「910698 人事部：書類に署名してください」は標的型フィッシング！乗っ取られたGoogle Workspaceと偽Microsoft認証URLでロリポップユーザーを狙う手口

2026年8月22日

今回は、これまでご紹介してきた大量ばら撒き型の詐欺メールとは一線を画す、非常に手の込んだ標的型フィッシングをご紹介します。狙われていたのは、レンタルサーバー「ロリポップ！」のメールアドレスをお使いの方です。

【実録】「人事部：書類に署名してください」の正体：乗っ取られたGoogle Workspaceと偽装OAuth URLでロリポップユーザーを狙う手口

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

緊急性レベル	★★★★★（5/5）
偽装工作精度	★★★★★（5/5）※正規Google Workspace悪用＋偽OAuth URL＋多段乗っ取りサイト

件名：910698 人事部：書類に署名してください

送信者表示名：DocInnovate© <benaELXO@leesportmarket.com>

受信日時：2026年8月22日 10時25分頃

※メールヘッダー詳細および宛先アドレスは個人情報保護のため非掲載

ご覧の通り、このメールはOneDrive for Businessを装った真っ赤な偽物です。ロリポップ！のメールアドレスをお使いの方は特にご注意ください。この解析結果を家族や職場の同僚に転送して注意喚起してください。

1. ■ メール本文の再現
2. ■ 送信ルート及び偽装判定：乗っ取られた実在企業のGoogle Workspace
3. ■ フィッシングサイト詳細解析：偽装されたMicrosoft認証URL
4. ■ 注意点と対処法

■ メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

ONEDRIVE FOR BUSINESS

文書へのアクセス

（受信者様） から確認用の安全なファイルが提供されました。以下のリンクからアクセスできます。

Statement_201646524991.pdf
セキュアPDF・参照：383031946646

［文書を開く］

Microsoft OneDrive Business

ID: 067723681596-Auction

実際に届いたメールの画面。宛先とメールアドレスは伏字加工しています

件名の「910698」という一見意味ありげな数字や、「人事部」という部署名は、社内の正式な事務連絡であるかのように見せかける演出です。「書類に署名してください」という文言は、業務の一環として日常的にありうる依頼のため、警戒心を持たれにくい巧妙な切り口です。

■ 送信ルート及び偽装判定：乗っ取られた実在企業のGoogle Workspace

今回のメールは、これまで解析してきた詐欺メールとは決定的に異なる特徴があります。SPF・DKIM・DMARCの認証結果がすべて「Pass」だったのです。通常、これらすべてが正規に通過するメールは高い信頼性の証とされますが、今回はその仕組み自体が逆手に取られていました。

■ メールヘッダー解析（送信者情報）

SPF／DKIM／DMARC：いずれもPass（差出人ドメイン「leesportmarket.com」自体の認証としては正規）

送信経路：Google Workspace（Gmail正規SMTPリレー経由）

真の送信元IPロケーション：172.245.174.85（HostPapa／ColoCrossing、米国・ニューヨーク州バッファロー）

差出人ドメイン「leesportmarket.com」は、実在するスポーツ用品関連の企業とみられるドメインで、そのGoogle Workspace（企業向けGoogleサービス）アカウントが第三者に乗っ取られ、悪用されたと考えられます。ヘッダーを詳しく追跡すると、実際にGmailの正規SMTPリレーサーバーへ認証接続してきた大元のIPアドレスは、ニューヨーク州バッファローのホスティング事業者でした。正規のクラウドサービスを踏み台にすることで、受信側のメールサーバーが持つ通常のなりすまし検知の仕組みを、形式上は正しく通過させてしまう非常に巧妙な手口です。

■ 用語解説：正規クラウドサービスの踏み台化

SPF・DKIM・DMARCは、送信元ドメインが「なりすまされていないか」を検証する仕組みであり、送信された内容の安全性を保証するものではありません。攻撃者が実在の企業のGoogle WorkspaceやMicrosoft 365といった正規クラウドサービスのアカウントを乗っ取った場合、そのアカウントから送るメールは技術的には「本物のドメインから正しく送られたメール」として認証を通過してしまいます。差出人ドメインの認証結果だけでなく、本文の内容や誘導リンクの実際の遷移先まで確認することが、この手口を見抜く上で欠かせません。

■ フィッシングサイト詳細解析：偽装されたMicrosoft認証URL

メール内の「文書を開く」ボタンのリンク先は、一見するとMicrosoft公式の認証エンドポイント（login.microsoftonline.com）を指しているように見えました。しかし、そこに付与されていたパラメータは、通常のMicrosoft認証で必須となる項目が欠けた不正な構成になっていました。

■ 誘導リンクの解析

最終着地先URL（伏せ字、Microsoftのエラー表示を模した文言付き）：
hxxps://macielsoaresimobiliaria.com.br/lolipop/?error=interaction_required&error_description=AADSTS50133...

着地先IPアドレス：108.179.252.42（Websitewelcome.com／HostGator、ブラジル・サンパウロ州）

最終的にたどり着くURLには「AADSTS50133」というMicrosoft Entra ID（旧Azure AD）で実際に使われるエラーコードや、もっともらしい「Trace ID」「Correlation ID」といった文字列が丁寧に埋め込まれていました。これは、あたかも本物のMicrosoft認証システムがパスワード期限切れなどの理由でエラーを返したかのように見せかけ、その直後に表示される偽サイトへの違和感を薄れさせるための巧妙な演出です。

実際のアクセス過程では、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」として警告を表示しました。

Chromeのセーフブラウジング機能による警告画面。この時点でアクセスを中止するのが正解

着地先のドメイン（macielsoaresimobiliaria.com.br）は、ブラジル・サンパウロ州の実在する不動産業者のサイトとみられ、サーバーが乗っ取られ、無関係な詐欺コンテンツを勝手に設置された「踏み台被害者」の可能性が高いです。この事業者を非難する意図は一切ありません。

最終的に表示されるのは、レンタルサーバー「ロリポップ！」のWebメーラー（ブラウザから使えるメールサービス）のログイン画面を精巧に模した偽ページでした。

最終着地点の偽ログイン画面。ロゴ・配色ともに本物のロリポップ！Webメーラーに酷似している

ここでメールアドレスとパスワードを入力してしまうと、レンタルサーバーの管理者権限に直結するメールアカウントの認証情報が、そのまま攻撃者に渡ってしまいます。個人のWebメールと違い、レンタルサーバーのメールアカウントは、運営しているWebサイトやドメイン全体の管理に関わる場合も多く、被害の範囲が広がりやすい点に注意が必要です。

■ 注意点と対処法

■ こんなメールに要注意

SPF・DKIM・DMARCがPassでも安心しない：正規サービスの乗っ取りアカウントから送られると、これらは正しく通過してしまいます。
「署名」「確認」を求める心当たりのない文書は開かない：業務関連を装う文面ほど警戒してください。
リンクの実際の遷移先を必ず確認する：表示上はMicrosoft公式に見えても、最終的な着地先まで確認する習慣をつけましょう。
セキュリティソフトやブラウザの警告は絶対に無視しない：「危険なサイト」の警告が出た時点でアクセスを中止してください。
レンタルサーバーのメールアカウント情報は特に慎重に扱う：不審なログイン画面には絶対に入力しないでください。

ロリポップ！公式の「ロリポップを騙ったなりすましメールの見分け方や注意点」にも、実例や対処法が詳しく掲載されています。あわせてご確認ください。

本レポートの結論

乗っ取られた実在企業のGoogle Workspaceアカウント、偽装されたMicrosoft認証URL、そして乗っ取られたブラジルの実在サイトという、三重の「借り物のインフラ」を組み合わせた極めて高度な標的型フィッシングでした。技術的な認証がすべて正しく通過してしまう以上、最終的には「内容そのものへの警戒心」が最後の防衛線になります。この記事のURLをコピーして、ロリポップ！をお使いの同僚や知人にも「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Burgundy