【ご連絡】受信メール配信保留のお知らせ（6 件／管理番号 00020714）はKAGOYAを騙る詐欺メール｜差出人はカゴヤ、署名はビッグローブ、見出しは「入荷通知」

HEARTLAND-LAB SECURITY RESEARCH UNIT

調査レポート：概要

解析対象：KAGOYAを騙る「【ご連絡】受信メール配信保留のお知らせ（6 件／管理番号 00020714）」メール

結論：これは詐欺メールです。ボタンは押さず、添付ファイルも開かないでください。

※メールヘッダー詳細は個人情報保護のため非掲載

🚫 これはKAGOYAからのメールではありません（偽物です）

ボタンは押さず、添付ファイルも開かないでください。

▲ 実際に届いたメールの画面（添付ファイル名は受信者のアドレスのため黒塗り）

💡ここで！ ちょっと難しい言葉をやさしく解説

SPF（エスピーエフ）の「fail」：「このメールは、正規の送信元から出たものとは認められません」という、はっきりした不合格の判定です。差出人のドメインを持つ会社が、「うちのメールは、このサーバーからしか送りません」と事前に登録しておく仕組みを使っています。

クリック計測用URL（中継リンク）：メール配信サービスが、「どのリンクが何回クリックされたか」を数えるために、本来の行き先の手前に挟む中継用のアドレスです。リンクを開くと、一瞬そこを通って、本当の行き先へ転送されます。詐欺師は、この仕組みを使うと、本当の行き先を隠せます。

Cloudflare（クラウドフレア）：世界中のサイトが使う、表示の高速化や防御のためのサービスです。このサービスを経由すると、サイトの本当の置き場所が外から見えにくくなります。詐欺サイトも、身元を隠すために使うことがあります。

証明書エラー：サイトが「本物であること」を証明する仕組み（電子証明書）に問題があるときに、ブラウザが出す警告です。「この接続ではプライバシーが保護されません」と表示されます。

① 差出人はKAGOYA、署名はビッグローブ、著作権はKagoya Corporation

メールの最後の署名は、「ビッグローブ株式会社／メールシステム運用室」でした。その下に、「(C) Kagoya Corporation」という著作権表示が続いています。差出人はカゴヤのドメイン、署名はビッグローブ、著作権表示はKagoya Corporationと、1通のメールに3つの会社が同居しています。どこかからコピーしてきた部品を、つなぎ合わせたのでしょう。ちなみに、この2社は、それぞれ別の会社です。

見出しの文言もおかしなところがあります。冒頭の見出しは「[入荷通知] 未受信メールの配信保留に関するお知らせ」です。「受信通知」と書きたかったのだと思いますが、これでは、注文した商品が倉庫に届いたお知らせです。KAGOYAにメールの入荷を待たれても困ります。「Active-mail Webメール着信通知」や「[Inbound Notice]」など、日本語と英語が混ざった表記も、公式の連絡らしくありません。

② 数字が合わない

• 件名と本文は「6件」なのに、情報欄の「保留件数」は「9件」になっている
• 管理番号が「00020714 / 8020135」と、2つ並んでいる
• 宛名がなく、誰宛の通知か分からない
• 「配信待機中（要同期）」「セキュリティプロファイルの不一致」といった、意味の取りにくい説明で不安をあおっている

③ ボタンの先は、Chromeが警告する行き先

「受信トレイの同期・再ログイン」のボタンは、メール配信サービスのクリック計測用URLを経由する作りでした。リンクの末尾に含まれる文字列を復号すると、最終的な行き先は hxxps://kohlandfrlsch.com/kagoya/kagoya.html だと分かりました。当サイトでは、この復号したURLを直接開くのではなく、メールのボタンをたどって確認しています。

リンクをたどった先では、ChromeがまずGoogleセーフブラウジングの「危険なサイト」という警告を表示しました。「攻撃者がユーザーを騙してソフトウェアをインストールさせたり、パスワード、電話番号、クレジットカード番号などを開示させたりする可能性があります」という内容で、「最近フィッシングが検出されました」とも書かれています。ブラウザが「危険なサイト」と判断して、警告を出すページです。

別の画面では、「この接続ではプライバシーが保護されません」という証明書エラー（NET::ERR_CERT_AUTHORITY_INVALID）が表示され、対象のドメインは kohlandfrlsch.com でした。

警告を承知のうえで進んだ先は、「Not Found（404）」でした。「ErrorDocument（エラー用の文書）を使おうとして、さらに404が発生した」という、二重のエラー文も表示されています。

確認した時点では、詐欺ページの実体は表示されませんでした。すでに削除された、あるいは設置がまだ終わっていない、あるいは調べた環境には表示されないなど、理由は分かりません。当サイトが確認した範囲では、PCとスマホで表示を変える細工（クローキング）はありませんでした。ただし、「再ログイン」「プロフィールの更新」という文言からは、メールのIDやパスワードを入力させる偽のログイン画面が想定されます。過去に届いた同じ型のメールでは、実際にそうした画面が確認されています（関連記事をご覧ください）。

④ 行き先ドメインは、2026年6月に登録されたばかり

行き先のドメイン kohlandfrlsch.com のWhoisを調べると、登録日は2026年6月29日（約3か月前）、登録事業者は Dynadot LLC、期限は2027年6月29日でした。更新日は2026年9月24日で、メールが届いた4日前にあたります。登録者の情報は、プライバシー保護サービスによって非公開でした。「Registered And No Website（登録済みだが、サイトなし）」という表示もあります。

ネームサーバーはCloudflareで、ドメインの解決先は 104.21.23.119（Cloudflare, Inc.）でした。このIPには他のサイトが1,287件同居しており、Cloudflareの共用IPです。位置の表示（カナダ・トロント）には意味がなく、サイトの本当の置き場所は、この情報からは分かりません。

⑤ 添付ファイルには、受信者のアドレスがそのまま名前に

このメールには、ごく小さな添付ファイルが付いていました。ファイル名は受信者のメールアドレスそのもので、「.jp」で終わっています。実際の拡張子ではなく、種類も分かりません。メールを見た人が、「自分宛の資料かも」と思って開くことを狙ったものかもしれません。拡張子が不審なため、当サイトでは開封・解析していません。このような添付ファイルは、絶対に開かないでください。

このメールを受け取ったら

• ボタンは押さず、添付ファイルも開かず、返信もせず、そのまま削除して大丈夫です。
• メールのボタンから「再ログイン」や「プロフィールの更新」を求められても、応じないでください。メールの状況が気になったときは、ブックマークしておいた公式の管理画面や、契約書類に記載の窓口から確認してください。
• 差出人のアドレスが公式のドメインに見えても、そのまま信じないでください。差出人欄は、簡単に偽装できます。
• KAGOYAも、「フィッシングメールにご注意ください」のページで、注意を呼びかけています。
• 同じサーバーやメールを使っている家族や同僚にも、このページを共有してあげてください。

もし、ボタンを押したり、情報を入力したりしてしまったら

気づいた時点で動けば、被害を小さくできます。責める必要はまったくありません。落ち着いて、次の順番で対応してください。

• メールのパスワードを、公式の管理画面からすぐに変更してください。同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
• メールの転送設定や、身に覚えのない送信履歴がないかを確認してください。乗っ取られると、転送設定を勝手に変えられることがあります。
• 添付ファイルを開いてしまった場合は、パソコンのセキュリティソフトでスキャンし、必要に応じてネットワークから切り離してください。
• 不安なときは、契約しているサービスの窓口や、警察相談専用電話（#9110）、消費者ホットライン（188）に相談してください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net　配色テーマ：Burgundy