【公開】「Suicaご利用感謝」の嘘を暴く！偽JRE POINTメールのテクニカル解析

【メール本文の忠実再現】
※視覚的デザインを再現したHTMLエミュレーションです。

Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=35.212.199.74; helo=mail17.gbakuh.com
Received: from mail17.gbakuh.com (gbakuh.com [35.212.199.74])
	by dmail04.***.net (Postfix) with ESMTP id 18FBC4250A6F
	for <***@***.jp>; Thu, 21 May 2026 15:16:45 +0900 (JST)

【詳細解説：SPF『Pass』の罠】

ここで最も警戒すべき点は、Received-SPFが「Pass」しているという事実です。一般的に「SPFがPassしていれば安全」と誤解されがちですが、これは「送信元を騙っていない」という意味に過ぎません。

攻撃者は、JR東日本とは何の関係もない不審な独自ドメイン「gbakuh[.]com」を自ら取得し、そのドメインのDNSに正規のSPFレコードを記述、さらに実際の送信元IP（35.212.199.74）から「自作自演」で送信しています。これにより、メールサーバーの単純ななりすましフィルター（ドメイン不一致判定）をすり抜ける狙いがあります。ドメイン名そのものが偽物であるため、送信ドメイン認証がパスしていても、内容が詐欺であることに変わりはありません。

【ウイルスバスターによるWeb脅威対策】

メール内に仕込まれていたリンク先URLは以下の通りです。
URL: hxxps://login.jiaze-cable[.]com/?5N2IUOnoc38D&type=jrepoint（※安全のため一部書き換えています）

このURLへアクセスを試みた際、トレンドマイクロ社の「ウイルスバスター クラウド」が通信をリアルタイムでインターセプトし、「このWebサイトは、安全ではない可能性があります」「脅威の種類: フィッシング」として完全にブロックしたことが確認できます。未知のドメインであっても、ヒューリスティック分析やブラックリスト連携によって即座に危険サイトとして判定されています。

【アクセス拒否画面の考察】

セキュリティソフトの警告をバイパスした先では、「アクセス拒否：リクエストがブロックされました。後ほどお試しください。ファイアウォールで保護されています」というエラー画面が返される状態となっています。

この挙動には2つの可能性が考えられます。
1つ目は、攻撃者がWebサーバーの手前に配置しているWAF（Web Application Firewall：Cloudflare等）が、セキュリティベンダーの調査クローラーや、特定の地域・環境からの不審なアクセスを検知して自動的に遮断した可能性。
2つ目は、通報等によって既にフィッシングサイトのホスティングアカウントが凍結、あるいは攻撃者自身が拠点を放棄してサイトをクローズした可能性です。いずれにせよ、現時点でこのURLにおけるフィッシング被害の拡大は抑止されているものと考えられます。