【続報】JALを騙る詐欺メールが同日に第2波——件名・ドメインは別物でもURLパスと最終着地インフラが完全一致

2026年9月1日

今朝JALを騙るメールを取り上げたばかりですが、同じ日のうちにもう1通、別の文面のJALなりすましメールが届きました。件名も誘導先ドメインも変えているのですが、裏側を調べてみると正体は同じでした。

🔍 調査レポート：概要

かたられたブランド	JAL（日本航空）マイレージバンク
件名（表示上）	【JAL】マイページでのご登録方法のご案内
受信日時	2026年9月1日 10:44
送信元IP	35.216.23.136（Google Cloud／韓国）
脅威レベル	低（ip-sc.net調査。ただし「低」＝安全という意味ではありません）
技術的な見どころ	同日の別記事とURLパス・最終着地インフラ・「本人確認」画面のデザインまで完全一致

⚠️ このメールはJALとは一切関係のない偽物（フィッシング詐欺メール）です

1. 📧 実際に届いた詐欺メール
2. 🕵️ 送信元の確認
3. 🌐 誘導先の解析：3つの一致点
4. 🔗 関連記事
5. 📝 注意点と対処法

📧 実際に届いた詐欺メール

▲ 実際に届いたメール。「ログイン画面→メニュー画面→入力画面」という操作手順を丁寧に説明する構成で、公式のヘルプページを模した作りです。

※メールヘッダー詳細は個人情報保護のため非掲載

マイページでのご登録方法（操作手順のご案内）

平素よりJALをご利用いただき、誠にありがとうございます。

ご登録情報の不足により、ポイント交換のお手続きを完了することができません。
以下の手順でマイページからご登録ください。

■ 操作手順
1　ログイン画面：マイページにログインします
　　↓
2　メニュー画面：「登録情報の確認・変更」を選択します
　　↓
3　入力画面：未登録項目を入力し、
　　　　　　「登録情報を更新」ボタンを押します

ご登録が完了いたしますと、ポイント交換のお手続きを進めることができます。

▼ マイページを開く
（リンクは本文中に掲載・下記参照）

交換手続き期限：2026年9月6日（日）まで

お手数をおかけいたしますが、何卒よろしくお願い申し上げます。
今後ともJALをご愛顧賜りますようお願い申し上げます。

---
※ 本メールは自動送信されています。
※ お心当たりのない場合は、お手数ですが本メールを破棄してください。
JALポイント事務局

今朝の記事でご紹介したメールが「登録済み3/5項目」という進捗表示型だったのに対し、今回は「操作手順を1・2・3のステップで丁寧に説明する」という、より親切・丁寧な体裁に変えています。文面のトーンや構成を変えることで、同じ受信者に複数回届いても気づかれにくくする狙いがあるのかもしれません。

🕵️ 送信元の確認

client-ip：35.216.23.136

helo：65e82f93.sybjjd.com

SPF／DKIM判定：いずれもPass（攻撃者自身が管理する使い捨てドメインとして正規に認証されているだけです）

送信元はGoogle Cloud（韓国リージョン）で、今朝の記事で確認した送信元IP（35.216.61.52）と近いアドレス帯からの送信でした。同じクラウド事業者の近い範囲のリソースを使い回している可能性がうかがえます。

🌐 誘導先の解析：3つの一致点

メール本文にはテキスト版・HTML版で異なるドメインが使われていました。

テキスト版：login.r50wg.com（URLパス「/ubpNHhMiazb」）

HTML版：login.guangrun-textile.com（同じく「/ubpNHhMiazb」）

⛔ メール内のリンク（絶対にアクセスしないでください）

hxxps://login［.］guangrun-textile［.］com/ubpNHhMiazb

ドメイン名は今朝の記事（`login.anxuche.com`／`login.zzg123.com`）とは異なるのですが、URLのパス「/ubpNHhMiazb」は今朝の記事とまったく同じでした。さらに、最終的な着地ドメインlogin.17laixue.comを名前解決すると、今朝の記事で確認したものと完全に同じCloudflare IPアドレスを指していました。

▲ クリック後に表示される「本人操作の確認」画面も、今朝の記事とデザインが完全に一致していました。

①URLパスの構造、②最終着地インフラのIPアドレス、③「本人確認」ゲート画面のデザイン——この3点がすべて一致していることから、件名・送信ドメイン・メール本文の見た目を変えているだけで、裏側で動いている攻撃キットとインフラは同一のものと判断できます。表側をこまめに使い分けて検知や飽きを回避しつつ、コストのかかる裏側の仕組みは使い回すという、効率重視の運用パターンが今日だけで2度確認できたことになります。

🔗 関連記事

JALを騙る「お客様番号とご登録状況のご案内」は詐欺！（同日に確認した第1波・今回と同一インフラ）
JALを騙る「マイル加算に関するお知らせ」は詐欺！（同日の別のJALなりすまし事例）

📝 注意点と対処法

✅ このようなメールが届いたら

本文中のリンクは絶対にクリックしない
同じブランドから短期間に文面の違うメールが複数届いても、いずれも公式のものとは限らない
登録状況が気になる場合は、メールのリンクを使わず、公式アプリやブックマークからJALマイレージバンクへ直接アクセスして確認する
「本人確認」のような画面が挟まっても、それ自体は安全性を保証しない

⚠️ 万が一ログイン情報や個人情報を入力してしまった場合は、直ちにJALマイレージバンクのパスワードを変更し、同じパスワードを他サービスでも使い回している場合はあわせて変更してください。

✈️ 見た目が違っても、裏側は同じ詐欺かもしれません

少しでも不審に感じたら、リンクを開かず削除を。この記事が役立ったら、ぜひ周りの方にも共有してください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit／送信元IPの調査にはip-sc.netを利用しています。本記事は2026年9月1日時点の調査に基づくものです。詐欺の手口は日々変化しており、本記事の内容と異なる形の類似メールが届く可能性もありますので、引き続きご注意ください。