Apple偽「ご本人確認書類のご提出をお願いいたします」の正体——「iCloud」の一字一字に仕込まれたゼロ幅文字を解剖する

■ メールヘッダー解析（送信者情報）

件名：[spam] 【ご対応必須】ご本人確認書類のご提出をお願いいたします No.22214289

差出人表示名：iCloud（後述のとおり見えない文字が大量に仕込まれている）

送信元アドレス：wzrbghnv@pmta-04.yrakl.com（Appleの公式ドメインとは無関係）

受信日時：2026年08月25日 18:41

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAppleを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

（受信者のメールアドレス名） 様

平素よりAppleをご利用いただき、誠にありがとうございます。

お客様のApple Accountについて、セキュリティ確認のため本人確認が必要となりました。以下の内容をご確認のうえ、期限までにお手続きをお願いいたします。

■ ご確認事項
対象のApple ID：（受信者のメールアドレス）
受付番号：75776425
ご提出書類：運転免許証、マイナンバーカード等の本人確認書類
提出期限：2026年8月25日まで

期限内に本人確認書類のご提出がない場合、アカウントの一部機能を停止させていただく場合がございます。お手数をおかけいたしますが、以下のリンクよりお手続きください。

本人確認を進める：
（リンクは危険なため掲載を省略します）

ご不明な点がございましたら、サポートページをご覧ください。今後ともよろしくお願い申し上げます。

──────────────────────────────
※ 本メールは（受信者のメールアドレス）宛に自動送信されています。
※ ご返信いただいてもお答えできません。

Copyright (C) 2026 Apple Inc. All rights reserved.
〒106-6140 東京都港区六本木6丁目10番1号

実際に届いたメールの画面。Appleのロゴを模したデザインで本物らしさを演出している

💡ここで！ 「iCloud」の一字一字に仕込まれたゼロ幅文字

差出人表示名をメールソフト上で見ると「iCloud」としか見えませんが、実際の文字データを詳しく調べるとi‍C‍l‍o‍u‍d——「i」「C」「l」「o」「u」「d」の一文字ずつの間すべてに、U+200D（ゼロ幅接合子）という画面上には一切表示されない特殊文字が挿入されていました。三井住友カードやセゾンカードの記事でご紹介した「単語の一箇所だけ」のパターンより、はるかに徹底しています。さらに本文のHTMLソースには、`<!– yhnAi5 –>`のような一見デタラメなランダム文字列のコメントが随所に散りばめられていました。ブラウザ表示には影響しませんが、迷惑メールフィルターやAIによる自動分類の「単語のつながり」を意図的に寸断する狙いとみられます。本文中の受信者アドレス表記も、一部の文字が数値文字参照に置き換えられており、見た目は普通でもソースレベルでは分断されています。「本メールは＊＊＊宛に自動送信されています」という定型文が最近よく目につく気がするのも、こうした細工が定番テンプレート化している証拠かもしれません。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=35.214.89.119; helo=pmta-04.yrakl.com

【偽装判定】：
正規のAppleからのメールは「apple.com」等のドメイン、Apple IDに関する通知は「id.apple.com」から送信されます。本メールの送信ドメイン「yrakl.com」はAppleと一切関係のない、フィッシング目的で取得されたとみられるドメインです。

発信元ロケーション解析：
イギリス（Google Cloud Platformの割り当てレンジ）
ロケーション詳細はip-sc.netにてご確認いただけます。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://www.gxfdwj[.]com/　このURLへは絶対にアクセスしないでください。

【現状】：調査時点では「読み込み中…」の表示の後「アクセス拒否（リクエストがブロックされました）」という画面に切り替わりました。PC・スマホの両方で同じ挙動が確認されており、クローキングではなく単純なアクセス制限（WAF等によるブロック）とみられます。

ドメイン登録情報：送信ドメイン`yrakl.com`と着地ドメイン`gxfdwj.com`は、登録日こそ異なるものの更新日（2026年8月21日）とネームサーバーが完全に一致していました。役割の異なる2つのドメインを、同じタイミングで同じ管理者が整備したとみられます。なお送信ドメイン`yrakl.com`は調査時点でIPアドレスの記載が確認できず、既に運用が外れている状態でした。

■ 注意点と対処法

1. URLをクリックしない：誘導先は本人確認書類の画像を盗むための偽サイトです。
2. 「Apple ID」という表記に注意：正式名称は現在「Apple Account」です。「Apple ID」という単語が本文に出てくるメールは、その時点でフィッシングを強く疑ってください。
3. 本人確認書類の画像を送らない：万が一誘導先を開いてしまっても、運転免許証やマイナンバーカードの画像は絶対にアップロードしないでください。
4. 公式サイトから確認：Apple Accountの状態は、必ずaccount.apple.comまたは公式アプリの設定から確認してください。
5. 公式注意喚起の参照：フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する（Apple公式）

本レポートの結論

「ご本人確認書類のご提出をお願いいたします」を装う今回の詐欺メールは、差出人表示名の一字一字にゼロ幅文字を仕込み、HTMLソースには無意味なコメントを大量散布するという、これまでで最も徹底したフィルター回避が施されていました。本人確認書類の画像という、なりすまし被害に直結する重大な情報を狙っている点も見逃せません。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。