【重要】「iCloud写真の自動削除予定のお知らせ」は詐欺メール｜TEXT表示で「教材用の例示表記」、スマホでは偽Apple Accountへ

HL-META: date=2026-09-18 | brand=Apple・iCloud | sender_geo=南アフリカ | site_geo=unknown | spf=pass | dkim=pass | cloaking=yes

📋 調査レポート：概要

危険度評価	★★★★★（5/5）
騙られたブランド	Apple / iCloud
件名	【重要】iCloud写真の自動削除予定のお知らせ No.08534394
送信者表示名	Apple Music（実際の送信ドメインはApple公式ではありません）
SPF / DKIM	SPF：Pass / DKIM：Pass。ただし攻撃者側ドメインでの認証であり、Apple公式であることを示すものではありません。
送信元IP	102.37.41.130（AS8075 / Microsoft Corporation。位置情報DB上は南アフリカ・ヨハネスブルグ。クラウド基盤のため送信者の実所在地とは断定できません）

※メールヘッダー詳細は個人情報保護のため非掲載

「写真234件を9月20日に削除」で焦らせる本文

メールは「iCloudストレージが上限に達した」として、使用量を5GB中4.98GB（99.6%）と表示。さらに「iCloud写真234件」「自動削除予定日：2026年9月20日」と具体的な数字を並べ、無料の容量追加手続きへ誘導します。

平素よりAppleをご利用いただき、誠にありがとうございます。

お客様のApple IDのiCloudストレージが上限に達しました。このまま容量超過の状態が続くと、iCloudに保存されている写真が自動的に削除されます。

■ ストレージの状況
対象のApple ID：[メールアドレスは非掲載]
現在の使用量：5GB中 4.98GB（99.6%）
削除対象：iCloud写真 234件
自動削除予定日：2026年9月20日

削除を回避するには、30日以内に容量の追加手続きが必要です。今なら初月無料で追加容量をご利用いただけます。

写真を保護する（無料手続き）：
hxxps://www[.]yunxingzhiye[.]com/…

Copyright (C) 2026 Apple Inc. All rights reserved.（教材用の例示表記）

実際に受信したHTMLメール。見た目はApple風ですが、細部を調べると不自然な加工が見つかります。

🔍 「Apple」の文字だけ少し下にずれている理由

受信画面をよく見ると、本文中の「Apple」だけ周囲の日本語より少し下にずれて見えます。HTMLソースを確認すると、この部分は普通の文字ではなくSVGという画像に近い仕組みで文字を描画しており、さらに縦位置をマイナス3pxずらす指定が入っていました。

見た目をAppleらしく寄せるための細工と考えられますが、結果として小さな違和感が残っています。こうした表示のズレだけで詐欺と断定はできませんが、今回のように送信元や誘導先も不審な場合は重要な手掛かりになります。

💡 TEXT表示で出てきた「教材用の例示表記」

さらにメールソフトをTEXT表示に切り替えると、HTML表示では見えなかった「（教材用の例示表記）」という文言がCopyright表記の末尾に残っていました。

TEXT版に残っていた「教材用の例示表記」。作成途中の文言を消し忘れたように見える、今回特有の痕跡です。

このメールはHTML版とTEXT版を同梱する形式ですが、両者はリンク先まで異なります。HTML版の青いボタンは hxxps://www[.]shpaiya[.]com/…、TEXT版は hxxps://www[.]yunxingzhiye[.]com/… でした。

送信元を確認：SPF・DKIMがPassでも安心できない

今回の送信元IPは 102.37.41.130。SPFとDKIMはいずれもPassでした。しかし、認証されているのはAppleの公式ドメインではなく、送信に使われた別ドメインです。

つまり「SPFがPassだから本物」という判断はできません。SPF/DKIMは、表示されているブランド名そのものを保証する仕組みではないためです。

PCではアクセス拒否、スマホでは偽Apple Accountへ

HTML版のリンクを実機で確認したところ、端末によって結果が変わりました。PCでは「アクセス拒否」なのに、スマートフォンでは別ドメインの偽ログイン画面へ到達しました。

PCではまず「読み込み中…」と表示。

その後は「アクセス拒否」。PCだけを見るとサイトが止まっているように見えます。

スマートフォンではChromeが「危険なサイト」と警告。ここで戻るのが安全です。

検証環境で警告の先を確認すると、最終的にApple Accountを装った偽ログイン画面へ到達しました。

最終到達先はCloudflareを利用しているため、公開DNSで見えるIP位置情報から詐欺サイト本体の実サーバー所在地を断定できません。今回の実測では、端末によって表示先が変わる挙動が確認できたため、クローキングありとして記録します。

Apple公式の説明と違う点

Apple公式サポートでは、iCloudストレージが容量不足になると、新しい写真やビデオがiCloud写真へアップロードされなくなり、バックアップや同期などにも影響すると説明されています。今回のメールのように「指定日に保存済み写真234件が自動削除される」という案内ではありません。

Apple公式：Apple製デバイスでiCloudストレージを管理する

注意点と対処法

• メールの「写真を保護する」「無料手続き」などのボタンは押さない。
• iCloud容量が心配な場合は、メールのリンクではなくiPhoneの「設定」→自分の名前→「iCloud」から確認する。
• 偽サイトでApple Accountやパスワードを入力してしまった場合は、Apple公式サイト・設定画面から速やかにパスワードを変更する。
• 同じパスワードをほかのサービスでも使っている場合は、そちらも変更する。
• Chromeなどブラウザが「危険なサイト」と警告した場合は、そのまま戻る。