【KAGOYA詐欺メール】「セキュリティ更新プログラム」は偽物！Active! mailへ誘導するフィッシングを確認
HEARTLAND-LAB SECURITY REPORT
「重要：セキュリティ更新プログラム」は偽物です
メールのボタンを押すと、ブラウザとセキュリティソフトの警告を経て、Active! mail風の偽ログイン画面へ誘導されました。ユーザーIDやパスワードは絶対に入力しないでください。
8月に入り、暑さで集中力が落ちやすい時期です。期限を示して操作を急がせるメールほど、ひと呼吸置いて確認しましょう。
調査結果：危険度 ★★★★★
| メールの主張 | パスワードの有効期限が近いため、同じパスワードで継続するよう要求 |
| 送信元IP | 31.210.214.202 |
| 送信サーバー名 | mail.ses36[.]ru |
| SPF | Softfail（正規送信元として認められていない可能性が高い状態） |
| DKIM | 署名なし |
| 最終誘導先 | Active! mail風の偽ログイン画面 |
※メールヘッダー詳細は個人情報保護のため非掲載
これは正規の通知ではなく、認証情報を盗むフィッシングメールです
メールは「パスワード期限」を口実にしています
メールはKAGOYA MAILを名乗り、「パスワードの有効期限は2026年8月10日午前8時38分」と具体的な期限を示していました。ボタンには「同じパスワードを使用する」と書かれ、変更ではなく継続操作を装っています。
KAGOYA MAILを装い、パスワードの継続操作を促すメール画面
KAGOYA MAIL 注意：受信者名 パスワードの有効期限は次のとおりです 2026年08月10日 午前8時38分 アクセス：［受信者メールアドレス］ ドメイン：［受信者ドメイン］ 下のボタンを使用して、同じパスワードで続行します。 ［同じパスワードを使用する］
受信者のメールアドレスやドメインを本文へ差し込み、本物らしく見せています。しかし、メールに記載された個別情報が正しいことと、送信者が正規であることは別問題です。流出情報や推測可能な情報を差し込む手口は珍しくありません。
送信ルートは正規メールと一致しません
メールヘッダーでは、外部から最初に接続した送信元として 31.210.214.202 が記録され、HELO名は mail.ses36[.]ru でした。表示上の差出人名とは異なる送信経路です。
- SPF判定はSoftfail
- DKIM署名は確認できず
- 差出人アドレスは受信者側ドメインを悪用したなりすまし
SPF Softfailとは？
送信に使われたサーバーが、そのドメインの正規送信元として積極的には認められていない状態です。必ず詐欺と断定する項目ではありませんが、今回のように内容・送信経路・誘導先にも不審点が重なる場合は強い警戒材料になります。
リンク先は途中で別ドメインへ移動
メール本文のリンク先は次のドメインでした。
hxxps://clhistoired1mek[.]com/KAGOYA.html?app=［メールアドレス］
実際の確認時には、さらに次のドメインへ移動しました。
hxxps://apexird[.]com/wp-image/1/login.php?cmd=login_submit&id=［符号化文字列］&session=［識別子］
つまり、メールに見えているリンク先と、認証情報を入力させる最終ページのドメインが異なります。複数のサイトを経由させることで、ブロックや追跡を避けようとした可能性があります。
誘導先ドメイン調査
- A / AAAA：記事作成時点では名前解決できず、確認不能
- ASN・ホスティング事業者・国地域：確認不能
- WHOIS登録情報・作成時期・ネームサーバー：確認不能
- SSL証明書：記事作成時点では接続できず、確認不能
- リダイレクト：受信時の実測で
clhistoired1mek[.]comからapexird[.]comへの移動を確認
停止・削除・DNS変更などにより、危険サイトの情報は短期間で取得できなくなることがあります。
Chromeが「危険なサイト」として遮断
Chromeでアクセスしたところ、Google セーフ ブラウジングによる赤い警告画面が表示されました。「最近フィッシングが検出されました」と明示され、通常の閲覧を止めています。
Google セーフ ブラウジングによる「危険なサイト」の警告
このような画面が表示された場合、「詳細を表示」から先へ進まないことが最も安全です。警告画面は邪魔な壁ではなく、被害を止める最後の防波堤です。
ウイルスバスターもフィッシング判定
Trend Micro ウイルスバスター クラウドでも、「このWebサイトは、安全ではない可能性があります」と表示され、脅威の種類はフィッシングと判定されました。
ウイルスバスター クラウドもフィッシングサイトとしてブロック
異なるセキュリティ機能が揃って警告したことからも、この誘導先へ情報を入力してはいけないことは明らかです。攻撃者としては二重に赤信号を出されており、さすがに「安全運転」とは言えません。
最終ページはActive! mail風の偽ログイン
警告を越えた先には、Active! mailのログイン画面を模したページが表示されました。ユーザーIDには受信者情報があらかじめ入力され、パスワードだけを入力させる作りです。
Active! mailを模倣し、パスワード入力を狙う最終ページ
本物の画面に似せていても、アドレスバーのドメインが正規サービスと異なれば偽物です。入力したパスワードは攻撃者へ送信され、メールの乗っ取り、社内情報の閲覧、取引先へのなりすまし送信などに悪用される恐れがあります。
受信したときの対処方法
- メール内のボタンを押さない
管理画面を確認するときは、普段使っているブックマークや公式サイトから開きます。 - ユーザーID・パスワードを入力しない
ブラウザやセキュリティソフトが警告した場合は、その場で閉じてください。 - 入力してしまったら直ちに変更する
正規サイトからパスワードを変更し、同じパスワードを使っている他サービスも変更します。 - 管理者へ連絡する
会社や組織のメールであれば、情報システム担当者やメール管理者へ速やかに報告してください。 - 多要素認証とログイン履歴を確認する
利用可能なら多要素認証を有効にし、不審なログインや転送設定が追加されていないか確認します。
期限通知は、メールのリンクではなく正規画面から確認を
今回のメールは、送信元偽装、多段リダイレクト、セキュリティ製品による警告、偽ログイン画面という複数の危険要素が揃っています。受信しただけなら被害はありません。リンクを開かず、落ち着いて削除してください。
Data Provided by Heartland-Lab Security Research Unit
IP情報の確認には ip-sc.net もご活用ください。
使用配色テーマ：Amethyst（PRIMARY #4a1942 / ACCENT #e91e8c）
今、拡散中の詐欺メール
