール本文のHTMLソースを詳しく確認していくと、思わぬ矛盾が見つかりました。件名は「JCB」なのに、実際のメール本文の中身は「セゾンカード・セゾン銀行」というまったく別ブランドの表記になっていたのです。

恐らく攻撃者は、以前ご紹介した「3Dセキュア再認証」を騙るセゾンカードの偽メールキットを、そのままJCB向けの配信に流用したのでしょう。件名・送信者名・最終的な偽サイトはJCB用に用意したものの、メール本文の差し替えだけを忘れてしまったとみられます。手間を省こうとした結果の、なんとも間の抜けたミスです。

テキスト版にも「別の文章」が紛れ込む

これまでのApple Music+やSAISON CARDの件と同じく、今回もメールのテキスト版フォールバックを確認したところ、本文とは異なる短い文章が入っていました。

これも、複数の部品を組み合わせて大量にメールを自動生成する過程で、本来別々の場所に使うはずの文章が混線してしまった結果と考えられます。

誘導先の状況

本文中のボタンをクリックすると、まずウイルスバスターやChromeのセーフブラウジング機能が「安全ではない可能性があります」と警告を表示しました。

その後、別ドメインkbtcm.comを経由する形になっており、ここでもウイルスバスターが明確に「フィッシング」と判定していました。

2段階の警告を乗り越えた先には、次のような非常に精巧な偽ログインページが待ち構えていました。

最終的な偽サイトの完成度は高いのですが、そこにたどり着くまでの過程（送信者名の偽装、本文のブランド不一致、テキスト版の文章混線）を見ていくと、決して一枚岩の周到な犯行ではなく、複数の使い捨てパーツを機械的に組み合わせて大量生産している実態が透けて見えます。

注意点と対処法

• MyJCBの本人確認・認証手続きは、メール内のリンクからではなく、MyJCB公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• メールの送信者名が正しく見えても、本文の内容やロゴ、フッターの表記に違和感がないか、落ち着いて確認する習慣をつけてください。
• セキュリティソフトが「危険」「フィッシング」と警告を出した場合は、その時点でアクセスを中止してください。
• 万が一MyJCB IDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更してください。

まとめ

今回のJCBを騙る偽メールは、最終的な偽ログイン画面こそ精巧だったものの、送信者名の逆読み偽装、本文のブランド取り違え、テキスト版への文章混線と、随所に大量生産の「継ぎ目」が見えました。1つのブランドだけを装った巧妙な詐欺というより、複数ブランド向けの使い捨てキットの一部として流されたものと考えられます。件名や送信者だけで判断せず、本文全体を落ち着いて確認する習慣が、こうした矛盾に気づく助けになります。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

夏休みシーズンも終盤、飛行機での帰省や旅行を終えた方も多い時期です。そんなタイミングにぴったり合わせるように、マイルにまつわる詐欺メールが届きましたのでご紹介します。

実際に届いた詐欺メール

実際に届いたメールがこちらです。ANAのロゴやコーポレートカラーを模した、一見すると本物らしい体裁になっています。

▲ 「マイル有効期限延長サービスの改定内容」を騙る偽メール。現在無料の延長サービスが「500マイル必要」に変わるという体裁で不安を煽っている

※メールヘッダー詳細は個人情報保護のため非掲載です。

ゼロ幅文字がCSSまで壊していた

今回のメール、送信者名からしてすでに偽装が仕込まれていました。表示上は「ANAからのお知らせ」となっていますが、データを詳しく見ると次のようになっています。

実際のデータ：A[見えない文字]NAか[見えない文字]らの[見えない文字]お知ら[見えない文字]せ
画面表示　　：ANAからのお知らせ

これまでご紹介してきたゼロ幅文字（画面には表示されない特殊な文字）を使った偽装ですが、今回はその使い方がこれまで確認した中でも群を抜いて過剰でした。件名の一部を調べただけでも、たった十数文字の中に5箇所ものゼロ幅文字が確認できました。

さらに驚いたのは、このゼロ幅文字の挿入処理が本文の日本語だけでなく、メールを装飾するためのCSS（見た目を整める指示書のようなもの）にまで無差別に紛れ込んでいたことです。本来「html」「body」と書かれるべき指示の文字と文字の間にまで、見えない文字が挟み込まれていました。

迷惑メールフィルターの目をかいくぐるための小細工のはずが、自分たちの作った偽サイトの見た目まで壊しかねないという、なんとも本末転倒な話です。

誘導先サイトの状況

本文中の「延長手続きへ進む」ボタンをクリックすると、まずウイルスバスターが「安全ではない可能性があります」と警告を表示しました。

▲ 1つ目のリンク先（ana-mileage.lpsgpw.com）に対する警告。「脅威の種類：フィッシング」と明記されている

警告を確認して先に進むと、次のような見慣れない「安全チェック」という画面が表示されました。

▲ 「安全確認」「安全チェック」と称する謎の中間ページ。実際の安全確認とは無関係とみられる

この画面を経由すると、別のドメイン（mileage-club.bozhouxd.com）に転送され、そこでも再びウイルスバスターが「安全ではない可能性があります」と警告を表示しました。

▲ 2つ目のリンク先（mileage-club.bozhouxd.com）に対する警告。こちらもフィッシングと判定されている

当サイトで両方のドメインを調べたところ、ドメイン名は違うのに、実際に紐づいているサーバーのIPアドレスは完全に同一でした。見せかけのドメインを複数用意し、間に「安全チェック」という尤もらしい画面を挟むことで、警戒心を薄めてから最終的な偽サイトへ誘導する狙いとみられます。

2度の警告を乗り越えてたどり着く先は、次のような精巧な偽ログインページでした。

▲ 本物のANAマイレージクラブのログイン画面を模した偽ページ。お客様番号とWebパスワードの入力を求めてくる

注意点と対処法

• マイルの有効期限や延長サービスの内容は、メール内のリンクからではなく、ANA公式サイト（ana.co.jp）または公式アプリに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• セキュリティソフトが「危険」と警告を出した場合、その警告を無視して先に進まないでください。今回のように、警告を突破した先にはさらに巧妙な偽サイトが待ち構えていることがあります。
• 「お客様番号」や「Webパスワード」の入力を求めるページが、メール経由で開いたものである場合は特に警戒してください。
• 万が一入力してしまった場合は、速やかにANA公式サイトからパスワードを変更し、身に覚えのないマイル利用がないか履歴をご確認ください。

まとめ

今回のANAを騙る偽メールは、見た目の作り込みや2段階の誘導という手間のかかった構成である一方、ゼロ幅文字をCSSにまで機械的にばらまいてしまうという、技術的には粗い一面も持ち合わせていました。セキュリティソフトの警告は、こうした手の込んだ詐欺サイトに対する最後の砦です。警告が出たら、それ以上先へは進まないようにしてください。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

お盆休み明けで銀行やカード会社からの通知メールが一気に溜まっている方も多いのではないでしょうか。そんなタイミングを狙うかのように、また少し手の込んだ詐欺メールが届きましたのでご紹介します。

実際に届いた詐欺メール

実際に届いたメールがこちらです。「CREDIT SAISON & SAISON BANK」の公式ロゴ風デザインを模した、一見すると本物らしい体裁になっています。

▲ 2026年8月13日に届いた詐欺メール。「未確認ポイント 6,897ポイント」「失効予定日 2026年8月20日」と、具体的な数字で不安を煽る内容になっている

※メールヘッダー詳細は個人情報保護のため非掲載です。

送信者名に仕込まれた「逆読み」の偽装

今回、もっとも注意していただきたいのが送信者名の表示です。メールソフトの受信一覧では「SAISON CARD」と表示されていましたが、実際のヘッダー情報を見ると、送信者名の元データはこうなっていました。

From: ●DRAC NOSIAS <admingeggh7@mhxtx.longyimodel.com>

「DRAC NOSIAS」という一見意味不明な文字列、実はこれを後ろから1文字ずつ読むと「SAISON CARD」になります。文字の並び順を逆転させる特殊な制御文字を使うことで、メールソフトの画面上では「SAISON CARD」と正しい向きで表示されるよう仕組まれているのです。当サイトで以前解析した「SAISON CARDの正体はUnicode逆読み偽装だった」という記事でご紹介した手口と、根っこの部分がまったく同じです。（関連記事：「SAISON CARD」の正体はUnicode逆読み偽装だった）

本文に仕込まれたゼロ幅文字

メールをテキストエディタに貼り付けたり、メールソフトで「テキスト形式で表示」に切り替えたりすると、目には見えない文字が挟まっていることが分かる場合があります。今回のメールも、本文の一部をテキストとして取り出すと、次のような不自然な状態になっていました（■部分に見えない文字が挟まっています）。

…事前のステータス確■認および新システムへの引き継ぎ手■続きが必要となります。

「確認」の間、「手続き」の間に、それぞれ見えない文字（ゼロ幅文字と呼ばれる、画面上には何も表示されない特殊な文字）が挿入されています。これは、迷惑メールフィルターが単語をそのまま検出できないようにする、いわば目くらましの手口です。今回はこの部分だけでなく、件名や他の箇所にも同様の細工がされている可能性があります。

攻撃者のコピペミスも発見

このメールを技術的に解析していく中で、思わず笑ってしまうミスも見つかりました。メールには通常、画像を表示できない環境向けの「テキスト版」が同封されているのですが、今回のテキスト版を取り出してみると、メール本文とはまったく違う、次のような文章が入っていました。

▲ 偽サイト側で実際に表示されるポップアップ画面。この文言が、なぜかメールのテキスト版にそのまま紛れ込んでいた

攻撃者は、偽サイト側のポップアップ用の文章を、うっかりメールのテキスト版にそのままコピー＆ペーストしてしまったとみられます。急いで大量生産している様子がうかがえる、微笑ましいとも言えるミスです。

誘導先の状況

メール内のボタンをクリックすると、まずGoogle Chromeのセーフブラウジング機能により「危険なサイト」という警告が表示されました。

▲ Google Chromeが「危険なサイト」として自動的にブロック

その後、当サイトで改めて誘導先ドメインlongyimodel.comを確認したところ、既にサイトへアクセスできない状態になっていました。

▲ 「DNS_PROBE_FINISHED_NXDOMAIN」と表示され、ドメイン自体が名前解決できない状態

ドメインの登録情報を確認したところ、このドメイン自体は2020年に取得された古いものでしたが、更新日がメール送信の直前（2026年8月13日）になっており、登録状態には「clientHold（レジストラによる保留）」という表示もありました。恐らく、もともと別の目的で使われていたドメインが今回の詐欺のために乗っ取られるか売買され、レジストラ側の対応によって既に停止されたものと考えられます。

注意点と対処法

• 「永久不滅ポイント」等の有効期限やステータスは、メール内のリンクからではなく、セゾンカード公式サイトまたは公式アプリに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
• 送信者名の表示だけで安心せず、少しでも不審に感じたら、送信者のメールアドレス（@より後ろの部分）を確認する習慣をつけてください。
• 「〇〇ポイントが失効します」といった、具体的な数字を挙げて焦らせる文面には特に注意が必要です。本物のお知らせであっても、まずは公式アプリで確認する方が安全です。
• 万が一リンク先で会員番号やパスワードを入力してしまった場合は、速やかにセゾンカードのお客様相談窓口に連絡し、パスワードの変更を行ってください。

まとめ

今回のメールは、送信者名の逆読み偽装、本文中のゼロ幅文字、そしてテキスト版へのコピペミスと、技術的に見ると手が込んでいる部分とお粗末な部分が同居した、なんとも人間味のある一通でした。以前ご紹介した同系統の手口（関連記事：セゾンカードを騙る3つの切り口の詐欺メール）とあわせて、セゾンカード関連のなりすましメールが継続的に確認されていますので、引き続きご注意ください。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。

お盆休みも終盤に差し掛かり、そろそろ日常のリズムに戻ろうかという頃合いですが、こちらは休むことなく詐欺メールとの追いかけっこが続いています。今回はその中でも、ちょっと看過できない規模の話です。

実際に届いた詐欺メール

まずは実際に届いたメールの画面をご覧ください。件名の最後についている「No.958342715-53527312」のような数字が、通ごとにすべて異なっています。

▲ 2026年8月14日10時40分に届いた1通。件名の末尾に管理番号らしき数字列が付与されている

本文をテキストで再現すると、以下の通りです。※できる限り忠実に再現していますが、実際のメールと表示が異なる場合があります。

━━━━━━━━━━━━━━━━━━━━
Apple Music+ サブスクリプション更新のご案内
━━━━━━━━━━━━━━━━━━━━

お客様の Apple ID 宛て

日頃よりAppleサービスをご愛顧いただき、誠にありがとうございます。

お客様にご利用いただいておりますApple Music+ 3ヶ月間のお試し体験
につきまして、2026年8月15日をもちまして終了となります。

お試し期間終了後は、月額プランへの自動更新が行われる予定です。

━━━━━━━━━━━━━━━━━━━━
■ 現在ご契約中の内容
━━━━━━━━━━━━━━━━━━━━
・サービス名：Apple Music+
・自動更新後のプラン：月額メンバーシップ（自動更新）
・更新料金（税込）：980円／月
・お支払い方法：ご登録中の支払い方法が適用されます

━━━━━━━━━━━━━━━━━━━━
■ 自動更新を解除される場合
━━━━━━━━━━━━━━━━━━━━
自動更新をご希望されない場合は、2026年8月15日の24時間前までに、
下記リンクよりキャンセル手続きを完了してください。

▼ サブスクリプションを管理する
（hxxps://www.apple.com/jp/subscriptions/ ← 表示のみで実際のリンク先は別ドメイン）

※ログイン後、「サブスクリプション」メニューからお手続きをお願いいたします

━━━━━━━━━━━━━━━━━━━━
■ ご確認いただきたい事項
━━━━━━━━━━━━━━━━━━━━
・自動更新をご希望の場合は、特に操作は必要ございません
・ご不明な点がございましたら、Appleサポートまでお問い合わせください

━━━━━━━━━━━━━━━━━━━━
配信専用アドレスのため、返信はお受けできません。

{RANDOM}

末尾に注目してください。「{RANDOM}」という文字列がそのまま残ってしまっています。本来はここに管理番号のような文字列を自動生成して差し込むはずが、その処理が失敗したまま送信されてしまったようです。件名の管理番号も、恐らく同じ仕組みで自動生成されているのでしょう。大量生産にもほどがあるというものです。

また、宛名部分もよく見ると「お客様の Apple ID 宛て」となっており、受信者の名前もメールアドレスも一切表示されていません。本物のAppleからの通知であれば、通常は登録されている情報に基づいた表示になりますので、この時点で「不特定多数に向けて機械的に送りつけている」ことがうかがえます。

送信ルートと偽装判定

※メールヘッダー詳細は個人情報保護のため非掲載です。ここでは、判定に使った要点だけを解説します。

今回確認できた2通（8月13日11時05分着信の1通目と、8月14日10時40分着信の1通）を比較すると、次のことがわかりました。

誘導リンクのドメイン名は毎回変わっているのに、実際にそのドメインが指し示す先のサーバーは1つも変わらず同じだったというのが、今回の最大の発見です。ドメインだけを使い捨てで大量に用意し、受け皿となる本体サーバーは1つに固定しておく——効率重視の量産型フィッシング基盤の典型的な構造です。

なお、送信元IPの登録住所はip情報サービス上で「東京都渋谷区」と表示されますが、これはMicrosoft Azureという巨大なクラウド基盤の代表的な登録住所にすぎず、実際に攻撃者がその場所にいることを意味するものではありません。そのため今回は送信元の実際の所在地を「不明」として扱っています。

誘導先の偽サイトを確認

Heartland-Labでは、リンク先の安全性をあらかじめ確認できるツールを使い、慎重に検証を行いました。今回のリンクは、アクセスした時点でブラウザ（Google Chrome）のセーフブラウジング機能により、次のような警告画面が表示されました。

▲ Google Chromeが「危険なサイト」として自動的にブロック。この時点でフィッシングサイトと断定できます

警告を解除して先に進むと、実際のApple公式サイトのログイン画面（Apple Account）を極めて精巧に模した偽ページが表示されました。

▲ 本物のApple Accountログイン画面とほぼ見分けがつかない偽サイト。ここでメールアドレスやパスワードを入力すると、そのままAppleアカウントの情報が攻撃者に渡ってしまいます

見た目の完成度は高いのですが、そもそも今回のメール自体が「本文中に受信者の名前が一切ない」「{RANDOM}の処理ミスをそのまま送ってしまっている」という、初歩的なところでボロが出ています。偽サイトだけを見ると騙されそうになりますが、メール全体を見れば違和感に気づけるはずです。

注意点と対処法

• Apple Music＋の無料体験の状況は、メール内のリンクからではなく、お使いのiPhone・iPad・Macの「設定」アプリからApple ID＞サブスクリプションで直接ご確認ください。
• Appleは通常、支払い関連の重要な確認をメール本文中のリンククリックだけで完結させることはありません。少しでも不審に感じたら、リンクは踏まずに公式アプリ・公式サイトから確認する習慣をつけてください。
• 同じ文面・似た件名のメールが何通も届く場合、それは「あなたが狙われている」わけではなく、不特定多数に無差別に送られていることがほとんどです。過度に心配する必要はありません。
• 万が一リンク先でApple IDとパスワードを入力してしまった場合は、直ちに公式のApple IDサイトからパスワードを変更し、二要素認証の設定状況もあわせてご確認ください。
• ご高齢のご家族がいらっしゃる場合は、「Appleから複数回同じようなメールが来たら、まず家族に見せてから操作する」というルールを決めておくと安心です。

まとめ

今回ご紹介した「Apple Music+ 無料体験終了のお知らせ」を騙る偽メールは、2026年8月13日から本記事執筆時点までに58通以上が確認されており、なおも着信が続いています。件名の管理番号やリンク先のドメイン名は通ごとに変えられていますが、最終的に誘導される偽サイトのサーバーは調査した範囲ですべて同一で、大量生産されたコピー品を配りまくっている状態と言えます。

この解析結果が、同じメールを受け取って不安に思われた方の判断の助けになれば幸いです。ご家族やお知り合いにも、ぜひこの記事を共有していただければと思います。

Data Provided by Heartland-Lab Security Research Unit　／　IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。