【続報】JCB「本人認証サービス（3Dセキュア）設定再確認のお願い」は詐欺！同一手口の新ドメインと、韓国発の真の送信元IPを特定

HL-META: date=2026-07-22 | brand=JCB（MyJCB） | sender_geo=韓国（Azure経由） | site_geo=アメリカ | spf=pass | dkim=unknown | cloaking=yes

ご覧の通り、このメールはJCBの公式サービス「MyJCB」を装った真っ赤な偽物です。被害を未然に防ぐため、この記事を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

【重要】3Dセキュア認証 再確認のお願い

平素よりJCBカードをご利用いただき、誠にありがとうございます。

お客様のカードに紐づく3Dセキュア認証（本人認証サービス・JCB Secure）の有効期限が切れております。
セキュリティ向上の観点から、再認証をお願いしております。
再認証が行われない場合、一部のインターネット決済サービス（オンラインショッピング等）がご利用いただけなくなる可能性がございます。

要対応期限：2026年07月22日
対応内容：3Dセキュア認証（本人認証サービス）の再登録・認証手続き

認証手続きは下記の専用ボタンより認証画面へお進みください。
（※セキュリティ保護のため、必ずご自身でブラウザを開き直接アクセスするか、JCB公式アプリからお手続きください）

【3Dセキュア認証を実行する】

⚠ 本メールに心当たりがない場合や、不審な点がある場合は直ちにJCBカードコールセンターまでご連絡ください。
※本メールは送信専用アドレスより配信されています。返信いただいてもご回答できませんのでご了承ください。

🔒 セキュリティ対策の観点から、不審なメールのリンクを直接クリックせず、JCB公式サイトのブックマークまたはJCB公式アプリからアクセスすることを推奨いたします。

株式会社ジェーシービー
東京都港区南青山5丁目1番22号 青山JCBビル
JCBインフォメーションセンター（案内窓口）：0570-916-3012（有料）
＊紛失・盗難のご連絡は、24時間年中無休で承っております。

JCB Co. Ltd. All Rights Reserved.

実際に受信した詐欺メールの画面

💡ここで！ 「自己矛盾」の再現に気づきました

本文の最後には「不審なメールのリンクを直接クリックせず、JCB公式サイトのブックマークまたはJCB公式アプリからアクセスすることを推奨いたします」という一文がありますが、その直前で「3Dセキュア認証を実行する」ボタンのクリックを促しています。これは前回解析したMyJCB詐欺メールでも確認した、本物のセキュリティ注意書きをそのままコピーしたことによる典型的な自己矛盾です。同じ攻撃者、または同じテンプレートを使い回すグループの手によるものと考えられます。

💡ここで！ 件名のゼロ幅文字

このメールをテキスト表示に切り替えてみると、件名にも、画面には表示されない「ゼロ幅文字」が単語の間に大量に埋め込まれていました。これは以前ご紹介したAmazonなりすましメールと同じ手口で、迷惑メールフィルターや過去メールとの重複検出をすり抜けるための工夫です。

件名をコードとして表示すると、随所にゼロ幅文字（​等）が挿入されていることが分かる

■ 送信ルート及び偽装判定

ヘッダー上の送信元IP：
20.70.115.226（helo=w1iuo.jnxnhb.com）
プロバイダ：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／所在地：オーストラリア ビクトリア州 メルボルン

【真の送信元を特定】：
ヘッダーをさらに詳しく見ると、「Authenticated sender（認証接続してきた送信者）」として、実際にメール配信システムへログインした接続元が記録されていました。そのIPアドレスは1.106.96.20で、韓国・Korea Telecom（AS4766／KIXS-AS-KR）の回線、所在地は韓国 京畿道 城南市（Seongnam-si）です。接続時のホスト名には「山形県のポータルデータベース」を思わせる名称（smtp.portal-database.yamagata.jp）が使われていましたが、実在の山形県の施設とは一切関係のない偽装です。

【偽装判定】：
正規のMyJCBからのメールは、JCB公式ドメインから送信されます。本メールの送信インフラはAzure（豪州）を経由し、実際には韓国から接続してきた攻撃者によって送信されたものであり、JCB公式サービスとは一切関係ありません。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：
hxxps://zyhywh.com/rpZhENiX/

サーバーIP：192.227.190.150（ホスト名：ckmabb.info）

回線情報（ip-sc.net確認）：
プロバイダ：HostPapa／AS36352（AS-COLOCROSSING、RackNerd LLC）／利用形式：hosting
所在地：アメリカ ニューヨーク州 バッファロー

【接続環境によって挙動が変わる点】：
PCでこのURLへアクセスすると404エラーが表示され、何も見ることができません。一方、モバイル端末からアクセスすると「安全な接続を確認しています」という偽のローディング画面が表示され、その後ウイルスバスター クラウドが「安全ではない可能性があります（脅威の種類：フィッシング）」としてブロックしていることを確認しました。ブロックを無視して進むと、本物と見分けがつかない精巧な偽MyJCBログイン画面が表示されます。

モバイル端末でアクセスした際に表示される、クローキング用の偽ローディング画面

ウイルスバスター クラウドがフィッシングサイトとしてブロックした画面

警告を無視して進むと表示される偽のMyJCBログイン画面。本物と見分けがつかないほど精巧に作られている

■ 関連記事

当ラボでは以前にも、ほぼ同一のテンプレートを使ったMyJCB詐欺メールを解析しています。あわせてご覧ください。

【緊急・実録】MyJCBを騙る偽「3Dセキュア再認証」詐欺メール発覚——SPF/DKIM両Pass偽装でフィルター突破、精巧な偽ログイン画面の全手口を解説

■ 注意点と対処法

1. メール内のリンクをクリックしない：誘導先は接続環境によって表示を変える巧妙な偽サイトです。
2. 公式アプリ・ブックマークから確認：3Dセキュア認証の手続きは、必ずJCB公式アプリまたはブックマークからアクセスしてください。
3. 「本日中」の期限表示は焦らせる手口：受信当日を期限にする表現は、冷静な判断をさせないための常套手段です。
4. 万が一入力してしまった場合：速やかにMyJCBのパスワードを変更し、JCBインフォメーションセンターへご連絡ください。

本レポートの結論

過去に解析したMyJCB詐欺メールとほぼ同じ本文を使い回しながら、件名だけを変え、ゼロ幅文字で検出を回避する新しいバリエーションでした。送信インフラを追跡すると、Azure経由でありながら実際には韓国から接続していたことも判明しています。攻撃者は手を替え品を替え、同じ手口を繰り返してきます。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。