ネットで注文した荷物が、濡れた状態で届いたらしい。そんな連絡が来たら、「注文した覚えはないけれど、ひょっとして…」と気になってしまいませんか。

その心理につけ込む、Amazonの配送倉庫を装う偽メールが、午前中に次々と届きました。結論から言うと、このメールは詐欺です。ボタンは押さず、そっと削除してください。

届いたメールの内容

本文は、次のような内容でした。Amazonのロゴ入りの、見た目はきれいなHTMLメールです。（注文番号などの数字は、伏せ字にしています）

お荷物の水濡れに係るお詫びとご案内

[ロゴ画像]

お客様へ

平素よりAmazonをご利用いただき、誠にありがとうございます。

このたび、お客様がご注文された商品（注文番号：503-●●●●●●●-●●●●●●）につきまして、配送中の天候によりお荷物が水濡れしてしまった旨が報告されました。ご迷惑をおかけし、誠に申し訳ございません。

商品の状態についてご確認いただき、返金・交換・再発送のいずれをご希望か、担当の配送員と直接ご相談いただけますようお願いいたします。

つきましては、お手数ではございますが、下記ボタンよりAmazon提携アプリをダウンロードいただき、お住まいの地域の配送倉庫と直接ご連絡のうえ、今後の対応についてご確認・ご希望をお伝えくださいますようお願いいたします。

なお、本件に関するお手続きの期限はございます。お早めのご確認をお願いいたします。

お問い合わせ番号：503-●●●●●●●-●●●●●●
ご対応可能な内容：返金・交換・再発送
ご連絡先：ご担当の配送倉庫

[Amazon提携アプリをダウンロードして配送倉庫と連絡]（hxxps://qiandadan[.]com/content/sHXl）

このEメールは配信専用です。返信しないようお願いいたします。
ご不明な点は、Amazonカスタマーサービスまでお問い合わせください。

注文番号を書いて本物らしく見せながら、返金・交換・再発送という「お客様に得な話」まで添えているのが、この手のメールの厄介なところです。本文の目的は、ボタンを押させて「提携アプリ」を入れさせることだけです。

同じ日に届いた件名の一覧

11月10日の7:08〜10:04の約3時間に、当サイトの受信箱で画面上に確認できた分だけで12通が届いていました。差出人の表示はどれも「【Amazon 配送倉庫】」で、件名は11種類です（「お届け予定のお荷物の所在が確認できない件」だけ、同じ件名が2回届いています）。筋書きは「破損」「水濡れ」「紛失」「開封」「所在不明」の5通りに分かれます。次の件名に心当たりがあれば、同じ詐欺メールの可能性が高いので、ご注意ください。

受信時刻	筋書き	件名
7:08	破損	Amazonからのお知らせ：お荷物の破損に伴う返金・再発送のお手続きについて
7:20	開封	配送途中にお荷物が開封された件についてのご案内と内容確認のお願い
7:49	所在不明	お届け予定のお荷物の所在が確認できない件についてのご連絡とご確認のお願い
7:50	紛失	配送センターからのご報告に基づく商品紛失のお詫びと対応方法のご案内
8:01	開封	Amazonからのお知らせ：お荷物開封に伴う返品・交換・返金のご案内
8:22	紛失	お客様のご注文途中における紛失についてのお詫びとご対応のご案内
8:23	破損	お荷物の破損が確認された件についてのお詫びと対応選択のご案内
8:51	破損	Amazonより：商品破損のお詫びと返金・再発送希望のご確認のお願い
8:58	水濡れ	お客様のご注文商品の配送中における水濡れについてのお詫びとご対応のご案内
9:37	破損	配送中の商品破損に関するお詫びならびに返品・返金・再発送のご案内
9:38	所在不明	お届け予定のお荷物の所在が確認できない件についてのご連絡とご確認のお願い
10:04	水濡れ	ご注文番号に係るお荷物の水濡れについてのお詫びと今後の対応のお願い

▲ 実際に届いた12通の一覧画面（※メールヘッダー詳細は個人情報保護のため非掲載）

※本記事で詳しく調べたのは、最後の10:04の1通です。それ以外は、件名と差出人の表示を一覧にしたもので、本文や中身までは調べていません。同じ系統の可能性が高いとみていますが、確認できていない点はご了承ください。

詳しく調べると分かったこと

• 差出人のアドレスが、Amazonとは無関係です。送信元は shipment.qiandadan.com でした。ただし、Amazonは公式ヘルプで、自社のメールはさまざまなドメインから送ると案内しており、アドレスだけで本物かどうかを見分けるのは難しいと言えます。公式が案内する確かめ方は、Amazonの「メッセージセンター」に同じメールがあるかを見ることです（Amazon：詐欺目的の連絡を見分ける）。
• 差出人の名前に、文字の並びを逆にする細工がありました。メールの記録を文字単位で調べると、差出人名は元の文字が「【庫倉送配 nozamA】」と逆順に並んでいて、その前に「右から左へ並べる」特殊な制御文字が付いていました。そのため、画面では「【Amazon 配送倉庫】」と読めます。さらに、逆順にした「nozamA」の途中にも見えない文字が混ぜてあり、「Amazon」と続けて書いた文字列を探すフィルターを、二重にすり抜けようとしているようです。
• 見えない文字が、本文に25か所も埋め込まれていました。件名に1か所、本文のテキスト部分とHTML部分にそれぞれ25か所、画面では見えない文字が入っています。種類は、単語をつなぐ文字（\u2060）が11か所、\ufeffと\u200cが各5か所、\u200dが3か所、「ゼロ幅スペース」（\u200b）が1か所でした。見つけ方は簡単で、件名や本文をテキストエディタやコード表示の画面に貼り付けると、見えない文字が「\u2060」のような文字として浮かび上がります。特定の言葉で見張っているフィルターを避ける目的とみられます。
• 送信サーバーは、同じ日の別の詐欺メールと同じ帯のクラウドです。20.57.194.197 は、同じ日に届いた中央調査社・三井住友カードを装うメールの送信元（どちらもMicrosoftのクラウド）と同じ「20.」で始まるアドレス帯です。このアドレス自体の所在地は確認できていませんが、同じ系統のクラウドからの一斉送信とみています。クラウドは世界中から借りられるので、サーバーの場所と、送った人の場所は一致しません。SPFが「pass」なのは、攻撃者が自分のドメインに自分のサーバーを登録していたためで、安全の証明にはなりません。
• 「配信停止」の仕掛けで、普通の販促メールに見せています。メールの記録には、配信停止用の情報（List-Unsubscribe）や、配信リストの名前（promo…）が付いていました。販促メールのような体裁ですが、一方で、メールを作ったソフトの名前は「The Bat!」というパソコン用のメールソフトと名乗っています。同じ時間帯に12通もの一斉送信をしているので、これは名乗っただけの、信用できない記載です。
• 文章に、不自然な点が目立ちます。「担当の配送員と直接ご相談」と「配送倉庫と直接ご連絡」が1通の中で混ざっているうえ、「手続きの期限はございます」と急かしながら、肝心の期限はどこにも書かれていません。注文番号と、「お問い合わせ番号」という別の番号が2つ並んでいるのも不自然です。そして、最後には「ご不明な点は、Amazonカスタマーサービスまでお問い合わせください」と書かれています。ボタンを押させたいのか、問い合わせさせたいのか、方針が定まっていないようです。
• 不審な添付ファイルが付いています。soWGX.htssecc は、名前も拡張子もランダムで、記録上の大きさは27バイトほどの、意味のない文字の並びでした。感染のおそれがあるため、当サイトでは開封・実行していません。名前と拡張子がランダムな点は、同じ日に届いた別の詐欺メールの添付（foGsG716.zpiu、PJJWgs.hfajz）とそっくりです。

ボタンの先を調べました：PCとスマホで、行き先が変わる仕掛け

「Amazon提携アプリをダウンロードして配送倉庫と連絡」ボタンは、まず hxxps://qiandadan[.]com/content/sHXl を通り、そこから使った端末によって別の場所へ振り分けられます。調査のため、警告画面を承知のうえで当サイトが確認しました。ブラウザ（Chrome）でも、フィッシングの疑いとして次の「危険なサイト」の警告が表示されました。

▲ Chromeの警告画面（Googleセーフブラウジングが「最近フィッシングが検出された」と表示）

① パソコンで開くと：警告、そしてQRコード

パソコンで開くと、行き先は hxxps://mandirikarpetu-jp[.]com/ でした。セキュリティソフト（ウイルスバスター）が「脅威の種類：フィッシング」と判定し、ブロック画面が出ました。

▲ パソコン側の行き先で、ウイルスバスターが「フィッシング」と判定

警告を承知のうえで進むと、Amazonのロゴ入りの画面が表示されました。「現在、システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません。このウェブサイトに再度アクセスするには、スマートフォンで以下のQRコードをスキャンしてください」と書かれ、QRコードが表示されています。画面の下には「© 1996-2026, Amazon.com, Inc. またはその関連会社」とまで書いてあります。

▲ パソコンで表示された偽画面（「パソコンからは利用できません」と、QRコードでスマホへ誘導）

このQRコードを画像から文字として読み取ってみたところ、中身は hxxps://zhongdajituan-jp[.]com という別のドメインでした（読み取りだけで、当サイトはアクセスしていません）。これは、次に説明するスマホ側の行き先と同じドメインです。パソコンの利用者を、スマホへ移らせる狙いとみられます。パソコンの画面では中身を見せず、スマホだけを狙うことで、セキュリティ担当者や調査する人の目を避けているのでしょう。

② スマホで開くと：偽の「Amazon配送状況」アプリの配布ページ

スマホで開くと、行き先は hxxps://zhongdajituan-jp[.]com/ でした。表示されたのは、Google Playのアプリ紹介ページにそっくりな画面です。

• 「Amazon配送状況」というアプリ名に、Amazonのロゴ、「広告を含む」の表示、評価「4.8」、「4.8万件のレビュー」、「1000万+ダウンロード」と並んでいます。本物らしく見せるための数字で、根拠はありません。
• 緑の大きな「インストール」ボタンの下に、3つの手順が絵で説明されています。「アプリを更新」「接続内容を確認」「インストールを許可」で、3つ目には「権限を許可」のスイッチをオンにするよう書かれています。
• 3つ目の手順は、スマホの設定画面にある「不明なアプリをインストール」という項目です。ここをオンにさせるのが、この手口の核心です。公式のアプリストア以外から入れたアプリを、スマホが受け付けるようにする設定だからです。
• 手順の絵の中には、「…apk」というファイル名が書かれているように見えます（APKは、用語解説のとおり、ストアを通さずに入れるアプリの配布用ファイルです）。手順の絵に書かれた日本語は、意味の通らない文字化けのような文章になっていて、詰めの甘さも目立ちます。
• アドレス欄には、赤い×印が付いています。公式のドメインではありません。

▲ スマホで表示された偽画面（アドレス欄に注目。Google Playの公式ページではありません）

なお、当サイトは「インストール」ボタンを押しておらず、押した先は確認していません。同じ日に届いた別の詐欺メールでも、同じようにスマホの画面から偽アプリのインストールへ誘導されていました。このページも、不正アプリを入れさせる流れの入口である可能性が高いとみています。

ドメインを、まとめて見てみると

ドメイン	役割	登録の記録（日本時間）	サーバーの所在
qiandadan.com	差出人のドメイン、ボタンの最初の行き先	2024年12月12日に登録、2026年11月9日18:45頃に更新	43.165.130.125（所在地は未確認）
mandirikarpetu-jp.com	パソコン用の偽画面（QRコード）	未確認	未確認
zhongdajituan-jp.com	スマホ用の偽アプリ配布ページ、QRコードの行き先	未確認	未確認

• 差出人のドメイン qiandadan.com は、1年近く前の2024年12月に登録された古いドメインで、登録の管理会社はAlibaba Cloud（HiChina）、ネームサーバーはCloudflareです。メール配信の前日の夕方に登録情報が更新されているので、配信に向けて直前に準備をした可能性があります。
• パソコン用とスマホ用のドメインは、どちらも「ローマ字の連なり＋-jp.com」という同じ形をしています。日本向けに見せかけた、使い捨てのドメインとみられます。同じ日の別の詐欺メールで使われていたドメインも、まったく同じ形でした。
• パソコンとスマホで表示を切り替える仕掛け（クローキング）を、今回は実際に確認しました。しかもパソコン側の画面は、QRコードでスマホ側のドメインへ案内する作りになっています。
• 表の「サーバーの所在」は、あくまで借りられたクラウドの場所です。どの国のサーバーかと、運営者がどこにいるかは別の話です。空欄の項目は、確認できていません。

同じ日に届いた、手口がそっくりの別の詐欺メール

この日は、中央調査社（内閣府の世論調査を装う）、三井住友カード、そしてこのAmazonと、3つのブランドを名乗る詐欺メールが朝から届きました。ブランドは違いますが、次の点がよく似ています。

• 送信元がMicrosoftのクラウドとみられる「20.」で始まるIP
• 差出人名の文字を逆順にする細工と、見えない文字
• 名前と拡張子がランダムな、中身に意味のない添付ファイル
• パソコンでは無害な画面やQRコード、スマホでは偽アプリへ誘導する切り替え
• ローマ字の連なりに「-jp.com」を付けた、使い捨てのドメイン

同じ仕組みで作られている可能性が高く、次のブランドが狙われても不思議ではありません。詳しくは、こちらの記事をご覧ください。
【注意】「令和8年度第8回調査へのご協力のお願い」中央調査社を装うメールの正体
三井住友カード（SMBC）を装う「今月分のお支払い金額が確定しました」偽メールの記事

見分け方と、もし入れてしまったときの対処法

まず、この4つを覚えておいてください

• メールの中のボタンやリンクは押さないでください。荷物や注文が気になるときは、いつも使っているAmazonの公式アプリや、自分で登録したブックマークから、注文履歴を確認しましょう。メールのボタンから、アプリを入れてはいけません。
• Amazonからのメールは、公式のアプリやサイトの「メッセージセンター」で確認できます。同じメールがメッセージセンターになければ、Amazonからのメールではありません（Amazon：詐欺目的の連絡を見分ける）。
• Gmail、Appleメール、Yahoo!メール、ドコモメールをお使いの場合は、Amazonから正式に送られたメールには、メール一覧にAmazonのロゴと公式マークが表示されます。このロゴや公式マークがないメールは、疑ってください（同じ公式ヘルプのページで案内されています）。
• ブラウザの画面で「アプリを更新」「インストールを許可」「不明なアプリをインストール」と言われたら、そこで中止してください。公式のアプリは、公式のアプリストアで入れるものです。

もし入れてしまったら

• 慌てなくて大丈夫です。まず、そのアプリをスマホから削除（アンインストール）してください。消せない、見当たらないときは、無理に操作を続けず、早めに相談先へ連絡しましょう。
• 「不明なアプリのインストール」を許可する設定をオンにした場合は、オフに戻してください。
• スマホで入力したことのあるパスワード（Amazon、メール、銀行、カード会社など）は、別の端末（家族のスマホやパソコンなど）から変更してください。
• Amazonのアカウントの注文履歴に、身に覚えのない注文がないか、カードの利用明細に、身に覚えのない請求がないかを確認してください。見つけたときの連絡先は、メールの記載ではなく、公式サイトで確認しましょう。
• Amazonには、不審なメールを「verify@amazon.co.jp」に転送すると、本当にAmazonからの連絡かを確認できる仕組みがあります（Amazon：詐欺目的の連絡を見分けるの案内より）。
• 相談先には、警察庁のサイバー事案に関する相談窓口、消費者ホットライン「188」、情報セキュリティ安心相談窓口（IPA：03-5978-7509）があります。

なお、この画面の手順はAndroidスマホ向けにみえます（APKというファイル名が見えるため）。ただし、iPhoneをお使いの方も、メールのボタンから何かを入れる必要はありません。

だまされそうになったのは、あなたのせいではありません。「荷物が濡れた」「返金できる」という、気になる話を並べた、よくできた偽メールです。いったん立ち止まって、公式のアプリで確認できたこと自体が、いちばんの防御です。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの所在地情報の参照元：ip-sc.net（IP調査兵団）

引き落とし日が近づくと、「今月のカードの請求額、いくらだったかな」と気になりませんか？

そんな気持ちにつけ込む、三井住友カードを装った偽メールが、午前中から次々と届きました。結論から言うと、このメールは詐欺です。ボタンは押さず、そっと削除してください。

届いたメールの内容

本文は、次のような短い内容でした。ロゴ入りの、見た目はきれいなHTMLメールで、「353,700円」の金額が大きく表示されています。

お支払い金額確定のご案内

日頃より三井住友カードをご愛用いただき、誠にありがとうございます。
11月分のお支払い金額が確定いたしました。

11月26日のお支払い金額
三井住友カード
353,700円

Vpassの設定でお支払い合計額やポイントをメールで表示できます。
ご利用明細の内容をご確認いただき、心当たりのないご利用がないかご確認ください。

※ 三井住友カードアプリを開くだけで、金額確定通知やご利用状況をご確認いただけます。
※ アプリをお持ちでない方は、下記のボタンよりご確認ください。
[ご利用明細を確認する]（hxxps://wz-handle[.]com/3PsKrltnxR.matsuyama.jp）
※ お支払い金額の確定メール表示内容変更はVpassにて設定いただけます。
※ 本メールの送信アドレスは送信専用です。直接返信されても対応はできません。

三井住友カード株式会社
〒135-0061 東京都江東区豊洲二丁目2番31号

▲ 実際に届いたメールの画面（※メールヘッダー詳細は個人情報保護のため非掲載）

フッターの住所は、三井住友カードが公式サイトで公表している本社の所在地と同じです（三井住友カード：会社概要）。本物の会社の情報を借りているので、見た目が本物らしくても、本物とは限りません。

同じ日に届いた件名の一覧

11月10日の9:32〜11:24の約2時間に、当サイトの受信箱で画面上に確認できた分だけで16通が届いていました。差出人の表示は「三井住友カード」「Vpass」「SMBCカード」と名前を変え、件名は7種類です。次の件名に心当たりがあれば、同じ詐欺メールの可能性が高いので、ご注意ください。

受信時刻	差出人の表示	件名
9:32	三井住友カード	【要確認】「三井住友カード」ご利用確認のご連絡
9:35	【三井住友カード】	【要確認】パスワードの変更が完了いたしました
9:41	三井住友カード	【重要】ご請求金額のお知らせ
9:46	Vpass	お支払い金額確定のご案内
10:34	SMBCカード	今月分のお支払い金額が確定しました
10:45	Vpass	お支払い金額のお知らせ
10:45	Vpass	お支払い金額確定のご案内
10:51	三井住友カード	11月分お支払い金額のご案内
10:53	SMBCカード	今月分のお支払い金額が確定しました
10:57	Vpass	お支払い金額のお知らせ
10:59	三井住友カード	お支払い金額のお知らせ
11:00	三井住友カード	今月分のお支払い金額が確定しました
11:11	SMBCカード	今月分のお支払い金額が確定しました
11:14	Vpass	お支払い金額のお知らせ
11:18	三井住友カード	お支払い金額のお知らせ
11:24	SMBCカード	今月分のお支払い金額が確定しました

※本記事で詳しく調べたのは、最後の11:24の1通です。それ以外は、件名と差出人の表示を一覧にしたもので、本文や中身までは調べていません。同じ系統の可能性が高いとみていますが、確認できていない点はご了承ください。

詳しく調べると分かったこと

• 差出人のアドレスが、三井住友カードとは無関係です。送信元は qingfuyigou.com でした。三井住友カードは公式サイトで、自社のメールは「vpass.ne.jp」「smbc-card.com」などのドメインから送ると案内しています。それ以外のアドレスから届いたメールは、無関係と考えて大丈夫です（三井住友カード：不審なメールの見分け方）。
• 差出人の名前に、文字の並びを逆にする細工がありました。メールの記録を文字単位で調べると、差出人名は元の文字が「ドーカCBMS」と逆順に並んでいて、その前に「右から左へ並べる」特殊な制御文字が付いていました。そのため、画面では「ＳＭＢＣカード」に近い形で読めます。「SMBCカード」と続けて書いた文字列を探すフィルターを、すり抜けるための細工とみられます。
• 見えない文字が、本文に27か所も埋め込まれていました。件名に1か所、本文に27か所、画面では見えない「ゼロ幅スペース」などの文字が入っています。「ご案内」「三井住友」「お支払い」といった言葉の途中に混ぜてあります。見つけ方は簡単で、件名や本文をテキストエディタやコード表示の画面に貼り付けると、見えない文字が「\u200b」のような文字として浮かび上がります。特定の言葉で見張っているフィルターを避ける目的とみられます。
• 送信した端末は、岩手の名前を名乗りながら、実際はカナダのクラウドでした。メールの記録には、メールを送り込んだ端末の接続元が残っていました。名前は smtp.chain-dashboard.iwate.jp と、国内の自治体のように名乗っていますが、これは名乗っただけです。実際のIP 161.26.65.249 は、カナダ・モントリオールにあるSoftLayer（IBM）のクラウドでした。ログインに使われたアカウント名にも「automated」と入っていて、大量送信用とみられます。
• 送信サーバーは、スイスにあるMicrosoftのクラウドでした。20.250.11.74 は、チューリッヒにあるクラウドです。クラウドは世界中から借りられるので、サーバーの場所と、送った人の場所は一致しません。SPFが「pass」なのは、攻撃者が自分のドメインに自分のサーバーを登録していたためで、安全の証明にはなりません。
• リンクの形にも、ひと工夫あります。ボタンのリンクは hxxps://wz-handle[.]com/3PsKrltnxR.matsuyama.jp で、最後に日本のドメインのような「.matsuyama.jp」が付いています。しかし、本当のドメインは先頭の wz-handle.com で、後ろの部分はただの飾りです。
• 不審な添付ファイルが付いています。PJJWgs.hfajz は、ランダムな名前と聞き慣れない拡張子で、中身は27バイトの意味のない文字列でした。感染のおそれがあるため、当サイトでは開封・解析していません。名前と拡張子がランダムな点は、同じ日に届いた別の詐欺メール（後述）の添付とそっくりです。
• 本文の先頭に、ゴミが1文字残っていました。メールの最初に「>」が1文字だけ表示されています。仕込みの作業中に残った、攻撃者のうっかりとみられます。

ボタンの先を調べました：PCとスマホで、行き先が変わる仕掛け

「ご利用明細を確認する」ボタンは、まず中継ドメイン wz-handle.com を通り、そこから使った端末によって別の場所へ振り分けられます。調査のため、警告画面を承知のうえで当サイトが確認しました。

① パソコンで開くと：警告、確認画面、そしてQRコード

パソコンで開くと、行き先は hxxps://haoyujiaoyuu-jp[.]com/ でした。セキュリティソフト（ウイルスバスター）が「脅威の種類：フィッシング」と判定し、ブロック画面が出ました。

▲ パソコン側の行き先で、ウイルスバスターが「フィッシング」と判定

警告を承知のうえで進むと、まずGoogleのreCAPTCHA（「I’m not a robot」）の確認画面が現れます。調査用の自動プログラムを避けるための、関所のような役目とみられます。

▲ 途中に挟まれる「私はロボットではありません」の確認画面

確認を通ると、三井住友カードのロゴ入りの画面が表示されました。「システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません。スマートフォンで以下のQRコードをスキャンしてください」と書かれ、QRコードが表示されています。画面の下には、「Copyright (C) 2026 Sumitomo Mitsui Card Co., Ltd.」とまで書いてあります。

▲ パソコンで表示された偽画面（「パソコンからは利用できません」と、QRコードでスマホへ誘導）

このQRコードを画像から文字として読み取ってみたところ、中身は hxxps://chuyuantece-jp[.]com という別のドメインでした（読み取りだけで、当サイトはアクセスしていません）。パソコンの利用者を、スマホへ移らせる狙いとみられます。パソコンの画面では中身を見せず、スマホだけを狙うことで、セキュリティ担当者や調査する人の目を避けているのでしょう。

② スマホで開くと：「本人確認を実行しています」の偽画面

スマホで開くと、行き先は hxxps://guangchunbelt-jp[.]com/ でした。ここも、ウイルスバスターが「フィッシング」と判定しています。

▲ スマホ側の行き先でも、ウイルスバスターが「フィッシング」と判定

表示されたのは、SMBCの緑のヘッダーと「三井住友カード」のロゴ、「ログイン」ボタンまで備えた、本物そっくりの画面です。その中に、赤い「！」マークとともに次のような演出が並びます。

• 「本人確認を実行しています」と書かれ、進み具合を示すバーが100%の「チェック完了」になっています。「通信の安全性」「デバイス情報」「本人確認」「セキュリティポリシー」の4項目に、チェックマークが付いています。
• そして最後の行だけが赤字で、「Vpassアプリのバージョン更新が必要です」「ご利用中のVpassアプリは旧バージョンです。最新版へのアップデートが必要です」と表示され、緑の「アップデートについて」ボタンへ誘導します。

「チェック完了」の演出は、実際には何も確認していない見せかけで、「安全に確認してもらえた」と思わせて、最後のボタンを押させる狙いとみられます。

▲ スマホで表示された偽画面（アドレス欄に注目。公式のドメインではありません）

なお、当サイトは「アップデートについて」ボタンを押しておらず、押した先は確認していません。同じ日に届いた別の詐欺メール（後述）では、同じようにスマホの画面から偽アプリのインストールへ誘導されていました。この画面も、不正アプリを入れさせる流れの入口である可能性があります。公式のVpassアプリは、アプリストアで入れるものです。ブラウザの画面に出た「更新が必要です」の案内に、従う必要はありません。

ドメインを、まとめて見てみると

ドメイン	役割	登録日（日本時間）	サーバーの所在
qingfuyigou.com	差出人のドメイン	2023年12月7日（配信当日の8:33頃に更新）	IPは判別できず（送信専用とみられます）
wz-handle.com	ボタンの最初の中継	2022年12月（11月8日に更新）	38.28.187.223（アメリカ・カリフォルニア州のクラウド）
haoyujiaoyuu-jp.com	パソコン用の偽画面（QRコード）	2026年11月5日 3:27頃	未確認
guangchunbelt-jp.com	スマホ用の偽画面（本人確認）	2026年11月10日 5:54頃	未確認
chuyuantece-jp.com	QRコードの行き先	2026年10月12日 3:16頃	未確認

• スマホ用の偽画面のドメインは、この日の早朝5:54頃に登録されたばかりです。最初のメールが届いた9:32の、約3時間半前にあたります。使い捨てを前提に、直前に用意したとみられます。
• 「-jp.com」で終わる3つのドメインは、どれも同じレジストラ（Aceville）で登録され、ネームサーバーにも同じ組み合わせのCloudflareを使っています。同じ人物が、まとめて管理している可能性があります。
• 中継ドメインの wz-handle.com は、4年近く前に取得された古いドメインで、調べた時点で「80ドルで売り出し中」と表示されていました。新しいドメインばかりではなく、使い古しのドメインも混ぜています。
• 表の「サーバーの所在」は、あくまで借りられたクラウドの場所です。どの国のサーバーかと、運営者がどこにいるかは別の話です。
• パソコンとスマホで表示を切り替える仕掛け（クローキング）を、今回は実際に確認しました。

▲ 中継ドメイン wz-handle.com の登録情報（「売り出し中」の表示に注目）

▲ スマホ用の偽画面 guangchunbelt-jp.com の登録情報（登録は配信当日の早朝）

同じ日に届いた、手口がそっくりの別の詐欺メール

この日の朝には、中央調査社と内閣府を装った別の詐欺メールも届いていました。ブランドは違いますが、次の点がよく似ています。

• 送信元がMicrosoftのクラウド（どちらも「20.」で始まるIP）
• 差出人名の文字を逆順にする細工と、見えない文字
• 名前と拡張子がランダムな、中身に意味のない添付ファイル
• パソコンでは無害な画面、スマホでは偽アプリへ誘導する切り替え
• ローマ字の連なりに「-jp.com」を付けた、使い捨てのドメイン（登録の記録も、1秒違いのものがありました）

同じ仕組みで作られている可能性が高く、次のブランドが狙われても不思議ではありません。詳しくは、こちらの記事をご覧ください。
【注意】「令和8年度第8回調査へのご協力のお願い」中央調査社を装うメールの正体

見分け方と、もし入力してしまったときの対処法

まず、この4つを覚えておいてください

• メールの中のボタンやリンクは押さないでください。請求額が気になるときは、いつも使っている公式のVpassアプリや、自分で登録したブックマークから確認しましょう。
• 差出人のアドレスを見てください。三井住友カードの公式なドメインは、「vpass.ne.jp」「smbc-card.com」などです。それ以外は無関係です（三井住友カード：不審なメールの見分け方）。
• 「パソコンからは利用できません。スマホでQRコードを読み取ってください」と言われたら、そこで中止してください。本物のサービスが、突然こんな案内を出すことはまずありません。
• ブラウザの画面に「アプリの更新が必要です」と出ても、従わないでください。アプリの更新は、公式のアプリストアで行うものです。警告が出たら、先へ進まず引き返してください。

もし入力してしまったら

• 慌てなくて大丈夫です。三井住友カードは公式ページで、不審なサイトにVpassIDやパスワードを入力した場合は、VpassIDとパスワードをすぐに変更し、必要に応じてカードの利用停止・再発行の手続きをするよう案内しています（三井住友カード：不審なメールの見分け方）。
• カードの利用明細に、身に覚えのない請求がないかを確認してください。見つけたときの手続きも、同じ公式ページで案内されています。連絡先は、メールの記載ではなく、公式サイトで確認しましょう。
• スマホにアプリを入れてしまった場合は、そのアプリをアンインストールしてください。消せない、見当たらないときは、無理に操作を続けず、早めに相談先へ連絡しましょう。
• スマホに入力したことのあるパスワードは、別の端末（家族のスマホやパソコンなど）から変更してください。
• 相談先には、警察庁のサイバー事案に関する相談窓口、消費者ホットライン「188」、情報セキュリティ安心相談窓口（IPA：03-5978-7509）があります。

だまされそうになったのは、あなたのせいではありません。本物の会社の住所を借り、公式そっくりの画面まで用意した、よくできた偽メールです。「身に覚えのない請求額」を見て立ち止まれたこと自体が、いちばんの防御です。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの所在地情報の参照元：ip-sc.net（IP調査兵団）

謝礼つきのアンケートのお願いが届くと、「ちょっと協力してみようかな」と思うことはありませんか？

そんな親切心につけ込む、中央調査社と内閣府を装った偽メールが、朝から大量に届きました。結論から言うと、このメールは詐欺です。ボタンは押さず、そっと削除してください。

届いたメールの内容

本文は、次のような内容でした。調査の目的、対象者の選び方、謝礼、問い合わせ先まで、本物の調査案内のように整っています。

令和８年度第８回調査の概要
「令和８年度第８回調査」の概要
（一社） 中央調査社は、内閣府から委託を受けて、「令和８年度第８回調査」を実施しております。

■　調査の目的
国の重要施策の企画・立案などに役立てるため、国民の皆様の意識などについてお伺いするものです。

■　調査をお願いする方
全国にお住まいの日本国籍を有する18歳以上の3,000人

■　調査をお願いする方の選び方
全国にお住まいの日本国籍を有する18歳以上の方を、全体の縮図となるように、
無作為抽出と呼ばれる統計的方法で、各自治体の住民基本台帳から選ばせていただきました。
住民基本台帳の閲覧につきましては、調査目的・調査結果の公表等の使用を明らかにし、
厳正な審査を受けて、個人情報の守秘を誓約した上で、各自治体の正式な許可を得て閲覧しています。

■　調査の進め方
郵便でお届けする調査票の質問にお答えのうえ、同封の返信用封筒（切手不要）に入れてご返送いただく方法です。

■　調査の時期
２０２６年１１月１２日（木）～
※返信用封筒に入れて、２０２６年１２月７日（月）までにご投函ください。

■　調査の謝礼
クオカード（５００円分）

■　調査結果の公表
調査結果は、内閣府の世論調査アプリで公表する予定です
なお、調査期間中は同アプリにおいても「令和８年度第８回調査」を実施していることが確認できます。

公式アプリのダウンロード （hxxps://bacajuga[.]com/w/juegnc）

■　調査に関するお問い合わせ
調査に関するお問い合わせにつきましては、下記までお願いいたします。
一般社団法人　中央調査社
〒104-8179 東京都中央区銀座5-15-8 時事通信ビル７階
電話番号　０３（３５４９）３１２５　／　０３（３５４９）３１２３

プライバシーの保護について
[画像：プライバシーマーク]
弊社は、一般財団法人 日本情報経済社会推進協会の「プライバシーマーク」の使用許可を取得しています。
ご協力いただきましたご意見等は、個人情報保護方針に従い、情報の管理を徹底いたします。
■お答えいただいた内容は、個人が特定できないように加工し、「全体で何％」というようにとりまとめられます。
■皆さまのお名前やご住所などの個人情報は、弊社が厳重に管理して本調査以外の目的で使用することは一切ございません。

▲ 実際に届いたメールの画面（※メールヘッダー詳細は個人情報保護のため非掲載）

よく読むと、おかしな点があります。本文は「調査票は郵便で届く」と説明しているのに、メールの中にあるのは「公式アプリのダウンロード」ボタンだけなのです。調査に協力するだけなら、アプリは必要ありません。

詳しく調べると分かったこと

• 差出人のアドレスが、中央調査社とは無関係です。送信元は bacajuga.com というドメインで、ボタンのリンク先も同じドメインでした。中央調査社の公式サイトは crs.or.jp で、まったく別のものです。
• 本物の会社の連絡先を、そのまま借りています。メールに書かれた住所（銀座5-15-8）と電話番号（03-3549-3121）は、中央調査社が自社の資料で公表している連絡先と同じでした。実在の組織の情報を使っているので、ここだけ見ると本物らしく見えてしまいます。中身が本物だからといって、このメールが本物とは限りません。
• 差出人の名前に、文字の並びを逆にする細工がありました。メールの記録を文字単位で調べると、差出人名は元の文字が「局務事査調 社査調央中」と逆順に並んでいて、その前に「右から左へ並べる」特殊な制御文字が付いていました。そのため、画面では「中央調査社 調査事務局」と正しく読めます。「中央調査社」という文字列を探して迷惑メールを見分けるフィルターを、すり抜けるための細工とみられます。
• 見えない文字が、あちこちに埋め込まれていました。件名には、画面では見えない「ゼロ幅スペース」という文字が3か所入っています。本文のHTMLの中にも大量に入っています。見つけ方は簡単で、件名や本文をテキストエディタやコード表示の画面に貼り付けると、見えない文字が\u200b のような文字として浮かび上がります。これも、特定の単語で見張っているフィルターを避ける目的とみられます。
• ヤフーのサーバーを通ったように見せかけた形跡があります。メールの通過記録に、Yahoo!JAPANのサーバーを経由したかのような行が書き込まれていました。しかし、その時刻は実際にメールを受け取った時刻より6分前で、記録の並びとも合いません。日付の記録も、その時刻にそろえてありました。実在する大手のサーバーを通ったように装って、信用させたかったのかもしれません。
• 送信サーバーは、アメリカのクラウドでした。20.114.19.179 は、ワシントン州にあるMicrosoftのクラウドです。クラウドは世界中から借りられるので、サーバーの場所と、送った人の場所は一致しません。SPFが「pass」なのは、攻撃者が自分のドメインに自分のサーバーを登録していたためで、安全の証明にはなりません。
• 不審な添付ファイルが付いています。foGsG716.zpiu という、ランダムな名前と聞き慣れない拡張子です。感染のおそれがあるため、当サイトでは開封・解析していません。
• 同じメールが、短時間に186通も届きました。約70分の間に、同じ筋書きで差出人名と件名を少しずつ変えたメールが、当サイトの受信箱だけで186通届きました。1通あたりの手間をかけず、数で押し切る手口です。

ボタンの先を調べました：端末で行き先が変わる仕掛け

「公式アプリのダウンロード」ボタンのリンク先は、hxxps://bacajuga[.]com/w/juegnc でした。ここから先は、使った端末によって見える世界が変わります。調査のため、警告画面を承知のうえで当サイトが確認しました。

① パソコンで開くと：本物の内閣府のページが表示される

パソコンで開くと、セキュリティソフト（ウイルスバスター）が「このWebサイトは、安全ではない可能性があります」とフィッシング判定のブロック画面を出しました。そのブロックを越えて進むと、最終的に表示されたのは、本物の内閣府「世論調査」のページ（survey.gov-online.go.jp）でした。

つまり、パソコンで「本当にそのアプリがあるのか」と確かめようとした人には、本物のページを見せて安心させる作りです。調べる側の目をそらす狙いがあるとみられます。

▲ ウイルスバスターが「脅威の種類：フィッシング」と判定

▲ パソコンで最終的に表示された、本物の内閣府「世論調査」ページ（詐欺サイトではありません）

ちなみに、この本物のページの上部には、内閣府の世論調査を装った「かたり調査」への注意書きがあります。実施中の調査として掲載されているもの以外は、内閣府の世論調査ではない、という趣旨です。トップページを確認した範囲では、アプリのダウンロードを案内する表示は見当たりませんでした。

② スマホで開くと：偽のアプリ配布ページが表示される

スマホで開くと、行き先は hxxps://xinyaojiancai-jp[.]com/ でした。ここもトレンドマイクロにより「フィッシング」と判定されています。表示されたのは、Google Playのアプリ紹介ページを真似た偽ページです。

• アプリ名は「世論調査」で、アイコンには内閣府のロゴに似た絵柄が使われています。
• 「4.8★」「4.8万件のレビュー」「1000万+ダウンロード」と、人気のアプリに見せかける数字が並んでいます。この数字は、偽ページなら自由に書けます。
• 緑の「インストール」ボタンの下には、手順の図解まで用意されています。「アプリを更新」「接続内容を確認」「インストールを許可」と進め、「権限を許可」をオンにさせる流れです。これは、Google Play以外から入れるアプリを許可させる操作に見えます。
• 画面上部のアドレス欄に表示されているのは、Google Playではなく xinyaojiancai-jp.com です。本物のストアではありません。

▲ スマホで表示された、Google Play風の偽アプリ配布ページ（アドレス欄に注目）

なお、当サイトはこのページからアプリ本体を入手しておらず、アプリの中身は解析していません。ただ、世論調査のアプリにスマホの設定変更まで求める理由はなく、入れてはいけないアプリと考えるべきです。

ドメインを、まとめて見てみると

ドメイン	役割	登録日	サーバーの所在
bacajuga.com	差出人のドメイン／ボタンの中継	2025年12月15日（配信の前日に更新）	43.165.135.79（日本・東京。Tencent系のクラウド）
xinyaojiancai-jp.com	偽のアプリ配布ページ（スマホ用）	2026年11月9日（配信の前日）	34.97.138.65（日本・大阪。Googleのクラウド）

• 偽のアプリ配布ページのドメインは、メール配信の前日に登録されたばかりで、過去に登録歴のないドメインでした。使い捨てを前提に、直前に用意したとみられます。
• 差出人のドメインは、2025年12月に登録されたものですが、配信の前日に登録情報が更新されていました。どちらもネームサーバーにCloudflareを使っています。
• 表の「サーバーの所在」は、あくまで借りられたクラウドの場所です。日本国内のサーバーだからといって、運営者が日本にいるとは限りません。IP調査サイトのip-sc.netには、偽アプリ配布ページのIPに対して11件のコメントが寄せられていました。
• パソコンとスマホで表示を切り替える仕掛け（クローキング）を、今回は実際に確認しました。

▲ 差出人ドメイン bacajuga.com の登録情報

▲ 偽アプリ配布ページ xinyaojiancai-jp.com の登録情報（登録は配信の前日）

見分け方と、もし入れてしまったときの対処法

まず、この3つを覚えておいてください

• メールの中のボタンやリンクは押さないでください。本当に調査の対象に選ばれたなら、調査票は郵便で届きます。気になるときは、メールではなく、内閣府の公式ページ（内閣府 世論調査）で、実施中の調査として載っているかを自分で確かめましょう。
• アプリは、Google PlayやApp Storeなどの公式ストアから入れてください。ブラウザの画面に出た「インストール」ボタンや、「不明なアプリを許可してください」という案内に従ってはいけません。
• 問い合わせたいときは、メールに書かれた電話番号ではなく、公式サイト（中央調査社）で連絡先を確かめてください。

もしアプリを入れてしまったら

• 慌てなくて大丈夫です。まず、そのアプリをアンインストールしてください。消せない、見当たらないときは、無理に操作を続けず、早めに相談先へ連絡しましょう。
• スマホに入力したことのあるパスワードや暗証番号は、別の端末（家族のスマホやパソコンなど）から変更してください。特に、メール、Googleアカウント、ネットバンキング、クレジットカードなどのサービスが大切です。
• 銀行やカードの利用履歴に、身に覚えのないものがないか確認しましょう。心当たりのある場合は、利用中の金融機関に連絡してください。
• 相談先には、警察庁のサイバー事案に関する相談窓口、消費者ホットライン「188」、情報セキュリティ安心相談窓口（IPA：03-5978-7509）があります。

だまされそうになったのは、あなたのせいではありません。実在の調査機関と国の機関の名前を使い、本物のページまで見せる、よくできた偽メールです。「郵送のはずなのに、なぜアプリ？」と立ち止まれたこと自体が、いちばんの防御です。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの所在地情報の参照元：ip-sc.net（IP調査兵団）

「証券口座のログイン方法が変わります」と言われたら、つい「早くやらなきゃ」と思いませんか？

そんな気持ちにつけ込む、大和証券を装った偽メールが届きました。結論から言うと、このメールは詐欺です。リンクは押さず、そっと削除してください。

届いたメールの内容

本文は、次のような内容でした。丁寧な「拝啓」「敬具」付きで、かなりきちんとした文面です。

拝啓　時下ますますご清栄のこととお慶び申し上げます。
平素より大和証券をご愛顧賜り、誠にありがとうございます。

このたび、2026年4月より順次、従来ご利用いただいておりました
「メールによるワンタイムパスワード認証」を段階的に終了し、
「電話によるログイン認証」への移行を進めております。

これに伴い、認証方法の移行および登録情報の整合性確認を目的として、
全口座を対象とした確認を実施しております。

確認の結果、お客様の口座につきまして、登録情報に確認を要する事項
（未更新情報・登録内容の不備・情報の不整合等）が確認されております。

つきましては、認証方法の移行を円滑に進めるため、
ご登録情報の確認手続きをお願いいたします。

お手続き期限は、2026年11月15日 23:59までとなっております。

上記期限までにお手続きが確認できない場合、2026年11月16日以降、
お取引および出金に制限が適用される可能性がございます。
あらかじめご了承くださいますようお願い申し上げます。

お手続きは、以下の大和証券公式サイトよりログインのうえ、お進めください。

https://www.daiwa.co.jp/login/

なお、本手続きは通常2〜3分程度で完了いたします。
────────────────
ご不明な点がございましたら、大和証券カスタマーサポートまで
お問い合わせください。

今後とも変わらぬご愛顧を賜りますよう、何卒よろしくお願い申し上げます。

敬具

――――――
大和証券株式会社
カスタマーサポートセンター
電話：0120-390-281（平日9:00〜17:00）
――――――

▲ 実際に届いたメールの画面（※メールヘッダー詳細は個人情報保護のため非掲載）

ここで目を引くのは、文中に出てくる「https://www.daiwa.co.jp/login/」です。見た目は公式のURLですが、実際のリンク先は、公式とは関係のない短縮URLでした。表示とリンク先が違うのは、なりすましメールの典型です。

詳しく調べると分かったこと

• 差出人のアドレスが、大和証券とは無関係です。送信元は中国のドメイン uygiakr.cn でした。大和証券は公式の注意喚起ページで、自社のメールは「@daiwa.co.jp」などのアドレスから送ると案内しています。それ以外のアドレスから届いたメールは、無関係と考えて大丈夫です（大和証券：フィッシング詐欺等にご注意ください）。
• 本当にあった話題に便乗しています。大和証券は公式サイトで、2026年4月以降のログイン認証の見直しを案内しています。スマホアプリ「株walk」でのワンタイムパスワード廃止と電話認証への切り替え、そしてパスキー認証の導入です（株walkの認証方法の変更）。実際の話題を借りているので、つい信じてしまいやすい文面です。
• 「電話認証へ移行」の説明は、公式の方針とずれて見えます。公式は、電話認証よりパスキー認証のほうが安全性が高いとして、パスキーの設定を勧めています（ブラウザのパスキー認証導入のお知らせ）。
• 期限と制限で、焦らせています。「2026年11月16日以降、お取引および出金に制限が適用される」と書き、「通常2〜3分で完了」と手軽さも強調して、考える時間を与えない作りです。
• 送信した端末は、中国の回線からつないでいました。メールの記録には、サーバーへメールを投入した端末の接続元が残っていて、そのIP 36.251.65.94 は中国・福建省のものでした。日付の記録も、日本ではなく中国などの時刻帯（+0800）です。パソコンの初期設定のような名前まで記録に残していて、攻撃者もなかなかのうっかり者です。
• 送信サーバーは、遠く離れたオーストラリアのクラウドでした。34.129.251.197 はメルボルンにあるGoogleのクラウドです。クラウドは世界中から借りられるので、サーバーの場所と、送った人の場所は一致しません。

ボタンの先を調べました：公式画面の「丸写し」

メールのリンクは、次のように何段階かを経由して偽サイトへ着きます。調査のため、警告画面を承知のうえで当サイトが確認しました。

① 短縮URL → 中継ドメイン

リンクはまず短縮URL（hxxps://is[.]gd/ilEZZz）を通り、次に中継ドメイン pciqz.com へ転送されます。この中継ドメインは2026年6月30日の登録で、サーバーは日本（東京都）のAlibaba Cloud（47.79.90.161）にありました。

② Chromeの警告と、Cloudflareの確認画面

転送の途中で、ChromeはGoogleセーフブラウジングにより「危険なサイト」と警告しました。警告が出たら、迷わず引き返してください。警告を承知のうえで進むと、次にCloudflareの「検証中…」画面が表示されました。

▲ Chromeが「危険なサイト」と警告

▲ 途中に挟まれる「検証中…」画面（自動プログラム避けとみられます）

③ 着いた先は、公式そっくりの偽ログイン画面

最後に表示されたのは、大和証券「オンライントレード ログイン」の画面を写し取ったような偽サイト（hxxps://dagbisec-c[.]pbkt[.]xyz/）です。支店コード・口座番号・ログインパスワードの入力欄があり、ここに入力すると、不正ログインにつながるおそれがあります。

おもしろいのは、画面の右側のバナーです。「ログインにはパスキーの設定が必要です。電話認証をご利用の方は至急ご対応ください」と出ています。公式画面をそのまま写したため、メール本文の「電話認証へ移行します」という説明と食い違っているのです。丸写しの画面が、メールの嘘を裏切ってしまっています。

▲ 公式画面を写し取った偽ログイン画面（支店コード・口座番号・ログインパスワードの入力欄）

ドメインを、まとめて見てみると

ドメイン	役割	登録日	サーバーの所在
uygiakr.cn	差出人のドメイン	2026年3月2日	34.22.69.116（韓国・ソウルのクラウド）
pciqz.com	リンクの中継	2026年6月30日	日本（東京都）のクラウド
pbkt.xyz	偽ログイン画面	未確認	未確認

• 差出人ドメインと中継ドメインは、どちらも中国の阿里云（Alibaba Cloud／万网）を通じて登録され、ネームサーバーにCloudflareを使っています。登録情報には中国の所在地が書かれていましたが、この記載が本当かどうかは分かりません。
• どちらのドメインも、数か月前の登録です。このメールのために、時間をかけて準備された形跡があります。
• 端末や地域によって表示を切り替える仕掛け（クローキング）は、今回の確認では見られませんでした。

見分け方と、もし入力してしまったときの対処法

まず、この3つを覚えておいてください

• メールの中のリンクは押さず、いつも使っている公式アプリや、自分で登録したブックマークからログインしましょう。手続きが本当に必要なら、ログイン後に案内が出ます。
• 差出人のアドレスを見てください。大和証券は公式サイトで、自社のメールは「@daiwa.co.jp」などのアドレスから送ると案内しています。それ以外は無関係です（大和証券：フィッシング詐欺等にご注意ください）。
• 「期限までに」「出金に制限」のような言葉でせかされたら、いったん手を止めてください。警告が出たら、先へ進まず引き返してください。

もし入力してしまったら

• 慌てなくて大丈夫です。気づいた時点で、公式アプリや自分のブックマークから大和証券にログインして、ログインパスワードをすぐに変更してください。
• 同じパスワードを他のサービスでも使っている場合は、そちらも変更しましょう。
• 取引や出金の履歴に、身に覚えのないものがないか確認してください。心当たりのない通知が届いたときは、すぐに大和証券のお取引店またはコンタクトセンターへ問い合わせるよう、公式サイトでも案内されています。連絡先は、メールの記載ではなく公式サイトで確認しましょう。
• ログインや取引の「操作通知」をメールで受け取る設定にしておくと、身に覚えのない操作に早く気づけます（大和証券：フィッシング詐欺への対策）。

だまされそうになったのは、あなたのせいではありません。実際の話題を借り、公式画面まで丸写しした、よくできた偽メールです。「おかしいな」と立ち止まれたこと自体が、いちばんの防御です。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの所在地情報の参照元：ip-sc.net（IP調査兵団）

日曜日の朝6時半ごろ、まだ多くの人が眠っている時間に、「メールが止まっています」と告げるメールが届きました。休日の朝は気がゆるみやすく、急ぎに見える連絡があると、つい確認したくなるものです。

1. 届いたメールの中身

メールボックスに「保留状態の受信メール」があるので、管理画面で確認してほしい、という内容でした。画面に見える本文は、このとおりです。

件名：メール配信に影響する可能性のある保留メールについて
表示名：【KAGOYA MAIL】保留メールの確認のお願い

KAGOYA MAIL
保留メールの確認のお願い

Webメールサービスをご利用いただき、ありがとうございます。
システムセキュリティ強化のため設定確認を実施しており、
メールボックス内に保留状態の受信メールが確認されました。

受信状況
管理番号：7483XXX
保留メール数：6件（受信済み）
状態：配信待機中（確認必須）
検出日時：2026年11月7日

この状態が続いた場合、該当メールが正常に配信されない可能性があります。
管理画面より受信トレイの確認および同期を行ってください。

[管理画面を開く] → hxxps://d6428a49.click.kit-mail3.com/（以下省略）

本手順の目的
・通常のメール受信の再開
・アカウントセキュリティの維持
・重要な通信の不達防止

ご不明な点がございましたら、下記までお問い合わせください。
（問い合わせ先のメールアドレスが記載）

KAGOYA MAIL サポートチーム
※本メールは重要なお知らせとして送信されています。
※本通知は自動送信です。

▲ 実際に届いたメールの画面。落ち着いた、事務的なデザインです。

一見、事務的で落ち着いた通知ですが、見直すと、おかしな点がいくつもあります。

• 送信元がKAGOYAではない。表示名には「KAGOYA MAIL」と書かれていますが、実際のアドレスは kagoya.mail.net という、名前を借りただけの別のドメインでした。
• 不安をあおる言葉が並んでいる。「保留状態の受信メール」「確認必須」と書き、「正常に配信されない可能性があります」と、放っておくと困ることになるかのように思わせています。
• 仕上げが雑。「管理番号：7483XXX」と、伏せ字の「XXX」が、そのまま残ったまま送られてきました。数字を入れ忘れたのでしょうか。さらに、「保留メール数：6件（受信済み）」と書きながら、状態は「配信待機中」としており、受信済みなのか待機中なのか、つじつまが合いません。
• 宛名がない。契約者名やメールアドレスの記載がなく、誰に送っても通じる文面です。
• 件名と表示名の言葉が違う。件名は「メール配信に影響する可能性のある保留メールについて」ですが、差出人の表示名は「保留メールの確認のお願い」です。

2. 送信元を調べると

送信元のIPアドレスは95.156.207.202で、ドイツ・フランクフルトの、ホスティング事業者（レンタルサーバーなどを貸し出す会社）のサーバーでした。送信サーバーの名乗りは、IPアドレスを逆にならべただけの機械的な名前で、KAGOYAとは関係のない場所から送られています。

メールに記録された送信時刻は、米国西海岸の時間帯（−0800）で書かれていました。送信元のドイツの時間帯とは合っておらず、送信側が自分で書いた時刻の表記が、つじつまの合っていないことがわかります。

もうひとつ、メールのソース（HTML）を開くと、日本語の本文がすべて「お」のような数字の並びに置き換えられていました。見た目はふつうの日本語でも、中身は数字の文字コードになっています。キーワードで迷惑メールを見分けるフィルターを、すり抜けようとする工夫とみられます（これは推測です）。

3. リンクの先で起きること

「管理画面を開く」のボタンは、メール配信サービスのクリック計測に使われる形式のURLになっていました（これは推測です）。このURLの末尾にある長い文字列は、Base64という方式で隠された行き先で、元に戻すと hxxps://liveinall.vu/activemail/kagoya.html というアドレスが現れます。ひと目では行き先が分からないようにしてあるわけです。

ドメイン liveinall.vu は、2026年10月2日、約5週間前に登録されたばかりです。向き先の104.21.44.96はCloudflareのもので、ip-sc.netではカナダ・トロントと表示されますが、世界中に拠点を持つ中継サービスのため、サイトの運営者や本当のサーバーの場所を示すものではありません。パスの activemail/kagoya.html から、ブランド名ごとにページを作り分けている可能性も考えられます（これも推測です）。

■ 手順1：英語の「準備中」画面

リンクを開くと、日本語のメールから来たのに、英語で「Preparing secure session…」（安全な接続を準備しています）と表示されます。

▲ リンクを開いた直後の画面。ここから確認画面に切り替わります。

■ 手順2：「人間確認」を装う画面

続いて、「Just a moment」「Human verification」と書かれた画面が出ます。「表示する前に、簡単なブラウザの確認が必要です。1回のタップで十分です」という英語の説明のあと、「Start check」のボタンを押させる作りです。「Just a moment」は、Cloudflareの確認画面でよく見る表題で、それに似せている可能性があります。安心感を与える狙いのほか、自動で危険なサイトを調べるツールを通りにくくする狙いもあるのかもしれません（これは推測です）。

▲ 「Start check」を押させる確認画面。右下の「ref」は、受付番号のように見せた飾りです。

■ 手順3：Webメールの偽のログイン画面

ボタンを押すと、「Active! mail」というWebメール製品のログイン画面に似た画面に切り替わります。「ユーザID」「パスワード」を入力して「ログイン」を押す作りです。ここに入力した内容は、攻撃者に渡るおそれがあります。メールの表示名はKAGOYA MAILなのに、この画面にKAGOYAの名前はなく、メールとの食い違いもあります。

▲ Webメールのログイン画面に似せた偽ページ。ユーザIDとパスワードを盗む作りになっています。

当サイトで確認できたのは、ログイン画面までです。入力したあとに続く画面は確認していません。また、当サイトで確認した限りでは、端末による表示の違い（見る人や端末によって表示を変える仕組み）はありませんでした。

4. 注意点と対処法

「メールが届かなくなる」と言われれば、誰でも不安になります。落ち着いた事務的なメールなので、確認しようとするのは自然なことです。責められることではありませんので、次のことを確認してください。

• メールの中のボタンやリンクは押さない。メールはそのまま削除する。
• 契約しているメールサービスの状態を確認したいときは、メールのリンクからではなく、ブックマークしたログインページや、契約時の案内にある方法で確認する。
• メールから開いたログイン画面には、ユーザIDもパスワードも入力しない。
• 会社や組織のメールの場合は、管理者や担当部署にも共有する。

■ もしユーザIDとパスワードを入力してしまったら

1. メールのリンクは使わず、普段のログインページからログインして、すぐにパスワードを変更する。
2. メールの「転送設定」や「フィルタ（振り分け）設定」に、身に覚えのない設定が増えていないか確認する。
3. 同じパスワードを他のサービスでも使っている場合は、そちらも変更する。
4. 会社のメールの場合は、すぐに管理者へ連絡する。
5. 不安が残る場合は、消費者ホットライン「188」や、警察の相談窓口「#9110」に相談する。

まとめ

「万が一」への備えは、考え始めるときりがないもの。だからこそ、「無料で保険を」と言われると、つい読んでしまいますよね。その気持ちにつけ込む詐欺メールが、月曜のお昼に届きました。

1. 届いたメールの中身

カードの利用実績に基づく「特典」として、最大1億円補償の医療保険を無料で提供する、という案内でした。画面に見える本文は、このとおりです。

件名：【安心をプラス】アメックスが提供する無料の重大疾病保険

【ご招待】重大疾病保険 無料ご提供のご案内
平素よりアメリカン・エキスプレスのカードをご愛顧いただき、誠にありがとうございます。

このたび、会員様のご利用実績に基づき、選ばれた方への特典として、
入院・重大疾病に備える医療保険（最大1億円補償）を無料でご提供いたします。

補償内容（主な一例）
がん・心疾患・脳卒中に伴う入院：最大100万円
先進医療支援費用
在宅療養・通院治療への一部給付
年間補償上限：最大1億円
申請費用：完全無料
提供元：（実在の損害保険会社名）（Amex提携）

ご案内対象について
本キャンペーンは、一部の会員様を対象とした非公開のご招待制となっております。
ご案内メールを受け取られたお客様は、以下よりお申込みいただけます。

※ 受付締切：2026年11月13日（金）
※ 先着順となりますので、早めの申請をおすすめいたします。

[ 無料で保険を確認する] → hxxps://kaiamericchoolature.042ggss.asia/2ymmlo/hepe

（以下、「既存の保険があっても申し込める」「費用は完全無料」
「審査や事前登録も不要」といったQ&Aが続く）

▲ 実際に届いたメールの画面。保険の案内の下に、無関係な文章（隠したはずの文字）が漏れて見えています。

もっともらしい文面ですが、見直すと、おかしな点がいくつもあります。

• 差出人がアメックスではない。表示名は「American Express」でも、実際のアドレスは hiyaoroshi.com でした。しかも、送信元・差出人・返信先の3つのアドレスで、@より前の名前がすべて別人のような文字列（Halimeda／Marlie／Umakanth）になっています。
• 特別感と焦りを重ねている。「選ばれた方」「非公開のご招待制」と特別扱いをしておきながら、「先着順」「11月13日締切」と、すぐに申し込むよう急がせています。
• 実在の保険会社の名前を借りている。提供元として実在の損害保険会社の名前が書かれていますが、その会社が関わっているかどうかは確認できていません。名前の借用で、信頼感を高めようとしているとみられます。
• 話がかみ合っていない。保険は「審査や事前登録も不要」なはずなのに、リンク先で求められるのはカードのログイン情報です（くわしくは3章）。

2. 送信元を調べると

送信元のIPアドレスは98.17.181.52で、アメリカ・ネブラスカ州オマハの、回線事業者の「動的IP」でした。動的IPは、契約者に一時的に割り当てられるアドレスで、持ち主が変わりやすいものです。そのため、乗っ取られた機器や、他人の回線が使われた可能性もあります（これは推測です）。

メールに記録された送信時刻の時間帯は、日本より1時間少ない「＋0800」と書かれていました。オマハの時間帯とは大きく食い違っており、送信側が自分で書いた時刻の表記が、つじつまの合っていないことがわかります。

3. 見えない文字で、迷惑メール対策をすり抜ける

このメールで、いちばん技術的に目立つのは、画面に見えない文字を大量に仕込んでいる点です。メールのソース（HTML）をテキストエディタで開くか、本文をコードとして表示すると、画面に出ない部分が見えてきます。見つかったのは、次の3種類でした。

• 日本語の途中に、中国語の隠し文字。たとえば「アメリカン・エキスプレス」の「アメ」と「リカン」の間に、「自动」という中国語の文字が、画面に出ない設定で入っていました。「受付締切」の途中にも「设定」が隠れています。
• 画面に出ない、無関係な日本語の文章。「秘密保持契約（NDA）の最終承認を拝受したため、業務委託料の支払い手続きを再開いたします」「内部統制監査の結果を受け、全社的なフローの見直しが急務」「みんなの銀行のスマートフォン専用アプリのアップデート」など、保険とは関係のない文章がたくさん隠されていました。さらに、文章の途中に意味のない英数字を入れたHTMLのコメントも、あちこちに挟まっています。
• 目に見えない「タグ文字」。Unicodeという文字の規格には、画面に何も表示されない特殊な文字があります。この文字を本文の4か所に埋め込み、ASCIIの文字に直すと、たとえば「ご愛顧い」と「ただき」の間の17文字は JP-VERIFY-MW86ZIK という文字列でした。ほかの3か所も、それぞれ違う文字列でした。

いずれも、迷惑メールを見分けるフィルターに、「ふつうの文章が多いメール」「1通ごとに中身が違うメール」と思わせる狙いとみられます（これは推測です）。人間の目に見えない部分で、機械だけをだまそうとしているわけです。

ところが、肝心の隠し方が不完全でした。上のメール画面のとおり、隠したはずのNDAと業務委託料の文章が、保険の案内の下に堂々と表示されています。アメックスの無料保険のメールに、NDAや業務委託料の話が出てくるのは、さすがに不自然で、むしろ偽物の目印になっていました。

4. リンク先で起きること

「無料で保険を確認する」のボタンの行き先は、hxxps://kaiamericchoolature.042ggss.asia/2ymmlo/hepe でした（実際には、末尾に受信者ごとの識別用の長い文字列が付いています）。「american」を崩したような綴りを混ぜた、意味のない名前のドメインです。

このドメイン 042ggss.asia は、2026年4月1日、約7か月前に登録されたもので、登録業者は中国の事業者でした。向き先の43.165.135.154は、Tencentのホスティングで、ip-sc.netでは東京都渋谷区と表示されます。ただし、これはクラウド事業者のサーバーの所在地で、運営者の居場所を示すものではありません。当サイトで取り上げた別のカード系の詐欺メールの誘導先とも、同じ事業者のアドレス帯でした。同じ事業者が使われているというだけで、同一人物とは断定できません。

■ 手順1：「読み込み中…」の画面

リンクを開くと、まず「読み込み中…」とだけ表示される白い画面が出ます。そのあと、ログイン画面へ切り替わります。

▲ リンクを開いた直後の画面。ここから偽のログイン画面へ切り替わります。

■ 手順2：アメックスに似せた偽のログイン画面

次に現れたのは、「マイアカウントにログイン」という画面です。上部のメニューや、右側の広告のような画像まで、アメリカン・エキスプレスのサイトによく似せてあります。「ユーザーID」「パスワード」「アカウントタイプ」を入力して、「ログイン」を押す作りです。

保険の案内だったはずなのに、求められるのはIDとパスワードです。本物そっくりに見えても、ここに入力した内容は、アメックスではなく攻撃者に渡るおそれがあります。

▲ アメリカン・エキスプレスのログイン画面に似せた偽ページ。IDとパスワードを盗む作りになっています。

当サイトで確認できたのは、ログイン画面までです。入力したあとに続く画面は確認していません。また、当サイトで確認した限りでは、端末による表示の違い（見る人や端末によって表示を変える仕組み）はありませんでした。

5. 注意点と対処法

「無料で最大1億円」と言われれば、気になってしまうのは自然なことです。画面もよくできているので、開いてしまっても責められることではありません。落ち着いて、次のことを確認してください。

• メールの中のボタンやリンクは押さない。メールはそのまま削除する。
• カードの案内が気になるときは、メールのリンクからではなく、ご自身のアプリや、ブックマークした公式サイト、カード裏面の電話番号から確認する。
• メールから開いたログイン画面には、IDもパスワードも入力しない。
• 家族や知人にも、同じようなメールが届いたら無視するよう伝える。

■ もしIDとパスワードを入力してしまったら

1. メールのリンクは使わず、公式アプリや公式サイトからログインして、すぐにパスワードを変更する。
2. 同じパスワードを他のサービスでも使っている場合は、そちらも変更する。
3. カード裏面の電話番号へ連絡し、状況を伝えて、利用明細に覚えのない請求がないか確認する。
4. 不安が残る場合は、消費者ホットライン「188」や、警察の相談窓口「#9110」に相談する。

まとめ

朝の改札でSuicaをピッとかざす毎日。ポイントが貯まっていると思うと、ちょっと得した気分になりますよね。

そんな気持ちにつけ込む「JRE POINT 10周年」風の偽キャンペーンメールが届きました。結論から言うと、このメールは詐欺です。ボタンは押さず、そっと削除してください。

届いたメールの内容

今回は、同じ件名で差出人名だけが違うメールが、未明から朝にかけて3通届いていました。差出人名は「JRE POINT」「JRE POINT事務局」「JR東日本 JRE POINT担当」と、少しずつ変えてあります。

▲ 同じ件名・差出人名違いで3通届いた迷惑メール一覧

本文は、次のような内容でした（読みやすいよう、見た目の改行を整えて再現しています）。

JRE POINT 10周年謝恩キャンペーン
最大 10,000 ポイント

いつもJRE POINTをご利用いただき、
誠にありがとうございます。

10年間のご愛顧に感謝を込めて、
特別なポイントプレゼントをご用意いたしました。

【重要】本キャンペーンのポイント受け取りには、
JRE POINT会員情報のご確認が必要です。

■ キャンペーン特典
特典1：2,000ポイント（期間中、すべての方が対象です）
特典2／40歳以上の方限定※：8,000ポイント
　　　（特典1と合わせて最大10,000ポイント）

■ キャンペーン期間
2026年11月1日（日）〜 11月15日（日）
※ 11月15日 23:59 まで

[ ポイントを受け取る ]
受け取りにはJRE POINT会員情報の確認が必要です
▼ 詳しくはこちらをご覧ください。

■ 対象カード
ビューカード（Suica 一体型）
JRE POINT会員さまが対象です。
ご登録内容に不備がある場合、ポイントが付与されない場合がございます。

■ JRE POINTをもっと活用する
獲得ポイント数を伸ばすには
ポイント利用数を伸ばすには
Suica・ビューカードの登録方法

※ご利用のサービスにより、ポイント付与時期が異なります。
※「Suica登録状況」および「ビューカード登録状況」は、
　集計対象期間終了日の登録状況により判定します。
※本メールはJRE POINT会員さまへ自動送信しています。
※お心当たりのない場合は、本メールを破棄してください。

このメールアドレスは送信専用です。ご返信いただきましても
お返事できませんので、ご了承ください。
メルマガの配信停止　配信設定はこちらよりご確認ください。

サービス提供
東日本旅客鉄道株式会社
〒151-8578 東京都渋谷区代々木二丁目2番2号
https://www.jreast.co.jp/

▲ 実際に届いたメールの画面（※メールヘッダー詳細は個人情報保護のため非掲載）

緑色の見た目や会社の住所までよくできていますが、ここがいちばんの落とし穴です。画面に出ている「ポイントを受け取る」ボタンも、文中のリンクも、すべて公式サイトではない別のドメインにつながっています。

詳しく調べると分かったこと：ちぐはぐな「なりすまし」

• 1通のメールに3つのブランドが登場します。件名はヨドバシカメラ、本文はJRE POINT、誘導先はビューカード。ひとつのメールで3ブランドとは、さすがに欲張りすぎです。
• 差出人のアドレスがJR東日本とは無関係です。送信元は ftjtzf.mdskyy.com という、意味のない文字列を並べたドメインでした。
• SPFが「pass」でも安心できません。これは「このドメインから送るのは許可されている」という確認にすぎず、攻撃者が自分のドメインで設定すれば簡単に通ります。
• 送信ソフトの名乗りが矛盾しています。メールには「Thunderbird（パソコン用のメールソフト）」と「Android端末のスマホ用ブラウザ」の両方の名乗りが入っていました。器用なものですが、同時に使うことはありません。偽装の跡です。
• 送信元IPは日本のクラウドでした。35.187.216.245 は、東京都にあるGoogleのクラウドサーバーでした。ただ、クラウドは世界中から借りられるので、送った人が日本にいるとは限りません。
• 年齢で釣っています。「40歳以上の方限定」で8,000ポイントを上乗せする書き方は、特定の年代の「自分だけ特別」という気持ちを狙ったものです。

ボタンの先を調べました：3つのドメインを渡り歩く

「ポイントを受け取る」ボタンは、いきなり偽サイトへ行くのではなく、次のように何段階かを経由します。調査のため、警告画面を承知のうえで当サイトが確認しました。

① まずリダイレクタ（中継）を通る

メール内のリンクは、すべて ksdgzs.com という中継ドメインへ向かいます。フッターに見える「https://www.jreast.co.jp/」の表示文字まで、実際のリンク先は中継ドメインでした。表示とリンク先が違うのは、なりすましの典型です。この中継ドメインは、34.104.217.124（日本・東京都のGoogleのクラウド）にありました。

② 警告が出る（ウイルスバスター・Chrome）

転送先のURLは hxxps://tymckj[.]com/ でした。ここでウイルスバスターは「脅威の種類：フィッシング」とブロックし、ChromeもGoogleセーフブラウジングで「危険なサイト」と警告しました。警告が出たら、迷わずそこで引き返してください。これは安心材料でもあります。

▲ ウイルスバスターが「フィッシング」としてブロック

▲ Chromeも「危険なサイト」と警告

③ 偽の「10周年キャンペーン」画面が出る

警告を超えて表示すると、ビューカード風のヘッダーに、JRE POINT 10周年のロゴ風の大きな画像、特典1（2,000ポイント）、特典2（40歳以上限定で8,000ポイント）が並びます。「次へ」ボタンだけが用意されていて、押してもらうことが目的の画面です。

▲ 偽の「10周年謝恩キャンペーン」画面（ビューカード風のヘッダー付き）

④ 「次へ」の先は偽のVIEW’s NETログイン画面

「次へ」を押すと、ウイルスバスターが再びブロックしました。その先に表示されたのが、VIEW’s NETのサービスIDとパスワードを入力させる偽のログイン画面です。ここで入力した情報は、攻撃者に渡るおそれがあります。キャンペーンの「ポイント」は、このIDとパスワードを入力させるための餌でした。

▲ サービスIDとパスワードを入力させる偽のVIEW’s NETログイン画面

3つのドメインを、まとめて見てみると

ドメイン	役割	登録日	サーバーの所在
mdskyy.com	差出人のドメイン	2025年11月15日	送信元は日本（東京都）のクラウド
ksdgzs.com	リンクの中継	2025年11月15日	日本（東京都）のクラウド
tymckj.com	偽サイト本体	2025年12月10日	43.164.132.35（韓国・ソウルのクラウド）

• 差出人ドメイン（mdskyy.com）と中継ドメイン（ksdgzs.com）は、同じ日に約3分差で、同じ登録会社から登録されています。同じ運営者が用意した可能性が高いと考えられます。Whois上の登録者の所在は中国（湖南省）と記載されていますが、この記載が本当かどうかは分かりません。
• どちらも有効期限は2026年11月15日で、メールが書く「キャンペーン期間」の最終日と同じ日です。使い捨てのドメインらしい動きです。
• 偽サイト本体（tymckj.com）は別の登録会社で、2025年12月10日の登録です。日本→韓国と、サーバーの場所をまたいで運用されています。
• 端末や地域によって表示を切り替える仕掛け（クローキング）は、今回の確認では見られませんでした。

見分け方と、もし入力してしまったときの対処法

まず、この3つを覚えておいてください

• メールの中のボタンやリンクは押さず、ポイントやカードの確認は、いつも使っている公式アプリや、自分で登録したブックマークから行いましょう。
• 「会員情報のご確認が必要」「期間限定」「年齢限定」のような言葉でせかされたら、いったん手を止めてください。
• ブラウザやセキュリティソフトの警告が出たら、先へ進まず引き返してください。

もしIDやパスワードを入力してしまったら

• 慌てなくて大丈夫です。気づいた時点で、公式アプリや自分のブックマークからVIEW’s NETにログインし、パスワードをすぐに変更してください。
• 同じパスワードを他のサービスでも使っている場合は、そちらも変更しましょう。
• カードの利用明細に、身に覚えのない請求がないか確認してください。心配なときは、カード裏面に記載の連絡先に相談しましょう。
• カード番号や有効期限まで入力した場合は、カード会社へ早めに連絡して、利用の停止や再発行について相談してください。

だまされそうになったのは、あなたのせいではありません。公式そっくりに作られた、よくできた偽メールです。「おかしいな」と立ち止まれたこと自体が、いちばんの防御です。

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの所在地情報の参照元：ip-sc.net（IP調査兵団）

クレジットカードの明細が確定する時期になると、「お支払い金額が確定しました」というメールが気になりますよね。うっかり開きたくなるそのタイミングを、まさに狙った詐欺メールが大量に届いています。

1. 解析した1通 ── 件名・表示名・本文がバラバラ

11月9日の朝に届いた1通を詳しく調べました。ところが、この1通には不思議な点があります。件名は三井住友カード、表示名は国税庁、本文はe-Taxの還付のお知らせという、三つの別々の題材が混ざっているのです。

送る側が、件名・表示名・本文を別々のリストから組み合わせて配信している可能性があります。三井住友カードの件名で届いても、中身が別の題材のこともある、ということです。本文はこのような内容でした。

件名：【重要】ワンタイムパスワード設定のお願い（三井住友カード）
表示名：【国税庁 電子申告】

ご案内
寄附金控除（ふるさと納税）に係るお知らせ
令和7年分の確定申告について

還付対象額　76,300円
振込は受付後7営業日以内

納税者の皆様には、平素より国税行政にご協力をいただき、誠にありがとうございます。
このたび、令和7年分の所得税について、ふるさと納税の適用により還付が発生いたしました。
下記の還付内容をご確認のうえ、お手続きをお願いいたします。

還付明細
① 源泉徴収済みの税額　268,400円
② 寄附金控除適用後の確定税額　192,100円
③ 差引還付額（①－②）　76,300円

お手続きの流れ
1 e-Taxにログイン
2 還付内容をご確認
3 受取口座を登録・完了

[受取手続きを行う] → hxxps://13u7.com/nNLk1lRm1b.jp

※国税庁が口座番号・暗証番号・パスワード・クレジットカード情報などを、メールや電話で直接お尋ねすることは一切ございません。
※このような情報を求める連絡には十分ご注意ください。

国税庁　〒100-8978 東京都千代田区霞が関三丁目1番1号
法人番号 7000012050002　© National Tax Agency

▲ 実際に届いたメールの画面。添付ファイル欄に、見慣れない拡張子のファイルが付いています。

なお、11月8日に届いた三井住友カード系のメールには、本文も三井住友カードの体裁のものがありました。たとえば「新しい端末でのログイン確認」という見出しで、「Vpassアカウントに通常と異なる端末からのログインが確認されました」と不安をあおり、「三井住友カードアプリをダウンロード」させようとするものです。こちらの送信元は別のドメインでしたが、手口は同じ系統です。

本文に、国税庁の実在の所在地や法人番号まで書き写し、「国税庁が口座番号などをお尋ねすることは一切ございません」という注意書きまで偽造しているのも、本物らしく見せるための工夫です。

2. 約240通・件名103種の一覧

11月8日（日）に当サイトの受信箱へ届いたメールの件名を、系統別に整理しました。約240通のうち、重複を除いて103種類です。どの件名で届いても、同じ系統の詐欺メールとみて差し支えありません。心当たりのある件名があれば、そのメールは開かずに削除してください。

▲ 受信箱の様子。「【重要】」「【至急】」「【要確認】」などの見出しが、ずらりと並びました。

■ A. 支払い・請求（金額確定）系（18種類）

• 今月のお支払い金額が確定しました
• 11月分お支払い金額確定のお知らせ
• お支払い金額とお引き落とし日のご案内
• ご利用明細確定のお知らせ
• お支払い金額をご確認ください
• 【三井住友カード】11月分お支払い金額確定のお知らせ
• 【三井住友カード】ご利用明細確定のお知らせ
• 【Vpass】お支払い金額をご確認ください
• 【お知らせ】お支払い金額確定のご案内
• 【お知らせ】お支払い金額確定に関するご連絡
• 【お支払い】カードご利用代金のご請求に関するお知らせ
• 【お支払い】11月分のお支払い金額についてのご案内
• 【ご請求】カードご利用代金のお知らせ
• 【お知らせ】ご利用代金のお支払い金額について
• 【重要】ご請求金額のお知らせ
• 【重要】お支払い金額についてのご連絡
• 【重要通知】お支払い金額のご案内
• 【ご利用明細】11月分カードご利用代金確定のお知らせ

■ B. キャッシュバック・プレゼント系（6種類）

• 【三井住友カード】対象カード限定！もれなく5000円キャッシュバック
• 【三井住友カード】ご案内が届いた方限定！5000円プレゼント
• 最大5000円キャッシュバック！Vpassアプリログインキャンペーン
• 対象カードで500円以上ご利用の方へ もれなく5000円キャッシュバック
• 対象カード限定！もれなく5000円キャッシュバック
• 【三井住友カード】Vpassアプリログインとカードご利用で5000円キャッシュバック

■ C. ワンタイムパスワード・アカウント停止・ログイン確認系（11種類）

• 【重要】ワンタイムパスワード設定のお願い（三井住友カード）
• 【重要】三井住友カード ワンタイムパスワード設定のお願い
• 【重要】アカウント一時停止に伴うご確認のお願い（三井住友カード）
• 【重要】セキュリティ強化のためワンタイムパスワードをご設定ください
• 【重要】三井住友カード 端末ログイン確認のお知らせ
• 【重要】Vpassアカウントへのログイン確認のお願い
• 【重要通知】異常なアクセスに関するご案内
• セキュリティ通知：不審なログイン
• 三井住友カード 不審アクセスのご案内
• 三井住友カード ログイン通知
• 不審なログイン検知のお知らせ

■ D. パスワード・メールアドレス・ID変更系（28種類）

• 【要確認】パスワードが変更されました
• 【要確認】パスワードの変更が完了いたしました
• 【重要通知】パスワード変更手続き完了のご通知
• 【重要通知】パスワード変更完了のお知らせ
• 【至急】パスワード変更完了に関するお知らせ
• 【要確認】Vpassパスワード変更に関するお知らせ
• 【セキュリティ】Vpassログインパスワード変更のご案内
• 【セキュリティ通知】Vpassパスワード変更についてのご案内
• 【至急確認】Vpassパスワード変更のお手続き完了
• パスワード変更手続きが完了いたしました
• パスワード変更手続き完了のご連絡
• パスワード変更完了のご連絡
• ご登録パスワード変更完了のお知らせ
• 【至急確認】Eメールアドレスが変更されました
• 【重要通知】Eメールアドレスが変更されました
• 【セキュリティ】メールアドレス変更のご確認
• 【要確認】Vpass Eメールアドレス変更のご確認
• 【重要通知】Eメールアドレス変更手続き完了のお知らせ
• 【要確認】Eメールアドレスの変更手続き完了
• 【重要】登録メールアドレス変更完了のお知らせ
• 【要確認】メールアドレスの変更が完了しました
• 【重要通知】Eメール変更手続き完了のお知らせ
• 【セキュリティ】Eメール変更手続きの完了通知
• SMBC ID変更受付に伴うご案内
• 三井住友カード アカウント変更完了のご連絡
• 三井住友カード ID変更手続き完了のご案内
• 三井住友カード ID変更受付のご案内
• 三井住友カード アカウント変更受付のご連絡

■ E. 不正利用検知・カード停止・利用制限・ご利用確認系（19種類）

• 【重要】不正利用検知によるカード停止のお知らせ
• 【重要】不正利用検知によるカード制限のお知らせ
• 【重要】カード利用制限に関するお知らせ
• 【セキュリティ通知】カード利用一時停止のお知らせ
• 【至急】カード利用停止のお知らせ
• 【至急確認】カードの一時停止について
• 【重要通知】不審な利用によるカード制限のご案内
• 【至急】カードの安全確保のための利用制限
• 【セキュリティ】カード利用制限のご連絡
• 【至急】カードのご利用が一時制限されました
• 【セキュリティ】カードのご利用確認に関するお知らせ
• 【至急確認】カードご利用内容の確認依頼
• 【要確認】「三井住友カード」ご利用確認のご連絡
• 【重要】カードご利用についてのご確認
• 【至急】カード利用に関する確認のお願い
• 【至急】カードご利用の確認のお願い
• 【重要通知】カードの取引内容に関するご連絡
• 【重要】ご利用内容についてのお知らせ
• 【セキュリティ通知】カード利用の確認に関するお知らせ

■ F. Apple Pay系（9種類）

• 【重要通知】Apple Pay登録についてのご案内
• 【要確認】Apple Payカード追加のご確認
• 【重要】Apple Payへのカード登録に関するお知らせ
• 【要確認】Apple Payにカードが追加されました
• 【至急】Apple Pay登録手続き完了のお知らせ
• 【至急確認】Apple Payカード登録完了のご通知
• 【セキュリティ通知】Apple Payへのカード登録のご連絡
• 【重要通知】Apple Payカード設定完了のご案内
• 【セキュリティ】Apple Payへのカード追加完了のご連絡

■ G. Vポイント（失効・有効期限）系（10種類）

• 【至急確認】Vポイントの失効に関するご連絡
• 【重要通知】保有Vポイントの有効期限に関するご案内
• 【至急】Vポイントの有効期限切れに関するお知らせ
• 【至急】保有ポイントの有効期限が迫っています
• 【重要】Vポイント失効に関するお知らせ
• 【重要】「三井住友カード」Vポイント失効のご案内
• 【要確認】Vポイント有効期限まもなく終了のお知らせ
• 【至急】Vポイント有効期限のお知らせ
• 【重要通知】Vポイント期限切れのお知らせ
• 【セキュリティ】保有Vポイントの失効に関するお知らせ

■ H. アンケート系（2種類）

• ご利用満足度アンケートご協力のお願い
• ご利用満足度調査のご案内

■ 確認できた表示名（差出人名）

• 三井住友カード／【三井住友カード】
• 【SMBC】／【SMBC セキュリティ通知】
• Vpass／Vpassキャンペーン
• 自動配信
• 【国税庁 電子申告】（11月9日の2通のみ）

当サイトでの観測では、こうした大量配信は件名や題材を変えながらしばらく続く可能性が高いと見ています。同じ朝には、内閣府の世論調査を装うメールも約170通届きました。同じような手口が、複数の題材で同時に動いているようです。

内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～は詐欺メール！公式アプリは偽物

3. 詳しく調べると分かった「偽装」

ここからは、詳しく調べて分かったことです。難しく感じたら、飛ばして「5. 注意点と対処法」へ進んでも大丈夫です。

• 差出人名が「裏返し」に書かれている：画面に「【国税庁 電子申告】」と見える名前は、実は文字を逆順に並べ、表示の向きを切り替える特殊な制御文字で正しい順に見せかけたものでした。
• 件名に空白や見えない文字が混ざっている：件名は「【 重 要 】」のように文字の間に空白が入り、さらに画面に出ない文字（ゼロ幅文字）も混ぜてありました。件名や差出人名をテキストエディタに貼り付けると、見えない文字が記号として表示されるため、気づくことができます。キーワードによる迷惑メール判定を避けるための工夫とみられます。
• SPF「合格」は安心材料にならない：SPFは「そのドメインから送ってよいサーバーか」を確かめる仕組みです。今回は攻撃者が用意した13u7.com自身に対する合格で、三井住友カードとも国税庁とも関係がありません。
• DKIM署名が2つ付いている：1つは攻撃者のドメイン、もう1つはgmail.com名義です。攻撃者のサーバーから出たメールにGoogleの署名が付くのは不自然で、正規のものとは考えにくいと言えます。ただし、検証結果までは確認できていません。
• 添付ファイルは「飾り」：付いていたewp.mgsは約40バイトしかなく、意味のない文字の羅列とみられます。件名は三井住友カード、表示名は国税庁、本文はe-Tax。肝心の添付まで中身がないのは、さすがに手抜きでした。

4. ボタンの先は端末で変わる ── スマホには「偽のGoogle Play」

本文のボタンは、hxxps://13u7.com/nNLk1lRm1b.jpという短いURLにつながっています。ここを開いた端末によって、行き先が分かれることを確認しました（クローキング）。

• パソコンで開くと：hxxps://bioenterpris-jp.com/へ移動し、QRコードが表示されます。スマホで読み取らせて、スマホ側へ誘導するためとみられます。
• スマホ（Android）で開くと：hxxps://oneartharcn-jp.com/へ移動します。Google Playのアプリ紹介ページに似せた偽サイトで、「eTax国税庁」というアプリが、4.8★・50万+ダウンロードのように表示されます。

▲ スマホで開くと表示される偽ページ。「ステップ1〜3」の手順で、不明なアプリの許可を促します。

偽ページの手順には、「更新をクリック」「VPN接続のリクエストにOK」「この提供元のアプリを許可」といった操作が並んでいました。本物のGoogle Playでのアプリの入手に、このような操作は必要ありません。「不明なアプリのインストール」を許可させるのが狙いです。

短縮URLのドメイン13u7.comは、2024年12月25日に登録されたもので、レジストラは中国の事業者、ネームサーバーはCloudflareでした。向き先は43.165.189.240（Tencentのホスティング。ip-sc.netでは東京都渋谷区）です。いずれもクラウド事業者のサーバーの所在地で、運営者の居場所を示すものではありません。

「〜-jp.com」という名前の誘導先や、偽のアプリ紹介ページで不明なアプリの許可を促す点は、当サイトの別記事で解説した内閣府を装うメールや、e-Taxを装うメールと共通しています。

e-Taxを装う不正アプリ誘導メールの解説記事

内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～は詐欺メール！公式アプリは偽物

5. 注意点と対処法

カード会社からの「お支払い金額確定」や「不正利用検知」のメールは、本物と見分けがつきにくく、思わず開いてしまうのも無理はありません。責められることではありませんので、落ち着いて、次のことを確認してください。

• メールの中のボタンやリンクは押さない。案内されたアプリも、ダウンロードしない。
• スマホに「不明なアプリのインストールを許可しますか？」と出たら、許可しない。
• カードの状況を確認したいときは、メールのリンクからではなく、ご自身で登録しているアプリや、ブックマークした公式サイトから確認する。
• 不安なときは、カード裏面に書かれた電話番号に問い合わせる。
• 家族や知人にも、同じような件名のメールが届いたら無視するよう伝える。

■ もしアプリを入れてしまったら

1. そのアプリを開かず、アンインストール（削除）する。
2. スマホの設定で、不明なアプリのインストール許可をオフに戻す。
3. Google Playプロテクトなどのセキュリティスキャンを実行する。
4. カード番号やパスワードを入力してしまった場合は、カード裏面の電話番号へすぐに連絡し、利用停止やパスワード変更の相談をする。
5. 不安が残る場合は、消費者ホットライン「188」や、警察の相談窓口「#9110」に相談する。

まとめ

月曜日の朝、出かける支度をしながらスマホを見たら、通知がいつまでも止まらない。そんな朝を迎えた方もいらっしゃるかもしれません。当サイトの受信箱でも、まさにそれが起きていました。

1. 届いたメールの本文（再現）

「内閣支持率の世論調査にご協力ください」という、ごくもっともらしい依頼です。宛名は「住民の皆様」で、回答は「公式アプリをダウンロードして」行う形になっています。

件名：内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～
表示名：世論調査受付窓口

住民の皆様

平素より、内閣府の施策に対しご理解とご協力を賜り、厚く御礼申し上げます。
このたび、内閣府では、内閣支持率に関する世論調査を実施することとなりました。本調査は、内閣の施策に対する国民の皆様のご意見を把握し、今後の政策の参考とすることを目的としております。

■調査概要
- 調査目的：内閣支持率及び政策に対する意識を把握すること。
- 対象：全国の18歳以上の男女のうち、統計的手法により無作為に抽出された方々。
- 回答方法：公式アプリをダウンロードしてアンケートに回答する
- 所要時間：約3分
- 回答期限：2026年11月9日（月曜日）23:59

▼アプリをダウンロードのうえ、アンケートにご回答いただく。
[公式アプリのダウンロード] → hxxps://xpzls.com/t/fpayq

※本メールは調査対象者本人宛です。URLの転送・共有はご遠慮ください。
※個人情報は調査目的以外に使用しません。パスワード・口座情報等はお尋ねしません。

お問い合わせ：内閣府 世論調査事務局
電話：03-XXXX-XXXX（平日10:00～17:00）　※番号は伏せています

内閣府大臣官房政府広報室 世論調査担当

▲ 実際に届いたメールの画面。添付ファイル欄に、見慣れない拡張子のファイルが付いています。

2. 約1時間で約170通 ── 件名8種類の波状攻撃

当サイトの受信箱には、6時32分から7時34分までの約1時間に、同じ手口のメールが約170通届きました。しかも、すべてに添付ファイルが付いていました。件名は次の8種類で、表示名と組み合わせを変えながら何度も届いています。

■ 確認できた件名（8種類）

• 内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～
• 【重要】内閣府世論調査へのご協力のお願い
• 内閣府大臣官房政府広報室：内閣支持率に関する世論調査のご案内
• 【内閣府】内閣支持率に関する世論調査の実施について（ご協力のお願い）
• 【内閣府世論調査】公式アプリによるご回答のお願い
• 【内閣府】世論調査の実施に係るご協力のお願い
• 【内閣府】世論調査へのご協力について
• 内閣支持率及び政策に対する意識に関する世論調査の実施について

■ 確認できた表示名（差出人名・7種類）

• 内閣府
• 内閣府大臣官房政府広報室
• 世論調査受付窓口
• 世論調査ご案内担当
• 世論調査担当
• 世論調査係
• 世論調査実施本部

▲ 受信箱の様子。同じような件名のメールが、数十秒おきに並び続けました。

解析した1通以外は、個別に開封・解析していません。ただ、件名と表示名が違うだけで、本文のテンプレートは同じ系統とみられます。件名も表示名も使い回しているため、どの件名で届いても同じ詐欺メールと考えて差し支えありません。

当サイトでの観測では、このような「同じテンプレートの大量配信」は、件名や日付を変えながら、しばらく続く可能性が高いと見ています。今日見かけなかった件名で、明日また届くかもしれません。

3. 詳しく調べると分かった「偽装」

ここからは、詳しく調べて分かったことです。難しく感じたら、飛ばして「5. 対処法」へ進んでも大丈夫です。

• 差出人名が「裏返し」に書かれている：画面に「世論調査受付窓口」と見える名前は、実は文字を逆順に並べ、表示の向きを切り替える特殊な制御文字で正しい順に見せかけたものでした。
• 見えない文字が混ぜてある：件名や差出人名の中に、画面では見えない文字（ゼロ幅文字）が入っています。件名や差出人名をテキストエディタに貼り付けると、見えない文字が記号として表示されるため、気づくことができます。迷惑メール対策のチェックをすり抜けようとする工夫とみられます。
• 送信経路が偽装されている：メールの経路情報に、国内大手通信会社の中継サーバーを通ってきたように見える行が書き込まれていました。しかし実際の着信経路とは合わず、送信者が書き足した偽の記録と判断できます。
• SPF「合格」は安心材料にならない：SPFは「そのドメインから送ってよいサーバーか」を確かめる仕組みです。今回は攻撃者が用意したxpzls.com自身に対する合格で、内閣府とは何の関係もありません。
• 添付ファイルは「飾り」：付いていたHiWd6VC.ahielは約9バイトしかなく、中身のない飾りとみられます。170通も送っておきながら、添付の中身は9バイト。本物らしく見せたかったのでしょうが、肝心のところが手抜きでした。

4. ボタンの先には何がある？（先行記事の調査結果）

このメールの「公式アプリのダウンロード」ボタンの先は、hxxps://xpzls.com/t/fpayqでした。これは、当サイトが同じ日に公開した先行記事で詳しく調べたURLと同じです。先行記事の調査では、開いた端末によって行き先が変わることが分かっています。

• パソコンで開くと：本物の内閣府の世論調査サイトへ移動します。疑われにくくするための工夫です。
• Androidで開くと：Google Playのアプリ紹介ページに似せた偽サイト（hxxps://perlyperlygi-jp.com/）へ移動し、「不明なアプリのインストール」を許可させようとします。

なお、xpzls.comの向き先は160.124.139.199で、ip-sc.netの推定では南アフリカ・ハウテン州の事業者のサーバーでした（ネットワークの登録情報は香港の事業者）。サーバーの場所は、運営者の居場所を示すものではありません。

手口の詳細は、こちらの先行記事で解説しています。

内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～は詐欺メール！公式アプリは偽物

同じように「アプリを入れさせる」手口は、e-Taxを装ったメールでも確認されています。題材が変わっても、狙いは同じです。

e-Taxを装う不正アプリ誘導メールの解説記事

5. 注意点と対処法

こうしたメールは、誰にでも届く可能性があります。「うっかり開いてしまった」「少し気になった」という方を責める必要はまったくありません。次のことだけ、覚えておいてください。

• メールの中のボタンやリンクは押さない。「公式アプリ」の案内があっても、ダウンロードしない。
• スマホに「不明なアプリのインストールを許可しますか？」と出たら、許可しない。
• 回答期限が書いてあっても、急ぐ必要はありません。期限をあおるのは詐欺の常套手段です。
• 不安なときは、メールのリンクからではなく、ご自身で内閣府の公式サイトを検索して確認する。
• 家族や知人にも、この件名のメールが届いたら無視するよう伝える。

■ もしアプリを入れてしまったら

1. そのアプリを開かず、アンインストール（削除）する。
2. スマホの設定で、不明なアプリのインストール許可をオフに戻す。
3. Google Playプロテクトなどのセキュリティスキャンを実行する。
4. 入力してしまった情報があれば、そのパスワードを変更する。
5. 不安が残る場合は、消費者ホットライン「188」や、警察の相談窓口「#9110」に相談する。

まとめ

月曜日の朝、通勤電車や出かける前のひとときにスマホを開いたら、「内閣府」からお知らせが届いていた。しかも内容は、世の中の関心が高い「内閣支持率の世論調査」。つい開いてしまう人も多いはずです。

先に結論をお伝えします。これは内閣府からのメールではありません。「公式アプリ」のダウンロードを迫る詐欺メールです。しかも、パソコンで開くと本物の内閣府のサイトに飛ばし、スマホで開いたときだけ偽のアプリ配布ページに誘導するという、巧妙な仕掛けまで施されていました。

届いたメールの内容

メールは「住民の皆様」宛てで、紺色のきれいなデザインの本文でした。内容を、見えない文字を取り除いて書き起こすと次のとおりです。

件名：内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～
表示名：世論調査受付窓口

住民の皆様

平素より、内閣府の施策に対しご理解とご協力を賜り、厚く御礼申し上げます。
このたび、内閣府では、内閣支持率に関する世論調査を実施することとなりました。本調査は、内閣の施策に対する国民の皆様のご意見を把握し、今後の政策の参考とすることを目的としております。

■調査概要
- 調査目的：内閣支持率及び政策に対する意識を把握すること。
- 対象：全国の18歳以上の男女のうち、統計的手法により無作為に抽出された方々。
- 回答方法：公式アプリをダウンロードしてアンケートに回答する
- 所要時間：約3分
- 回答期限：2026年11月9日（月曜日）23:59

▼アプリをダウンロードのうえ、アンケートにご回答いただく。
[公式アプリのダウンロード]  → hxxps://xpzls.com/t/fpayq

※本メールは調査対象者本人宛です。URLの転送・共有はご遠慮ください。
※個人情報は調査目的以外に使用しません。パスワード・口座情報等はお尋ねしません。

お問い合わせ：内閣府 世論調査事務局
電話：03-XXXX-XXXX（平日10:00〜17:00）　※番号は伏せています

内閣府大臣官房政府広報室 世論調査担当

▲実際に届いたメールの画面（表示名は「世論調査受付窓口」）

注目してほしいのは、回答期限が「今日の23:59」に設定されていることです。「今日中に」と言われると、人はつい急いで操作してしまいます。また、「パスワード・口座情報等はお尋ねしません」と先回りして安心させる一文もあります。これも詐欺メールによくある手口です。

今朝は6時半すぎから約1時間のあいだに、表示名や件名を少しずつ変えた同じ筋書きのメールが続けざまに届いていました。表示名は「世論調査係」「内閣府大臣官房政府広報室」「世論調査ご案内担当」など、件名も「【内閣府世論調査】公式アプリによるご回答のお願い」など10種類ほどあり、数で押してくる大量配信型です。

なお、メールの問い合わせ先として電話番号も書かれていましたが、この記事では番号を伏せています。メールに書かれた電話番号には、かけないでください。確認したいときは、ご自身で調べた公式の連絡先を使いましょう。

送信元を調べてわかったこと

メールを送ってきた本当の場所（送信元IPアドレス）は 104.46.236.188 でした。調べると、Microsoftが運営するクラウドサービスのIPアドレスで、場所は大阪府大阪市と表示されました。脅威レベルは「低」です。

つまり、大手のクラウドを借りて送っているため、IPアドレスの評判だけでは怪しさを見抜けません。送信者が自分で用意したドメイン（xpzls.com）についても、メールの「なりすまし防止チェック」であるSPFは合格（pass）になっていました。これは「そのドメインから送った」ことを示すだけで、内閣府からのメールという証明にはなりません。

メールの経路の記録には、国内大手の通信会社の中継サーバーを通ってきたかのような行も混ざっていました。ところが、実際に受け取った経路とは辻褄が合いません。送信者が最初から書き込んだ、偽の経路情報と考えられます。

添付ファイル HiWd6VC.ahiel は、拡張子が不審なため開いたり実行したりしていません。メールのソース上のサイズは約9バイトで、文書やアプリとして使える大きさではありません。添付のクリップマークで本物らしく見せたり、迷惑メール判定を惑わせたりするための、ダミーと考えられます。

ちなみに、メール本文の上部にある紺色の帯は、画像が読み込まれないと代わりの文字が「世」の一文字だけ表示されていました。せっかく豪華に作ったデザインなのに、肝心のところでうっかりしているのが詰めの甘い点です。

見えない文字と「逆さの名前」で検索をすり抜ける

詳しく調べると、このメールには、ふつうに読んでいるだけでは気づけない細工がありました。

• 件名に4か所、本文に53か所の「見えない文字」（ゼロ幅文字）が、言葉の途中に埋め込まれていました。
• 送信者の表示名は、画面では「世論調査受付窓口」と読めます。しかし実際の並びは逆順の「口窓付受査調論世」で、先頭に付けた制御文字が、画面に出すときだけ正しい順番に並べ直していました。

こうしておくと、「内閣府」「世論調査」などの言葉で検索しても、メールが見つかりません。言葉で迷惑メールを探したり、自動で仕分けたりする仕組みをすり抜けるのが狙いと考えられます。

表示名を逆さに書いておいて、制御文字で見た目だけ整えるという、ずいぶん手の込んだことをしています。その手間を、もう少し別のことに使えなかったものでしょうか。

誘導先のサイトを調べる：開く端末で行き先が変わる

• パソコン：セキュリティのブロックがかかったあと、本物の内閣府の世論調査サイト（survey.gov-online.go.jp）に移動する。
• スマホ（Android）：hxxps://perlyperlygi-jp.com/ という、不正アプリを配布する偽のサイトに移動する。

こうして調べる側（パソコン）には本物の内閣府のサイトを見せ、被害に遭わせたい側（スマホ）にだけ偽物を見せていると考えられます。これで、通報や調査を受けても「ただ内閣府のサイトに飛ぶだけ」に見せられるわけです。

スマホ側の偽サイトは、Google Playのアプリ紹介ページにそっくりです。内閣府のマークを使った「世論調査」というアプリが、★4.8、ダウンロード1000万以上と表示され、緑の「インストール」ボタンが並んでいます。ここまで見た目を似せているのは、疑う気持ちを弱めるためです。

▲スマホで開くと表示された、偽のアプリ紹介ページ

さらに、ページには「アプリを更新」「接続内容を確認」「インストールを許可」という3つの手順が図で示され、「不明なアプリのインストール」の許可をオンにさせようとしていました。これを許可すると、Google Play以外から入手した、危険なアプリを入れることができてしまいます。このサイトのドメイン名に「jp」が入っているのも、日本のサイトに見せるための工夫でしょう。

なお、iPhoneで開いたときにどう表示されるかは確認できていません。また、偽サイトの所在地は調べていません。

e-Taxの「アプリ誘導」から、内閣府へ

最近は、国税庁（e-Tax）を名乗って「アプリを入れさせる」型の詐欺メールが大量に届いていました。今回の内閣府の世論調査メールは、その同じ「アプリを入れさせる」流れで、名乗る相手だけを替えたものとみています。さらに今朝は、表示名が「国税庁 電子申告」のまま、中身は別のカード会社を名乗るメールも見つかっています。名乗る相手を次々に入れ替えながら、同じ仕組みで送り続けているようです。

e-Taxの不正アプリ誘導については、こちらの記事で詳しく解説しています。
e-Taxを装う不正アプリ誘導メールの解説記事

注意点と対処法

• メールのボタンやリンクは押さない。本物の調査を確かめたいときは、検索や、ふだん使っているブックマークから、内閣府の公式サイト（世論調査｜内閣府）を開きましょう。
• 内閣府の公開資料では、世論調査は無作為に選ばれた人のところへ調査員が訪問するか、調査票を郵送する方法で行うと説明されています。少なくとも私が確認した範囲では、メールでアプリを入れさせて回答させる方法は出てきませんでした。
• 「不明なアプリのインストール」は許可しない。アプリは、Google Playなど公式のストアから入れるのが基本です。
• メールに書かれた電話番号や、リンク先のサイトに表示された連絡先には連絡しない。

もしアプリを入れてしまったら

• すぐに機内モードにして通信を切り、スマホの「設定」から該当のアプリを削除する。削除できないときは、端末の相談窓口などに相談する。
• 「不明なアプリのインストール」の許可を、もう一度オフにする。
• 銀行やクレジットカード、よく使うサービスのパスワードを、別の安全な端末から変更し、利用明細を確認する。
• 不安なときは、警察相談専用電話「#9110」や消費者ホットライン「188」に相談する。警察庁のサイバー事案の相談窓口もあります。
• 見つけた詐欺メールの情報は、フィッシング対策協議会への報告で、被害を減らす助けになります。

うっかり開いてしまっても、責める必要はありません。アプリを入れる前に気づけたなら、それで十分です。

まとめ

「内閣府世論調査事務局からのお知らせ」は詐欺メールです。アンケートに答えさせるふりをして、不正なアプリを入れさせるのが目的でした。パソコンでは本物の内閣府のサイトを見せ、スマホにだけ偽物を見せる仕掛けのため、「確認したら大丈夫だった」という人が出てしまう点も厄介です。今日が回答期限、という急かしにも乗らず、メールの「公式アプリ」は入れないことを、ご家族やお友達にも伝えてください。

Data Provided by Heartland-Lab Security Research Unit ｜ IPアドレスの情報は ip-sc.net を参照しています