JAネットバンク「お客様情報の確認と取引目的の確認のお願い」は詐欺！都道府県・JA支店まで選ばせる凝った偽サイトの正体
今朝方、まだ夜も明けきらない午前3時過ぎに届いていたのがこちらのメールです。JAネットバンクを名乗る詐欺メールは以前から数多く確認されていますが、今回のものは誘導先のフィッシングサイトが「都道府県を選ぶ→JAの支店名を選ぶ→ログイン画面」という3段階の作り込みになっており、久しぶりに手が込んだタイプでした。これだけの手間をかける労力があるなら、他にもっと良い使い道がありそうなものですが……。それでは、実際の内容を見ていきましょう。
ご覧の通り、このメールはJAネットバンクを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
お客様各位、 いつも、ＪＡバンクをご利用いただき、誠にありがとうございます。 現在、当行では金融庁の指導のもと、マネーロンダリング防止やその他の安全対策を強化しています。 これに伴い、過去に確認したお客様の氏名、住所、生年月日、ご職業、取引目的などについて 再度確認をお願いしております。 この取り組みは、金融サービスの健全な運営を維持するための重要な施策です。 お客様の大切な資産を守るため、何卒ご理解とご協力をお願い申し上げます。 【ご本人確認のお願い】 下記のリンクより、お客様情報の確認をお願いいたします。 確認が完了次第、通常通りの取引が可能となります。 ▶ ご確認はこちらから ※確認にかかる時間は約1分程度です。内容に変更がない場合でも、必ずご確認をお願い申し上げます。 【ご対応期限】 確認手続きはお早めにご対応いただきますようお願い申し上げます。 確認を一定期間内に行わない場合、セキュリティ上の観点から、お取引に制限がかかることがございます。 【ご注意】 ・確認手続きを一定期間内に行わない場合、口座に制限がかかることがあります。 ・お客様の取引状況に応じて、追加書類の提出をお願いすることがございます。その場合、改めてご案内いたします。 ・確認が完了しない場合、当行サービスに制限がかかることがございますので、予めご了承ください。 【お問い合わせ先】 ご不明点がございましたら、下記のカスタマーサポートまでご連絡ください。 ＪＡネットバンク ヘルプデスク 電話番号：0120-058-098（平日 9:00〜17:00／土日祝除く） 今後ともＪＡバンクをご愛顧賜りますようお願い申し上げます。 © JAネットバンク All Rights Reserved.
実際に受信した詐欺メールの画面。件名に「至急ご対応」と入れ、緊急性を煽っている
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
20.44.152.17（helo=mail26.bestdrywallsheetrockrepair.com）
回線情報（ip-sc.net確認）：
プロバイダ：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／利用形式：hosting
送信元はMicrosoft Azureのホスティング基盤です。GeoLite2・ip-sc.netともに「東京」を示していますが、これはAzureのデータセンター（リージョン）の登録情報であり、攻撃者本人の所在地を示すものではありません。
SPFの認証結果が「Pass」でも、それは「本物」を意味しません。
今回のSPF Passは、あくまで送信元ドメイン「mail26.bestdrywallsheetrockrepair.com」に対して整合しているというだけの話です。正規のJAネットバンクからのメールが、この無関係なドメインから送信されることは絶対にありません。
送信ドメインの正体：
送信元ドメイン「bestdrywallsheetrockrepair.com」を直訳すると「壁材・石膏ボード補修の専門業者」を意味する、米国の建築リフォーム系企業を思わせる名前です。JAネットバンクとは何の関係もなく、乗っ取られた（または不正に取得された）ドメインをスパム配信の踏み台として悪用しているとみられます。金融機関を装う詐欺メールの送信元が、まさかの「壁の修理屋さん」だったというのは、攻撃者側の“やっつけ仕事”ぶりがうかがえる点です。
💡 用語解説：SPF・Azureって何？
SPF（エスピーエフ）：送信元のメールサーバーが、そのドメインの管理者によって「送信を許可されているか」だけを確認する仕組みです。攻撃者が自分で用意したドメインでも、そのドメインの管理者が攻撃者自身であれば簡単にPass（合格）します。つまりSPF Passは「本物である証明」ではなく、「そのドメインの持ち主が許可した送信である」という程度の意味しかありません。
Azure（アジュール）：Microsoft社が提供するクラウドサーバーサービスです。誰でも契約すればサーバーを借りられるため、攻撃者が一時的にメール送信用のサーバーとして悪用するケースがあります。
■ フィッシングサイト詳細解析——都道府県・JA支店選択までこだわった多段階構成
誘導先URL（伏せ字）：
hxxps://driect-jwaosmdas[.]com/waismdasd/aiwadmdsa/login/selectState
回線情報（ip-sc.net確認）：
プロバイダ：Antbox Networks Limited／AS138995（ANTBOX1-AS-AP）／組織名：SpeedVM Network Group LLC
所在地：アメリカ・オクラホマ州オクラホマシティ
誘導先サイトはすでにGoogleのセーフブラウジングによってフィッシングサイトと認定され、Chromeでアクセスすると警告画面が表示される状態でした。
Chromeでアクセスすると表示される「危険なサイト」警告。Googleのセーフブラウジングにより既にフィッシングサイトとして検出されている
「詳細を非表示」から強制的に先へ進むと、以下のような偽サイトが表示されました。単なる偽ログイン画面ではなく、まず都道府県を選ばせる画面が現れます。
1段階目：都道府県を選ばせる画面。本物のJAネットバンク公式サイトの構成を忠実に模倣している
都道府県を選ぶと、次はその地域のJA支店名を五十音順に選ばせる画面に切り替わります。
2段階目：JA支店名を五十音順に選ばせる画面。全国のJA支店ごとに個別の偽ページが用意されているとみられる
支店を選択すると、最終的にその支店名を冠した偽のログイン画面へたどり着きます。
3段階目：選択した支店名（画像内は一例）が表示された偽ログイン画面。本物のJAバンク公式サイトが掲載している注意喚起バナーまでそのまま流用している
全国の支店ごとに個別の偽ページを用意するというのは、生半可な労力ではありません。ここまでの作り込みができるなら、その技術と手間を正当な仕事に使ってほしいものです。
なお、当サイトでは過去にもJAネットバンクを騙る「お客様の口座がブロックされました」という詐欺メールを紹介していますが、JAネットバンクを騙る手口は組合員数の多さゆえに繰り返し確認されており、送信インフラやサイトの作り込みを変えながら継続的に届いています。
■ 注意点と対処法
- メール内のリンクは絶対にクリックしない：本物のJAネットバンクからのメールでは、口座情報の確認をメールのリンク経由で求めることはありません。
- 都道府県・支店選択の画面が出ても油断しない：本物そっくりに作り込まれていても、URLがJAネットバンクの公式ドメインでなければ確実に偽物です。
- ログイン・確認は必ず公式アプリまたはブックマークから：不安な場合はメールを閉じ、普段お使いのJAネットバンクアプリや、ご自身で登録したブックマークからアクセスしてください。
- 心当たりのない確認依頼は窓口に電話で確認：メールに書かれた電話番号ではなく、JAバンクの公式サイトに掲載されている番号にご自身で電話して確認してください。
本レポートの結論
JAネットバンクを騙り、マネーロンダリング対策を口実にお客様情報の確認を求める詐欺メールでした。誘導先は都道府県・JA支店まで選ばせる非常に作り込まれた偽サイトでしたが、送信元は無関係な米国ドメインを悪用したAzureサーバーであり、本物とは一切関係がありません。身近な人が慌てて手続きしてしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Burgundy
今、拡散中の詐欺メール
