ANAマイル詐欺の件名が「読めるようで読めない」理由——文字を逆順にしてRLO制御文字で偽装、ゼロ幅文字も併用する二重の仕掛け

HL-META: date=2026-08-16 | brand=ANA（なりすまし） | sender_geo=日本（Microsoft Azure） | site_geo=unknown（ASN未確認） | spf=pass | dkim=unknown | cloaking=no

「件名が読めるようで読めない」——今日はそんな奇妙なメールが編集部に届きました。同じANAマイレージクラブを騙る詐欺メールの記事を先ほど公開したばかりですが、今回は文面ではなく「件名そのものの偽装技術」に焦点を当てた解析です。

受信箱に届いた件名は「いさだ くでい なせ さ効失 をルイマ」——一見ワードサラダのような、意味の通らない文字列でした。ところが実際に中身をデコードして調べたところ、そこには3種類の不可視・制御文字を組み合わせた、二重三重の偽装が隠されていました。※メールヘッダー詳細は個人情報保護のため非掲載です。

緊急性レベル	★★★☆☆（3/5）
偽装工作精度	★★★★★（5/5・件名偽装の技術的完成度が高い）
受信日時	2026年8月16日 17:33頃

ご覧の通り、このメールはANA公式ではありません。詐欺メールです。件名の見た目がおかしいこと自体が、実は重要な危険信号です。

メール本文自体は、本日先に公開した記事と同じANAマイレージクラブを騙る内容でした。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

【重要】マイルの有効期限がまもなく到来します

いつもANAをご利用いただき、誠にありがとうございます。
下記のとおり、保有マイルの有効期限が近づいています。失効前にご利用ください。

現在の保有マイル：134,726
失効予定日：2026年08月20日

［マイルを今すぐ利用する］

本メールはANAマイレージクラブ会員の皆さまにお送りしています。

■ 件名を1文字ずつ調べてみる

見た目がおかしい件名を見たとき、有効な調べ方の1つが、メールのソースコード（生ヘッダー）を表示し、件名部分をUnicodeコードポイント単位で確認することです。今回、件名のエンコード部分をデコードして1文字ずつ調べたところ、次のような並びになっていることが分かりました。

U+202E（RLO：右から左への書式オーバーライド開始）
い さ だ [U+200C] く で い [U+200C] な せ [U+200B] さ 効 失 [U+200B] を ル イ マ
U+202C（PDF：オーバーライド終了）

見えている文字だけをつなげると「いさだくでいなせさ効失をルイマ」となり、これだけでは意味不明です。ところが、この文字列を丸ごと逆順に並べ替えると「マイルを失効させないでください」という、本来の件名がそのまま現れます。

さらに、単語の切れ目にはU+FEFF・U+200C・U+200Bといった、画面には一切表示されないゼロ幅文字が複数挿入されていました。これは、件名の文字列としての一致度を意図的に下げ、スパムフィルターの完全一致検出をすり抜けるための仕掛けです。

同様の細工は差出人名にも見られました。「ANA」というブランド名の文字と文字の間にゼロ幅接合子（U+200D）が挿入されており、これが一部のメールソフトで「A NA」のような不自然な空白として表示されていました。

■ 送信ルートと関連記事との接続

Received-SPFヘッダーによると、真の送信元IPは20.89.19.92（Microsoft Azure）で、SPFはPassしていました。誘導先URLを確認したところ、本日先に公開した「開封確認」で生きたアドレスを選別する手口を解説した記事と全く同じランディングURLであることが分かりました。同じキャンペーンから、件名の偽装パターンだけを変えた複数バリエーションが並行して送信されているとみられます。ヘッダー中に埋め込まれた偽装Received行（大手ポータルサイトや実在サービスの中継サーバーを装うもの）についても、同記事と共通の手口が使われていました。

■ 誘導先サイトの解析

今回アクセスを試みたところ、前回記事の時点とは異なり、ウイルスバスター クラウドによるブロックは表示されませんでした。そのままhCaptchaによるボット判定画面が現れ、通過すると精巧な偽のANAログイン画面まで到達しました。

同じURLでもタイミングによってセキュリティソフトの検知状況が変わる場合があることが、今回の観測で分かりました。「前に見たときはブロックされたから大丈夫」という思い込みは禁物です。

■ 不審な添付ファイルについて

今回も「ana.co.jp.tzz」という不審な拡張子の添付ファイルが付いていました。拡張子が不審なため、当サイトでは開封・解析を行っていません。

■ 注意点と対処法

1. 件名や差出人名が「読めるようで読めない」「不自然な空白がある」場合は、単なる文字化けと片付けず、偽装の可能性を疑ってください。
2. 怪しいと感じたメールは、返信・開封確認・配信停止などの操作を一切行わず、そのまま削除することをおすすめします。
3. セキュリティソフトが「安全」と判定した実績があっても、同じURLが常に安全とは限りません。判定結果を過信しないようにしましょう。
4. 不審な拡張子の添付ファイルは開かず、そのまま削除してください。

見た目の不自然さに気づけるかどうかが、被害を防ぐ第一歩です。この記事のURLをコピーして、ご家族やお友達のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

---

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Navy