「優先度：高」の隔離通知はKAGOYAの偽物！メール容量オーバーを装う偽ログイン画面の手口

ご覧の通り、このメールはKAGOYAを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族や仕事仲間にも共有して注意喚起してください。

偽メールの内容

▲ 実際に届いた偽メール（宛先部分は加工済み）

受信メールが一時的に隔離されています

親愛なる 【宛先アカウント名】

現在、【自社ドメイン名】ご利用中のメールボックスの保存容量が上限に近づいているため、新しい受信メールが一時的に隔離されています。

メールを正常に受信するには、不要なメールを削除するか、サポートまでお問い合わせください。

[ストレージを整理する]  hxxps://clck.ru/3WxgEU
[サポートに連絡]　　　  hxxps://clck.ru/3WxgEU

本メールはシステムより自動送信されています。返信はできません。

メールのヘッダー（送信経路の記録）は、受信者の情報が含まれるため画像では掲載していません。

ここが怪しい：偽メールの5つの特徴

1. 送信ドメインの綴りが1文字違う：KAGOYAの公式サイトは kagoya.jp 系ですが、送信元は kacoya-it.com でした。g が c にすり替わっています。綴りが1文字違う偽ドメインは、一瞬では気づけません。
2. 件名に自社ドメインがくっついている：「優先度：高」の直後に、受信者のドメイン名がすき間なく付いていました。差し込み用の枠に、空白を入れ忘れたようです。
3. 「親愛なる」の後ろに、アドレスの左半分がそのまま入っている：本名を調べる手間は省いたようです。名前の代わりに、メールアドレスの@より左の部分が並ぶ不自然な呼びかけになっています。
4. 2つのボタンの行き先が同じ：「ストレージを整理する」と「サポートに連絡」は、中身が同じ短縮URLでした。サポートに連絡するつもりで押しても、行き先は変わりません。
5. HTMLの中に、作り手のメモが残っている：隠しコメントとして「正式に使用許可されたロゴURLを挿入」という書き込みが消されていませんでした。ロゴは本物のKAGOYAのサイトから直接読み込まれており、見た目だけは本物そっくりです。

送信ルート及び偽装判定

■ フィッシングサイト詳細解析

リンクの流れ：本文のボタンは短縮URLの hxxps://clck.ru/3WxgEU を指しています。受信側フィルターの記録では、ここから hxxps://php-kajga.wasmer.app/（一部伏せ字）へ転送され、途中で短縮サービス側の安全確認ページを経由する経路も記録されていました。

短縮URLとは、長いURLを短く言い換える便利な仕組みです。ただし、行き先が見えなくなるため、悪用もされます。正規のサービスを経由させて、URLのチェックをすり抜けようとしている点に注意してください。

短縮サービス側のIP：213.180.204.221 / 2a02:6b8::221（ロシア・モスクワ、Yandex）。【Googleマップで表示】

偽サイト側のIP：5.223.18.58 / 2a01:4ff:2f2:22ad::（シンガポール、Hetzner社のホスティング）。【Googleマップで表示】
公開先のドメイン wasmer.app は、誰でもアプリを公開できるクラウドサービスの共有ドメインとみられます。ここも、正規サービスの一角を借りた形です。

偽ログイン画面：「User Control Panel」という見出しで、「アカウント名」と「passwd」の2つの入力欄が並ぶだけの画面です。入力欄の名前が日本語と英語のまま混ざっており、仕上げの確認をしていないことが分かります。ここでアカウント名とパスワードを入力すると、そのまま攻撃者に渡ります。

▲ リンクを開いた直後に表示された偽ログイン画面（PC表示）

【サイトの状態】：調査した11月13日の時点で、画面の表示を確認できました。受信側のメールフィルターは、リンク先をフィッシングと判定して記録しています。

※IPの位置は推定です。ip-sc.netの脅威レベルは、短縮サービス側の 213.180.204.221 だけが「高」、その他は「低」でした。ただし、短縮サービスは正規のものなので、「高」は悪用されている状況を反映した可能性があります。「低」だから安全、という意味ではありません。

注意点と対処法

1. メールのリンクは絶対にクリックしない：「容量がいっぱい」と言われたら、メールのボタンではなく、ブックマークしておいた公式のサイトや、いつも使っているWebメール・管理画面から確認してください。
2. KAGOYAは、メールでアカウント名やパスワードの入力を求めません。公式の注意喚起でも、そうしたお知らせは送らないと案内されています。【重要 注意喚起】フィッシングメールにご注意ください（KAGOYA公式）
3. 送信元の確認方法：SPFがPassでも偽物の場合があります。判断に迷うときは、送信元の綴りとドメインを確認し、公式サポートに問い合わせてください。カゴヤ・ジャパンをかたるフィッシングメールにご注意ください（KAGOYA公式）
4. もし入力してしまったら：すぐにメールとサーバーのパスワードを変更し、同じパスワードを使い回している他のサービスも変更してください。管理画面で、覚えのない設定変更やメールアドレスの追加がないかも確認し、不明な点はサポートに連絡しましょう。
5. 通報：フィッシングサイトを見つけたら、警察庁の案内にあるとおり、フィッシング110番（インターネット・ホットラインセンター）にURLを通報できます。警察庁：フィッシング対策 / インターネット・ホットラインセンター

本レポートの結論

今回の偽メールは、「容量がいっぱいで受信メールが隔離されている」と不安をあおり、短縮URLを経由して管理画面風の偽ログイン画面へ誘導する手口でした。見た目は本物のロゴで整えてありますが、送信元は綴りを1文字変えた偽ドメインで、細部は雑です。身近な人が入力してしまってからでは遅いので、この記事のURLをコピーして、家族や仕事仲間のグループで「これ気をつけて！」と共有してあげてください。