「MyJCBシステム更新に伴うお客様情報の再確認について」は詐欺！差出人名に隠されたUnicode細工と、hCaptchaで守られた精巧な偽サイトを解析

HL-META: date=2026-09-20 | brand=JCB（MyJCB） | sender_geo=カナダ | site_geo=香港 | spf=pass | dkim=pass | cloaking=unknown

3件目は、クレジットカード大手「JCB」の会員サービス「MyJCB」を騙るメールです。文面自体はよくあるパターンですが、ヘッダーと差出人表示名を詳しく見ていくと、これまで扱った中でも屈指の細工が見つかりました。

①差出人名に隠されたUnicodeの細工

受信箱には差出人が「MyJCB」と表示されますが、メールのソース（ヘッダー部分）をテキストとして表示してみると、実際には次のような不可解な文字の並びになっていました。

From: =?UTF-8?B?4oCuQkNKeU3igKw=?= <noreply@mail01.qimeihulian.com>

この暗号のような部分をデコードすると、「BCJyM」という文字列の前後に、Unicodeの「右から左へ書字方向を強制する制御文字（U+202E、通称RLO）」が仕込まれていることが分かります。この制御文字に挟まれた文字は、メールソフトの画面上では逆向きに表示されるため、本来は「BCJyM」という並びなのに、見た目には「MyJCB」と正しく読めるように偽装されていたのです。

②送信ルートと、水増しされた偽装ヘッダー

※メールヘッダー詳細は個人情報保護のため非掲載としますが、判定に使った要点をご紹介します。

今回特に注目したいのは、ヘッダーの中に本物の配送経路とは無関係な、偽造されたReceivedヘッダーが複数紛れ込んでいた点です。実在の通信キャリアやショッピングサイトのサーバー名を思わせる文字列が経由地として書き足されており、あたかも長く信頼できる経路を通ってきたかのように見せかけようとしていました。同様に、d=microsoft.comを名乗るDKIM-Signatureヘッダーも紛れていましたが、これも実際の送信ドメインとは無関係で、検証もされていない飾りにすぎません。

本物の配送経路は、Received-SPFのclient-ipと、実際にメールを受け取った基盤の記録から特定できます。ヘッダーに何行もっともらしい経由地が書かれていても、それだけで安全性の根拠にはならないという、良い教訓です。

③精巧すぎる偽サイト

本文のログインリンク先は次の通りでした。

誘導先：hxxps://www.primes.ajianegg.com/MyJCB/Webmasters/UP_apps/Login（IP：103.226.154.99／香港のホスティング事業者。ip-sc.netには10件もの被害報告コメントが寄せられています）

④添付ファイルについて

メールにはwebsours.mdという添付ファイルが付いていましたが、感染リスクを避けるため開封・解析は行っていません。カード会社を騙るなりすましメールに、Markdown形式（.md）の添付ファイルが付くのは珍しく、それ自体が不審な点として付け加えておきます。中身が何であれ、心当たりのない添付ファイルは開かないのが鉄則です。

⑤本物のJCBが案内していること

JCB公式サイトでも、メールやSMSからのリンクでMyJCBのID・パスワードやカード情報を求めることはない旨が明記されています。不審なメールを受け取った場合は、メール内のリンクではなく公式サイトから確認することが呼びかけられています。

▶ 参考：JCB公式「あなたも狙われている！JCBをかたるフィッシング事例」

⑥注意点と対処法

• 心当たりのない添付ファイルは、拡張子を問わず絶対に開かないでください。
• 「長期間ログインがない」「ポイントが失効する」といった煽り文句には、いったん立ち止まって送信元を確認してください。
• MyJCBにログインしたい場合は、メール内のリンクではなく、公式アプリやブックマークからアクセスしてください。
• 見た目が本物そっくりでも、URLのドメインがJCB公式（jcb.co.jp等）と異なれば偽物です。
• 万が一IDやパスワードを入力してしまった場合は、速やかにMyJCBのID・パスワードを再設定し、JCBカスタマーセンターに連絡してください。