HL-META: date=2026-09-08 | brand=KAGOYA（なりすまし） | sender_geo=ポルトガル | site_geo=unknown | spf=none | dkim=none | cloaking=unknown

皆さま、こんにちは。少し間が空いてしまいましたが、本日より通常営業を再開しております。留守にしていた間も詐欺メールは容赦なく届いていたようで、さっそく1件、なかなか興味深いものを見つけましたのでご紹介します。

実際に届いたメールの内容

今回届いたのは、件名「【Excel】〇〇様宛ての書類をご確認ください」というメールです。一見するとOneDriveやSharePointでよく見る「ファイル共有通知」を装ったデザインになっています。

※メールヘッダー詳細は個人情報保護のため非掲載

本文をテキストで再現すると、以下のような内容でした。

EXCEL
共有されたファイル

～の書類　[受信者名]　レビューの準備が整っています。

[Xlsx] INV_129656_契約_2026-09-01.xlsx
共有ブック・160.1 KB

[オンラインでプレビュー] [ダウンロード]

セキュリティ上の注意事項: Kagoyaからの自動通知（転送不可）.
© 2026 [受信者の組織ドメイン]. 無断転載を禁じます.

ここで早くも1つ、矛盾が見つかります。件名に含まれるファイル名の日付は「2026-09-08」なのに、本文カード内のファイル名は「2026-09-01」になっているのです。テンプレートを使い回す際に、細部の日付を統一し忘れたのでしょう。

送信ルートと偽装の実態

メールヘッダーを解析すると、送信元として記載されているアドレスはsupport@activemailkagoya.jpでした。KAGOYA（カゴヤ・ジャパン）の正式なドメインではなく、ブランド名を連想させるためだけに作られた偽ドメインです。

さらにヘッダーの中の「Received-SPF」フィールドから、実際にメールを送信したサーバーのIPアドレスを確認したところ、37.189.133.103というポルトガルの住宅用DSL回線であることが判明しました。KAGOYAという日本の会社が、ポルトガルの一般家庭の回線からメールを送ってくるはずがありません。

誘導先サイトの状況

本文の「オンラインでプレビュー」「ダウンロード」ボタンは、通常のHTMLメールであれば直接リンク先が指定されているものですが、今回はどちらも実際のリンク先を示すhrefが空になっており、リンク先のURLはボタンにマウスを乗せたときに出るツールチップ（”Ctrl+Click or tap to follow the link”という案内文つき）の中にだけ残っていました。攻撃者が別の本物らしいメールからボタンごとコピーしてきた際に、肝心のリンク貼り付けを失敗した痕跡だと考えられます。

実際に検証環境で「オンラインでプレビュー」に該当するリンク先を確認したところ、ログイン画面や入力フォームは表示されず、同じメールの画面が新しく開くだけという状態でした。誘導先サイトが既に閉鎖されているか、そもそもリンクの仕込みが不完全だった可能性があります。とはいえ、リンクの状態は攻撃者側の都合でいつでも変わるため、油断は禁物です。

注意点と対処法

• 見覚えのない「ファイル共有」通知が届いても、本文中のボタンやリンクは押さないでください。
• 取引先や社内から本当にファイルが共有された場合は、普段使っているクラウドサービス（OneDrive、Google Drive等）に直接ログインして確認する習慣をつけましょう。
• もし誤ってリンクを開いてしまっても、ID・パスワードなど何も入力していなければ、過度に心配する必要はありません。心配な場合は関連アカウントのパスワードを変更しておくと安心です。