HL-META: date=2026-09-12 | brand=JCB | sender_geo=オーストラリア | site_geo=unknown | spf=pass | dkim=unknown | cloaking=unknown

皆さま、こんにちは。今回は、JCBの会員向けサービス「MyJCB」のシステム更新を装い、3Dセキュアの再認証を急がせるメールを確認しました。見た目はもっともらしいのですが、不審な添付ファイルまで付いているため要注意です。

届いたメールの内容

件名は「MyJCBシステム更新に伴うお客様情報の再確認について」。本文では「3Dセキュア認証の有効期限が切れている」と説明し、再認証しないと一部のオンライン決済が利用できなくなる可能性があると不安をあおります。

MyJCB
【重要】3Dセキュア認証 再確認のお願い

お客様のカードに紐づく3Dセキュア認証
（本人認証サービス・JCB Secure）の有効期限が切れております。
セキュリティ向上の観点から、再認証をお願いしております。

要求期限：2026-09-12 23:59

3Dセキュア認証を実行する
hxxps://www.prime.mvokeanos[.]com/MyJCB/Webmasters/UP_apps/Login

特に危険なのは「jcb.wvcc」という添付ファイル

このメールには、「jcb.wvcc」という見慣れない拡張子の添付ファイルが付いていました。拡張子や内容の安全性を確認できないため、Heartland-Labでは感染リスクを避ける目的で開封・実行・内部解析を行っていません。

不審なメールに添付されたファイルは、たとえ本文が本物らしく見えても開かないでください。メール本文中のリンクと添付ファイルの両方を用意し、どちらかを触らせようとする構成は、受信者の警戒をすり抜けるための手口として注意が必要です。

送信元を調べるとGoogle Cloudのシドニー

外部から最初に着信した送信元として確認できるのは 34.151.71.250 です。調査結果ではGoogle LLC、AS396982（GOOGLE-CLOUD-PLATFORM）、オーストラリア・ニューサウスウェールズ州シドニーのクラウド基盤として確認されました。

SPFはPassでした。しかし、これは「JCBから送られた」という意味ではありません。送信に使われた独自ドメイン側でSPF設定が整っていれば、攻撃者のメールでもSPFはPassになり得ます。

リンクを開くと、セキュリティソフトもChromeも警告

本文中のリンク先は、確認時点でセキュリティ製品からフィッシングの可能性を警告され、Chromeでも「危険なサイト」としてブロックされました。

JCB公式も、JCBを装ったメールやSMSから偽サイトへ誘導し、MyJCBのID・パスワードやカード情報を盗み取るフィッシングに注意するよう案内しています。公式案内では、不審メールからではなくMyJCBアプリやブックマークした公式サイトからアクセスすることが推奨されています。

JCB公式「フィッシング詐欺にご注意ください」

警告を越えた先にはhCaptcha、その後に偽MyJCB

さらに確認すると、最初に「I’m not a robot」と表示するhCaptcha画面が現れ、その後にMyJCBを模したログイン画面へ進む構成でした。

JCB公式では、MyJCBのID・パスワードを狙うフィッシング事例が確認されていることを明記しています。また、J/Secure（3Dセキュア）の認証画面で不審な表示や異常を感じた場合は、認証を続けず画面を閉じるよう案内しています。

JCB公式「3Dセキュア（J/Secure）」

今回の手口で気を付けたいポイント

• 「3Dセキュアの期限切れ」と期限を示して焦らせる。
• 見慣れない「jcb.wvcc」という添付ファイルを付けている。
• SPFがPassでも、送信者がJCBだと証明されたわけではない。
• hCaptchaを挟み、正規サイトのような雰囲気を作っている。
• 最終的にはMyJCBそっくりのログイン画面に誘導する。

受け取った場合の対処法

1. メール本文中のリンクを開かない。
2. 添付ファイルを開かない・実行しない。
3. MyJCBを確認する場合は、MyJCBアプリまたは自分で登録したブックマークから開く。
4. ID・パスワード等を入力してしまった場合は、JCB公式案内に従って速やかに変更・相談する。