今回ご紹介するのは「ローソン」を騙るメールですが関連記事もページ末尾に記載のデーターベースアーカイブからご覧頂けます。

【実録】ローソンを装う「最終ご案内」デジタルギフト詐欺メールを徹底分析！サーバー保管期限で焦らせる巧妙なフィッシング手口を公開

みなさん、こんにちは。街の頼れるIT専門家です。
今日もみなさんの大切な情報と資産を守るため、最新のサイバー脅威を分かりやすく紐解いていきましょう。

今回、当研究所に極めて巧妙なフィッシング（情報を盗み出す偽サイト）メールが持ち込まれました。
大手コンビニチェーンの「ローソン」を名乗り、「デジタルギフト（お買物券）の期限が切れる」と偽って不安を煽る手口です。
わずか数分の間に件名や差出人名を変えて何度も送りつけてくるなど、執拗な配信傾向が見られます。
まずはその全貌をしっかりと確認し、罠に落ちないための知識を身につけましょう。

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. 不審メールの受信状況と視覚的特徴（スクショエリア）

【メール本文のスクリーンショット】

メールの画面（スクリーンショット）を確認すると、非常にすっきりとした見やすいレイアウトで作られています。
ローソンの公式ロゴマークなどの画像は添付されておらず、文字の装飾や太字、カラー文字（赤色の期限表示など）を効果的に使って、ユーザーの心理を「早くクリックしなければ」と焦らせるデザインになっています。
一見するとシンプルで本物のように思えてしまいますが、これが罠の恐ろしいところです。

※なお、本記事の後半で詳しく触れる「メールヘッダー（メールの配送ルートが記録された裏情報）」については、受信者個人のプライベートなサーバー情報が多数含まれており、セキュリティ保護の観点から画像の掲載を差し控え、テキストによる抜粋解析のみとしています。

2. 受信メール本文の完全再現

メールを開いてしまった際の被害を避けるため、実際の不審メール本文を以下に極めて忠実に再現しました。
（※セキュリティの観点から、本文内のURLの一部は伏せ字に変更し、クリックできないよう無効化しています）

一見すると、親切な「お買物券の有効期限通知」のように思えますが、実は大きな罠が隠されています。
メールを開いた（プレビューした）だけで実質的な金銭被害が出るわけではありませんが、画像付きメールの場合や「開通通知」が仕込まれている場合、送信者側に「このメールアドレスの持ち主は今メールを読んでいる（実在するアカウントである）」という「アドレス生存通知」が届いてしまうリスクがあります。
そうなると、今後さらに大量の詐欺メールの送信対象リストに入れられてしまう可能性が高くなります。
つまり、身に覚えのないギフト通知は、開かずに無視するか、すぐに削除するのが最善であるということです。

3. 送信者情報の精査と配送ルートの解析

次に、このメールがどこから送られてきたのか、送信者のメールアドレスと「メールヘッダー（通信記録）」から解析してみましょう。
公式であるはずのローソンが、このような無関係のアドレスを使うことは絶対にありません。

メールの配送ルートを示す「Receivedヘッダー」のうち、送信元の足跡が刻まれたもっとも古い記録（最下部のデータ）を抽出しました。
（※セキュリティ保護のため、中継された日本のレンタルサーバー名や受信者のメールアドレスは伏せ字にしています）

【偽装判定と解説】
ここが重要なポイントです。このメールはSPF認証もDKIM認証も「pass（成功）」しています。
「認証が成功しているなら安全では？」と思ってしまいがちですが、これは「差出人が偽りのドメイン（ncyamy.com）を自ら用意し、そのドメインから正しく送信した」ということを意味しているに過ぎません。
公式のローソン（lawson.co.jp）から送られたメールではなく、犯人が用意した無関係な使い捨てドメインから送信されているため、完璧なドメイン偽装メール（詐欺メール）であると断定できます。
つまり、認証が成功しているからといって安心せず、アドレスのドメイン名そのものが本物かどうかを見極める必要があるということです。

※IPアドレスが示す位置情報は、プロバイダの管理拠点の場所であり、犯人が実際に潜伏している場所とは限りません。また、ロケーション情報は刻々と変化するため、あくまで調査時点の参考値となります。

4. 誘導先詐欺サイトの検証と「クローキング」の手口

メール本文に配置されたリンク（URL）の危険性と、アクセスした際に何が起きるのかを詳しく解説します。

不審なアクセス制限（セキュリティ警告・遮断画面）

【URLが極めて危険と判断できるポイントと解説】
このサイトに特定の環境（パソコンなど）からアクセスを試みると、画面には「アクセス拒否 リクエストがブロックされました。後ほどお試しください。ファイアウォールで保護されています」という、一見セキュリティシステムが遮断したかのようなエラーページが表示されます。

実は、これこそが犯人の仕掛けた罠であり、「クローキング（Cloaking）」と呼ばれる巧妙な欺瞞（ぎまん）工作の証拠です。
クローキングとは、アクセスしてきた相手を自動的に判別し、セキュリティ調査機関やパソコンからの接続には「アクセス拒否」のダミー画面を見せ、一般のスマートフォンからの接続の時だけ、本物そっくりの偽ログイン画面（フィッシングページ）を表示させる手口のことです。
これにより、調査の手から逃れ、フィッシングサイトを少しでも長生きさせようとしています。
つまり、画面に「ブロックされました」と表示されても、それは安全なサイトという意味ではなく、裏で悪質な詐欺ページが巧妙に隠蔽されているということです。

5. 安全を守るための注意点と対処方法

6. まとめ

今回のローソンを騙る「デジタルギフト未開封通知」は、「数日後に自動削除される」という強い時間制限（カウントダウン効果）を利用し、慌てたユーザーにスマートフォンでURLをクリックさせようとする、非常に計算された犯罪行為です。
公式企業が、ランダムな英数字で構成された奇妙なドメインのURLから、個人情報の入力を求めることは絶対にありません。
「何かおかしい」と感じる直感を大切にし、焦らずに一度立ち止まる習慣を身につけましょう。

身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

関連する過去の解析事例はこちらから検索できます。

📌 同じ手口の関連記事：【実録】セブンイレブンを騙る詐欺メールも確認されています→こちら