「至急」Microsoft 365のお支払い更新は詐欺！さくらインターネットの正規基盤とSPF/DKIM完備でフィルターをすり抜けた巧妙な手口

■ メールヘッダー解析（送信者情報）

件名：[至急]Microsoft 365 のお支払い更新が必要です

差出人表示名：Microsoft アカウントチーム

送信元アドレス：info@ns21.team-yoshikaw.com（Microsoftとは無関係の第三者ドメイン）

送信元IP：153.120.25.13（さくらインターネット／AS7684／大阪府大阪市）

SPF：Pass（送信ドメイン自体を攻撃者が正規に管理・運用）

DKIM：正常な署名が付与されており検証可能

受信日時：2026年9月7日 05:18

※メールヘッダー詳細・宛先アドレスは個人情報保護のため非掲載

ご覧の通り、このメールはMicrosoftを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

いつもMicrosoft製品をご利用いただき、誠にありがとうございます。

【重要】ご契約中のMicrosoft 365 Personalの毎月自動更新決済に失敗しました

■ご契約プラン
Microsoft 365 Personal 個人版
■サービス内容
Office全アプリ + OneDrive 1TBクラウドストレージ
■月額料金
1,490円（税込）毎月自動更新

◆決済失敗の主な原因
・登録済みクレジットカードの有効期限切れ
・カード利用限度額または残高不足
・カード会社による一時的な決済遮断

◆放置した場合の影響（ご注意ください）
・Word、Excel、PowerPointなどOfficeアプリの編集機能が完全停止
・OneDrive 1TBストレージへのファイルアップロード不可
・保存済みファイルの長期閲覧にも制限がかかる可能性があります

早急に下記リンクからお支払い情報を更新し、再決済を実施してください。

［お支払い方法を更新する］

ご質問があればMicrosoft日本サポートまでお問い合わせください。

Microsoft Japan カスタマーサポート

実際に届いたメールの表示画面（受信者情報は含まれません）

■ 送信ルート及び偽装判定

【偽装判定】：
正規のMicrosoftからのメールが「team-yoshikaw.com」という無関係などこかのドメインから送信されることはありません。差出人の表示名だけを「Microsoft アカウントチーム」に偽装した典型的なパターンです。

【この案件の特徴：”まっとうな”送信基盤】：
これまでにご紹介してきた詐欺メールの多くは、実在しない中継サーバー名を書き込んだり、内部データが露出したりと、どこかに「作りの粗さ」がありました。今回はSPF認証・DKIM署名がいずれも正常に機能しており、配信停止用のリンクまで用意されているという、迷惑メールというよりは通常のメールマガジンに近い体裁でした。国内の実在するレンタルサーバー事業者（さくらインターネット）を契約し、そこに自分でドメインとメールサーバーを設定して送信していると見られます。

💡ここで！SPF・DKIMが「正常」でも安心できないのはなぜ？

SPFやDKIMは、「そのメールが、名乗っているドメインから正しく送られたか」を確認する仕組みです。しかし、これらはあくまで送信ドメインの持ち主が誰かを保証するだけで、その持ち主が正直かどうかまでは判定してくれません。今回のように、攻撃者が自分の管理下にあるドメイン（`team-yoshikaw.com`）を使ってSPF・DKIMをきちんと設定してしまえば、認証自体は正常に「合格」してしまいます。大切なのは、送信ドメインが「Microsoft」など名乗っているブランドの公式ドメインと一致しているかどうかです。

■ フィッシングサイト詳細解析

誘導先URL：hxxps://www.hnxfcw.com/awgssl/

解決IP：104.21.61.84（Cloudflare／AS13335、実際のサーバーはCloudflareの背後に隠されており所在地は不明）

誘導先は、カード番号・有効期限・セキュリティコード・カード名義人の入力を求める、本物のMicrosoftの決済画面を精巧に模したページでした。この記事執筆時点で、いずれのセキュリティ製品からも危険サイトとして検知されていませんでした。送信メールの体裁の良さと合わせ、非常に見破りにくい部類の詐欺です。

本物そっくりのMicrosoft 365お支払い画面。カード情報一式の入力を求めてくる

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしない：「至急」「決済に失敗しました」という不安を煽る文言には特に注意してください。
2. 送信元アドレスを必ず確認：差出人名が「Microsoft」などと表示されていても、実際のメールアドレスのドメイン部分を確認してください。
3. SPF・DKIMの「認証済み」表示を過信しない：認証が通っていても、それは送信ドメインの持ち主が誰かを示すだけで、内容の正しさは保証されません。
4. 公式アプリ・公式サイトから確認：サブスクリプションの支払い状況は、必ずMicrosoftアカウントの公式ページからご自身で確認してください。
5. 公式の注意喚起も参照：Microsoft公式「フィッシング メールとは？」

本レポートの結論

Microsoftを騙り、「至急」の文言でお支払い情報の更新を焦らせる詐欺メールでした。国内のレンタルサーバー上にSPF・DKIMまできちんと備えた送信基盤を自前で構築しており、どのセキュリティ製品にも検知されずに届いていた点が最大の特徴です。体裁の良さに惑わされず、送信元アドレスそのものを必ず確認する習慣が重要です。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。