【緊急フォレンジック】カゴヤを騙る「アカウント無効化」の罠！自社ドメイン偽装とロシア発スパムの全貌を暴く

Heartland-Lab セキュリティレポート – 2026-05-20

皆様、Heartland-Labのセキュリティブログへようこそ。本日、前回のコンプライアンス違反メールの急増に続き、今度はカゴヤ・ジャパン（KAGOYA）のウェブメールサービスを巧妙に装った、極めて危険なアカウント奪取（フィッシング）メールをリアルタイムで観測・確保いたしました。今回のメールは、受信者自身の独自ドメインを差出人に偽装する「自社ドメイン悪用型」であり、一般の従業員やインフラ担当者が最も騙されやすい要素を網羅しています。手抜きなしの徹底的なフォレンジック解析結果を公開し、その悪質な手口と、裏に潜むロシア系サーバーの足跡、そしてイギリスの踏み台サイトの構造を白日の下に晒します。

※ご注意：Heartland-Labの調査環境は、二次感染および攻撃者への情報漏洩を防ぐため、完全に隔離された専用のフォレンジック解析用端末（サンドボックス環境）を使用しています。危険を伴うため、一般の環境で不審なURLへのアクセスを模倣することは絶対におやめください。

1. 解析対象メールの概要

確保した不審メールのヘッダーおよび本文の構成は以下の通りです。受信者のドメイン情報を動的に埋め込み、カゴヤの公式通知であるかのように見せかけています。

2. メールヘッダーのフォレンジック解析（生データの暴露）

メールの「真の身元」を隠蔽することはできません。パケットおよびヘッダーのルーティングトレースを行った結果、攻撃者のインフラ構造が完全に浮かび上がりました。

3. 誘導先URLと踏み台（乗っ取り）サイトの構造分析

本文中に設置されたリンクをクリックした際、どのような挙動が発生するのか、そのネットワークパケットを追跡しました。

4. セキュリティ製品の検知と、剥ぎ取られた偽ログイン画面

このURLを一般的なブラウザで開こうとした場合、優秀なエンドポイントセキュリティ（ウイルスバスター クラウド等）が稼働していれば、即座に「このWebサイトは、安全ではない可能性があります」「脅威の種類：フィッシング」として通信が遮断されます。

しかし、このブロックを回避して進んだ場合、待ち受けているのはカゴヤ・ジャパンのWebメールシステムとして非常に多くの企業が導入している「Active! mail（アクティブメール）」のログイン画面を完全にトレースした極めて精巧な偽画面です。

5. 攻撃者の「雑な仕事」を嘲笑う。致命的な違和感の箇条書き

どれだけ画面を精巧に作ろうとも、海外の犯罪グループがローカライズ（日本語化）を行う際、必ず隠しきれない「ボロ」が出ます。今回のメールにおける致命的なツッコミどころは以下の通りです。

• 「！」（感嘆符）の異常な多用： 本文中の「無効化される予定です！」「有効に設定してください！」など、日本の大手ホスティングインフラ企業が、顧客への厳粛なシステム通知で「！」を連発することはビジネス文書の常識としてあり得ません。焦燥感を煽るための低質な煽り文句です。
• 日付の欧米式フォーマット： メール文末に記載されているタイムスタンプが「20.5.2026」となっています。日本国内向けのサービスであれば「2026/05/20」あるいは「2026年5月20日」と表記するのが当然であり、ドット区切りの「日．月．年」表記は、作成者が海外の文化圏の人間であることをセルフ暴露しています。
• 自社から自社へ送るシステム矛盾： Fromが「enter@[自社ドメイン]」で、カゴヤのサービスからのお知らせという設定自体がロジック破綻しています。カゴヤからの公式通知であれば、必ずカゴヤの公式ドメイン（`*.kagoya.jp` 等）から送信されます。

6. 独自ドメインを運用する企業が取るべき絶対防衛策

本日急増しているこの「カゴヤ・Active! mail」なりすましキャンペーンに対して、以下の対策を社内に徹底してください。

1. 自社ドメインからの「システム停止通知」は100%詐欺と断定する： 自分のメアドや社内ドメインから「メールボックスが使えなくなる」という警告が届いたら、ヘッダーを見るまでもなくフィッシングです。即座にゴミ箱へ破棄してください。
2. メール内のリンクからは絶対にログインしない： ウェブメールへのアクセスは、必ず社内で共有されている正規のブックマーク、またはカゴヤのコントロールパネル（公式マイページ）から直接ログインする導線を徹底してください。
3. SPFレコードを「Hardfail（-all）」へ格上げ検討： 送信ドメイン認証において、外部からのなりすましをより厳格に遮断するため、DNSのSPFレコードの記述を `~all（Softfail）` から `-all（Hardfail）` へ変更し、受信側での拒否・隔離強度を上げるインフラ対策を推奨します。

現在、ハラスメント偽装メールのバズと完全に連動する形で、このインフラ乗っ取り型スパムが国内のサーバーを標的に猛威を振るっています。不審なメールを発見した際、あるいは「これって詐欺？」と疑問に思った際は、焦ってクリックせず、まずは当Heartland-Labの解析データをインシデント回避の参照基準としてお役立てください。