「【JCB】本人確認（利用者認証）のお願い」はJCB詐欺——件名はJCBなのに本文はセゾンカードのテンプレート使い回しという継ぎ接ぎミス
お盆休み真っただ中、クレジットカードの利用明細を確認する方も増える時期かと思います。そんな折、JCBを名乗る本人確認メールが届きましたが、中身を見ていくと予想外の展開になりました。
📋 調査レポート：概要
| 対象ブランド | JCB（MyJCB）を騙るなりすましメール |
| 件名 | [spam]【JCB】本人確認（利用者認証）のお願い |
| 受信日時 | 2026年8月13日 17時09分 |
| 危険度評価 | ★★★★☆（最終的な偽ログイン画面は非常に精巧だが、途中の本文に不自然な点が多い） |
| 送信元 | Microsoft Azure（AS8075、香港表示） |
| 誘導先 | 複数ドメインを経由し、最終的に偽MyJCBログイン画面へ |
⚠️ このメールはJCB（MyJCB）とは一切関係のないなりすましメールです
本文中のリンクは絶対にクリックしないでください。
📧 実際に届いた詐欺メール
▲ 「【JCB】本人確認（利用者認証）のお願い」を騙る偽メール。送信者表示は「MyJCB」となっているが……
※メールヘッダー詳細は個人情報保護のため非掲載です。
🎭 送信者名の逆読み偽装、そして件名と本文の「ちぐはぐ」
まず送信者名について。表示上は「MyJCB」となっていますが、実際のヘッダー情報を調べると、これまでのSAISON CARDの件と同様、文字を右から左へ表示させる特殊な制御文字を使い、データ上の「BCJyM」を画面上だけ「MyJCB」に見せかけるという逆読み偽装が使われていました。
ここまでは想定内の手口だったのですが、メール本文のHTMLソースを詳しく確認していくと、思わぬ矛盾が見つかりました。件名は「JCB」なのに、実際のメール本文の中身は「セゾンカード・セゾン銀行」というまったく別ブランドの表記になっていたのです。
| 件名 | 【JCB】本人確認（利用者認証）のお願い |
| 送信者表示名 | MyJCB（逆読み偽装） |
| 本文の見出し | セゾンカード・セゾン銀行 |
| 本文フッター | Copyright SAISON CARD / SAISON BANK All Rights Reserved. |
恐らく攻撃者は、以前ご紹介した「3Dセキュア再認証」を騙るセゾンカードの偽メールキットを、そのままJCB向けの配信に流用したのでしょう。件名・送信者名・最終的な偽サイトはJCB用に用意したものの、メール本文の差し替えだけを忘れてしまったとみられます。手間を省こうとした結果の、なんとも間の抜けたミスです。
😅 テキスト版にも「別の文章」が紛れ込む
これまでのApple Music+やSAISON CARDの件と同じく、今回もメールのテキスト版フォールバックを確認したところ、本文とは異なる短い文章が入っていました。
▲ 偽サイト側のポップアップ表示とみられる文言が、メールのテキスト版にそのまま紛れ込んでいた
これも、複数の部品を組み合わせて大量にメールを自動生成する過程で、本来別々の場所に使うはずの文章が混線してしまった結果と考えられます。
🌐 誘導先の状況
本文中のボタンをクリックすると、まずウイルスバスターやChromeのセーフブラウジング機能が「安全ではない可能性があります」と警告を表示しました。
▲ 1つ目の誘導リンクに対する警告画面
その後、別ドメインkbtcm.comを経由する形になっており、ここでもウイルスバスターが明確に「フィッシング」と判定していました。
▲ 脅威の種類「フィッシング」と明記されたウイルスバスターの警告。URLに kbtcm.com/lYfKfsvY と表示されている
2段階の警告を乗り越えた先には、次のような非常に精巧な偽ログインページが待ち構えていました。
▲ 本物のMyJCB公式ログイン画面をほぼ完全に再現した偽ページ。MyJCB IDとパスワードの入力を求めてくる
最終的な偽サイトの完成度は高いのですが、そこにたどり着くまでの過程（送信者名の偽装、本文のブランド不一致、テキスト版の文章混線）を見ていくと、決して一枚岩の周到な犯行ではなく、複数の使い捨てパーツを機械的に組み合わせて大量生産している実態が透けて見えます。
💡 ここで！ なぜ違うブランドのテンプレートが混ざるの？
最近の詐欺メールの多くは、人間が1通ずつ手作業で書いているのではなく、あらかじめ用意した「部品（件名・送信者名・本文・リンク先など）」をプログラムで自動的に組み合わせて大量生産しています。効率を優先するあまり、こうした部品の管理が雑になり、今回のように「件名はJCB、本文はセゾンカード」といったブランドの取り違えが起きることがあります。裏を返せば、こうした矛盾は詐欺メールを見抜く手がかりの一つにもなります。
⚠️ 注意点と対処法
- MyJCBの本人確認・認証手続きは、メール内のリンクからではなく、MyJCB公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
- メールの送信者名が正しく見えても、本文の内容やロゴ、フッターの表記に違和感がないか、落ち着いて確認する習慣をつけてください。
- セキュリティソフトが「危険」「フィッシング」と警告を出した場合は、その時点でアクセスを中止してください。
- 万が一MyJCB IDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更してください。
📝 まとめ
今回のJCBを騙る偽メールは、最終的な偽ログイン画面こそ精巧だったものの、送信者名の逆読み偽装、本文のブランド取り違え、テキスト版への文章混線と、随所に大量生産の「継ぎ目」が見えました。1つのブランドだけを装った巧妙な詐欺というより、複数ブランド向けの使い捨てキットの一部として流されたものと考えられます。件名や送信者だけで判断せず、本文全体を落ち着いて確認する習慣が、こうした矛盾に気づく助けになります。
⚠️ 本人確認の案内は、MyJCB公式アプリ・公式サイトで直接確認を！
セキュリティソフトの警告が出たら、そこでアクセスを中止してください。
Data Provided by Heartland-Lab Security Research Unit ／ IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。
今、拡散中の詐欺メール
