KAGOYA「パスワード有効期限切れ」は詐欺！自社ドメイン悪用＋SIP攻撃歴のあるロシア回線から80分間で25通の波状攻撃を解析

今回は、当編集部のメールサーバー宛に届いた、少々特殊な詐欺メールをご紹介します。ホスティングサービス「KAGOYA」を騙りつつ、差出人には私たち自身のドメインが偽装表示されるという、二重のなりすましでした。

■ 80分間で25通、辞書攻撃的な波状送信を確認

今回最初に気付いたきっかけは、全く同じ件名のメールが受信箱に大量に並んでいたことでした。

11時06分から12時27分までの約80分間に、全く同じ件名で25通が届いた記録

これは、実在しそうなメールアドレスの一部（「username」「support」「contact」「account」など、よくある名称）を総当たり的に試しながら送りつける、辞書攻撃的な手口とみられます。本物の従業員名や個人名を使ったアカウントではなく、存在するかどうかも分からない汎用的な名称に対して機械的に送りつけているため、宛先不明のまま迷子となったメールがサーバー上に大量に残されていました。

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。宛先アドレスは伏字処理しています。

username

KAGOYA JAPAN サービスをご利用いただきありがとうございます。

お客様のアカウント（username@●●●●●●）のパスワードの有効期限が切れています。
至急ご対応ください。20.8.2026 13:27:13

下記よりログインしてパスワードを更新してください。
有効なユーザー名とパスワードでログインできない場合、アカウントが停止される可能性があります。

［パスワードを更新する / ログイン］

または添付ファイル「login_kagoya.html」を開いてください。

Kagoya カスタマーサポートチーム
参照番号: buxtcjgfjieryvaktykpxefgntvwibzualzeojrfhuyqvvfwcf

実際に届いたメールの画面。差出人表示名に自社ドメインが偽装されている

差出人の表示名部分には受信者自身のドメインが表示されていますが、実際のメールアドレス（角括弧内）は全く無関係な別ドメインであり、表示名だけを偽装した典型的な手口です。「参照番号」として意味のないランダムな英数字を添えることで、いかにも正式な通知であるかのように見せかけています。

■ 送信ルート及び偽装判定：SIP攻撃歴のあるロシア住宅回線

今回は認証結果が「Pass」ではなく「Softfail（ドメイン所有者がこのホストの利用を推奨していない）」となっている点にも注目です。ホスト名からも分かる通り、送信元は企業のメールサーバーではなく一般家庭向けのブロードバンド回線（DSL）であり、ip-sc.netの調査では既にSIP（電話システム）への攻撃元として脅威レベル「高」の判定が出ています。感染したパソコンやルーターなどが、攻撃者に無断で踏み台にされている可能性が高い状況です。

さらに、メール中のReply-To（返信先）およびFromの実アドレスは「remax-agt.net」という、KAGOYAとも受信者のドメインとも無関係な第三者のドメインが使われていました。これも乗っ取られたメールアカウントか、攻撃用に取得されたドメインの可能性があります。

■ フィッシングサイト詳細解析：SVGファイル悪用とサイト乗っ取り

本文中のボタンから誘導されるリンク先は、訪問介護サービスを提供していると思われる実在の事業者サイトの「/wp-content/uploads/」フォルダ内でした。アクセスすると、WordPressの内部ファイルが壊れているために発生したとみられる、以下のようなPHPエラーが表示されました。

乗っ取られたとみられる実在サイトのエラー画面。この事業者自体は被害者側と考えられる

この事業者は本業とは全く無関係の詐欺サイトを勝手に自社サーバー上に設置されてしまった「踏み台被害者」であり、当ラボもこの事業者を非難する意図は一切ありません。ホームページやサーバーの管理が甘いと、このように第三者の攻撃基盤として悪用されてしまう典型例です。

一方、メールに添付されていた「login_kagoya.html」というファイルは、拡張子こそHTMLですが実体はSVG画像ファイルで、その中にJavaScriptが仕込まれていました。ファイルを開くと「..activemail-kagoya.net…」という、いかにもKAGOYAの正規サービスらしい文字列が一瞬表示されますが、これは目くらましで、内部のスクリプトが1秒後に自動的に別のフィッシングサイト（kazov.life）へ強制的に転送する仕組みになっていました。

■ 注意点と対処法

KAGOYA公式の「フィッシングメールにご注意ください」ページにも、同種の手口や被害事例が詳しく掲載されています。あわせてご確認ください。

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Amethyst