【iCloud「次回請求についてのお知らせ」は詐欺メール】テキスト表示で“別のメール”が出てきた

2026年8月31日

iCloudを騙る「次回請求についてのお知らせ」は詐欺メール

このメールは、見えている本文だけでは終わりません。テキスト表示へ切り替えると、HTMLでは隠されていた別の文章まで現れました。リンクは開かず、Apple Accountの情報を入力しないでください。

危険度：★★★★★（5/5）

支払い失敗を装って「お支払い方法を更新する」よう促し、最終的にはApple Accountを模した偽ログイン画面へ誘導します。確認時にはウイルスバスターが誘導先を「フィッシング」と判定しました。

まずは、実際に届いたメール

実際に届いたiCloudを装う「お支払いに失敗しました」メール

件名は「iCloud次回請求についてのお知らせ」。本文には「お支払いに失敗しました」「お支払い方法を更新する」「50GBのストレージ（月額）150円」といった、請求トラブルを装う内容が表示されています。

ところが、画面をよく見ると日本語の途中に ??あ9="さわかli"、??ぬx="tc9ly" といった意味不明な文字列が混ざっています。単なる文字化けに見えますが、メールソースを確認すると、もっと複雑な仕掛けが見えてきます。

※メールヘッダー詳細は個人情報保護のため非掲載

テキスト表示に切り替えると、HTML表示では見えていなかった文章が出現

HTML表示をやめてテキスト表示へ切り替えると、HTML画面では見えていなかった文面が表へ出てきます。さらに末尾には、iCloudの請求とは関係のない丁寧なビジネス挨拶文が長々と続きます。

「誰ですか、あなた？」——HTMLの裏から別の本文が出現

これはメールのテキストパートを表示したことで発見できたものです。見えているHTML本文だけを読んでいた場合、この別文面には気づきません。

HTML表示とテキスト表示の差に気づいたため、メールソースを確認しました。するとHTML側には、別本文を人間の画面から隠すための指定が複数確認できました。

つまり、文章そのものが存在しないのではなく、HTML表示では見えないようにしているわけです。一方、プレーンテキスト表示ではCSSによる非表示処理が効かないため、隠していた文章がそのまま見えるようになります。

ソース内では、ゼロ幅系のUnicode文字を単語の途中へ混ぜたり、HTMLコメントを日本語の途中へ挿入して文字列を分断したり、意味のない data-* 属性を混ぜたりする処理も確認できます。

人間には読めても、内部の文字列は素直ではない

狙いそのものは断定できませんが、単純なキーワード一致型のメールフィルターを避けるための難読化を意識した可能性があります。

実際の送信元ドメインは mail11.zsgrxkd[.]cn。外部からの最初のReceivedとReceived-SPFで確認できた送信元IPは 108.174.195.204 です。

SPFはPass。それでもApple公式とは限りません

今回のSPF Passは、zsgrxkd[.]cn 側がその送信元を認めているという意味です。「Appleのメールである」と証明するものではありません。DKIM署名は存在しますが、提示されたヘッダーには検証結果がないため dkim=unknown としています。

HTMLソースでは、次の2つの誘導先が確認できます。

確認時には、両ドメインとも 198.44.36.60 へ解決されました。IP調査では米国・ワシントン州Seattle判定、HostWinds LLC、AS54290、ホスティング／データセンター系のプロキシとして検出されています。

送信元と誘導先で同じASN「AS54290」を確認

これは観測できた共通点です。ただし、この事実だけで送信者と偽サイト運営者が同一人物・同一組織だと断定することはできません。