「【重要】アカウント閉鎖予定のお知らせ」は詐欺！自社ドメインを騙り69分間で22通、偽Active!mailログインへ誘導する波状攻撃を解析

2026年8月12日

今回は少し毛色の違う詐欺メールです。ブランド名を騙るのではなく、「自分自身のメールアドレス」を送信元として偽装し、短時間に大量に送りつけてくる波状攻撃を解析します。ウェブサイトやメールを自分のドメインで運用している方は、ぜひ最後まで読んでいただきたい内容です。

【実録・波状攻撃】「アカウント閉鎖予定のお知らせ」偽メールの正体：自社ドメインを騙り69分間で22通、偽Active!mailログインへ誘導

Heartland-Lab（ハートランド・ラボ）専門調査レポート

「Kagoya-Support」を名乗り、ホスティング事業者からの重要なセキュリティ通知を装うフィッシングメールです。最大の特徴は、送信元アドレスに受信者自身が運用しているドメインがそのまま使われている点（いわゆる「セルフスプーフィング」）。今回は同一件名のメールが約69分間に22通届くという、明確な波状攻撃も確認されました。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)

※重要：本メールを開封しただけでも、アクティブなメールアドレスとして攻撃者リストに登録されるリスクがあります。

■ 波状攻撃の実態

今回、同一件名・同一送信者表示名のメールが以下のペースで連続して届いていることが確認されました。

10:36:58〜11:45:01（約69分間）に合計22通。おおむね1〜3分に1通のペースで、機械的に大量送信されていたことがうかがえます。途中から件名の先頭に迷惑メールフィルターによる「[spam]」タグが自動付与されるようになっていますが、それでも攻撃は止まりませんでした。

1. ■ メールヘッダー解析（送信者情報）
2. ■ 詐欺メール本文の再現
3. ■ 送信ルート及び偽装判定
4. ■ フィッシングサイト詳細解析
5. ■ 注意点と対処法

■ メールヘッダー解析（送信者情報）

件名：[重要] アカウント閉鎖予定のお知らせ – 確認が必要です

送信者表示名：Kagoya-Support（自社ドメインなりすまし）

受信日時（代表例）：2026年8月12日 10:52

※送受信アドレス・ドメインは個人情報保護のため非掲載（自社ドメインなりすましのため）

ご覧の通り、このメールはホスティング事業者のサポートを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族・同僚のLINEやチャットで共有して注意喚起してください。

■ 詐欺メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（送受信アドレスは伏せています）。実際の見た目は下の画像をご参照ください。

（自社ドメイン） 公式サポート

（受信者名） 様

管理者からの公式通知です。

お客様のメールアカウントはセキュリティ上の理由により一時的に閉鎖予定と
なっております。

アカウントを継続してご利用いただくには、下記リンクより24時間以内に本人確認を完了してください。

［アカウントを確認・解除する］

または以下のURLをブラウザに直接貼り付けてください：
https://wezi.life/w3bact1ve/?（追跡用の長い数字列）

この通知は （受信者アドレス） 宛に送信されました。
参照番号: _#8235143372

管理者
（自社ドメイン） セキュリティチーム

このメールは自動送信されています。心当たりがない場合は上記リンクより速やかに確認を行ってください。

▲ 実際に届いた詐欺メールの画面。受信者自身のドメインがロゴ代わりに大きく表示され、公式通知らしさを演出しています（画像内のドメイン・アドレス部分はマスク済み）。

■ 送信ルート及び偽装判定

■ Receivedヘッダー解析（サーバー通過証明）

認証結果：Received-SPF: Softfail

SPFの判定結果が「Softfail」となっていました。これは受信側のシステムが機械的に判定したものではなく、送信元ドメイン自身が「このホストからの送信は正規ではない可能性がある」と設定で申告している状態です。つまり、自社ドメインの正規のメール送信設定（SPFレコード）には登録されていないサーバーから、そのドメインを名乗って送られてきたことがヘッダー上からも裏付けられます。

【DKIM署名の完全な欠落】：
正規のビジネスメールであれば通常付与されるはずのDKIM署名が、このメールには一切付いていませんでした。SPFのSoftfailとDKIM署名の欠如が重なっている点は、なりすましメールを見分ける上で非常に分かりやすいサインです。

送信元IP：212.19.23.205
HELO名：host.212-19-23-205.broadband.redcom.ru
プロバイダ：Redcom-Bb（AS8749、ロシアの通信事業者）
接続方式：DSL（一般家庭向けブロードバンド回線）
ロケーション：ロシア・ハバロフスク地方・ハバロフスク

法人向けのメール配信基盤ではなく、一般家庭用のDSL回線から送信されている点も特徴的です。持ち主の許可なくマルウェアなどで乗っ取られた家庭用回線（ボットネットの一部）が、大量送信の踏み台にされている可能性が考えられます。

💡ここで！「セルフスプーフィング」ってなに？

通常のなりすましメールは、Amazonや金融機関など第三者のブランド名を騙りますが、「セルフスプーフィング」は受信者自身が保有するドメインを送信元として偽装する手口です。「自分のドメインから自分宛に届いたメールなら安全だろう」という思い込みを逆手に取った、心理的な隙を突く攻撃と言えます。

SPF・DKIM・DMARCといった送信ドメイン認証の設定が甘い（あるいは正しく設定されていない）ドメインほど、この手口の標的になりやすいとされています。ウェブサイトを自分のドメインで運用している方は、レンタルサーバーの管理画面等でこれらの設定状況を確認しておくことをおすすめします。

■ フィッシングサイト詳細解析

誘導URL（伏せ字）：hxxps://wezi[.]life/w3bact1ve/?（追跡用パラメータ）

【URLに仕込まれた追跡情報】：
URLの末尾には長い数字列が付与されており、これは受信者ごとに個別に生成された追跡用パラメータです。メールアドレスの情報が変換されて埋め込まれている構造で、リンクをクリックした時点でどのメールアドレス宛のリンクが開かれたかを攻撃者側で把握できる仕組みになっています。

サーバーIP：108.181.253.84
ホスティング：Telus Communications Inc.（AS40676 Psychz Networks）
ロケーション：アメリカ・テキサス州・ダラス
プロキシ検出：あり（データセンター／CDN系のホスティングプロキシ）

【着地ページ】：
誘導先は、国内の多くのホスティング事業者が採用するWebメールソフト「Active! mail」の本物そっくりのログイン画面でした。ユーザーIDとパスワードの入力欄が並ぶだけのシンプルな構成で、ここに情報を入力してしまうと、メールアカウントの認証情報がそのまま攻撃者に渡ってしまいます。

▲ 誘導先の偽ログインページ。実在のWebメールソフト「Active! mail」のデザインを忠実に再現しています。

※本レポートに記載されている位置情報や国名は、調査時点のデータに基づいています。攻撃者による経由サーバーの切り替えや調査ツールのデータ更新のタイミングにより、実際のロケーションと一時的に変動・乖離することがあります。

■ 注意点と対処法

「自分のドメインから届いた」だけで信用しないでください。差出人アドレスは容易に偽装できます。
Webメールのログインは必ずブックマークから：メール内のリンクは使わず、日頃使っているログインページのブックマークやレンタルサーバーの管理画面から直接アクセスする習慣をつけましょう。
SPF・DKIM・DMARCの設定を確認：自分のドメインを運用している場合は、これらの送信ドメイン認証が適切に設定されているか、レンタルサーバーの管理画面やサポート窓口で確認しておくと安心です。
短時間に大量の同一メールが届いたら要注意：今回のように波状攻撃の形をとるケースがあるため、同じ件名のメールが立て続けに届く場合は特に警戒してください。

本レポートの結論

ブランド名の代わりに「自分自身」を騙るという、心理的な隙を突いた巧妙な攻撃でした。SPF Softfail・DKIM署名なしという明確な不備がありつつも、69分間で22通という執拗さと、本物そっくりのWebメールログイン画面は油断できません。身近な人が騙されてからでは手遅れです。この記事のURLを、自分のドメインでサイトやメールを運用している知人にも共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Charcoal