【調査報告】Netflix「アカウント異常検知」フィッシング詐欺──PCとスマホで誘導先を切り替える巧妙な仕組みを解析

2026年6月20日

【調査報告】Netflix「アカウント異常検知」フィッシング詐欺の正体

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

今回ご紹介するのは「Netflix」を名乗り、「通常とは異なるアクティビティパターンを検知した」と通知してくるフィッシングメールです。Netflixも国内の利用者が非常に多いサービスなので、似たメールが届いた方は少なくないはずです。今回は調査の過程で、パソコンからアクセスした場合とスマートフォンからアクセスした場合で、誘導先がまったく違う挙動をするという興味深い仕組みが見つかりました。最後まで読んでみてください。

※重要：HTMLメールとして配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★★☆ (4/5)
デバイス判別の巧妙さ	★★★★★ (5/5)

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

この手口がよく考えられているのは、「不正アクセスが発生した」と決めつけるのではなく、「必ずしも不正アクセスが発生したことを意味するものではありませんが」と、わざとぼかして伝えてくる点です。具体的に何が起きたのかを言わないからこそ、受け取った人は「もしかして自分のアカウントで何かあったのかも」と、自分の想像で不安を膨らませてしまいます。電話番号認証を直接要求するメールよりも、「システムが何かを検知した」という抽象的な物言いの方が、むしろ警戒心を解きやすいとも言えそうです。

■ メールヘッダー解析（送信者情報）

件名：【Netflix】【要確認】アカウント異常検知に関するご連絡

送信者名：“Netflixプレミアムサポート”

送信元アドレス：finance@rienagxy.shipping.pc12351.com

送信元IPアドレス：35.217.72.156

受信日時：2026年6月20日 08:45頃

※ヘッダーには受信者の情報が含まれるため、本来なら掲載してご紹介するのが本筋ですが、個人情報保護のため伏せさせていただきます。

送信元アドレスのfinance@rienagxy.shipping.pc12351.comからは、Netflixとの関連が一切感じられません。「finance（財務）」「shipping（配送）」という単語が並んでいるのも不自然で、もしかすると同じ攻撃者が動画配信サービス向け・通販サービス向けなど複数のテンプレートを使い分ける中で、サブドメインの命名がたまたま流用されたのではないかと推測されます。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

アカウント異常検知 – ご本人確認のお願い

（宛名部分は伏せ字）様

平素よりNetflixをご利用いただき、誠にありがとうございます。

Netflixセキュリティ監視システムが、お客様のアカウントにおいて通常とは異なるアクティビティパターンを検知いたしましたことをご報告申し上げます。お客様のアカウント保護のため、至急ご確認をお願いいたします。

検知された異常アクティビティの詳細

以下の項目について、お客様の通常のご利用パターンとの差異が確認されました。お心当たりのない場合は、第三者による不正アクセスの可能性がございます。

検知日時　　直近のシステム監視期間内

検知種別　　アカウントアクティビティパターン異常

深刻度　　　要確認

推奨対応　　電話番号認証による本人確認

Netflixでは、お客様のアカウントを保護するため、24時間365日の自動監視体制を敷いております。今回の検知は、必ずしも不正アクセスが発生したことを意味するものではありませんが、予防的見地から、お客様ご本人によるアカウント確認を推奨するものでございます。

確認手続きでは、お客様の電話番号を用いた認証により、当該アカウントが確かにご本人様によって管理されていることを検証します。本手続きにより、万が一の不正利用リスクを未然に排除し、安心してNetflixをお楽しみいただける状態を確保いたします。

なお、確認手続きが未完了の場合、セキュリティポリシーに基づき、アカウントの一部機能が制限される可能性がございます。お手数をおかけいたしますが、以下のボタンより早急にご確認いただけますと幸いです。

本人確認を実施する
安全な確認プロセスへ進みます（SSL/TLS暗号化）

※本検知は予防的措置であり、必ずしも被害発生を意味するものではございません。
※お客様のアカウント情報は、SSL/TLSにより暗号化され安全に保護されております。
※ご本人確認完了後は、通常どおりNetflixの全機能をご利用いただけます。
※本メールは自動監視システムによる配信です。ご返信には対応いたしかねます。

Netflixセキュリティ監視センター
Netflix, Inc.
© 2026 Netflix, Inc. All Rights Reserved.

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=35.217.72.156; helo=shipping.pc12351.com; envelope-from=finance@rienagxy.shipping.pc12351.com

【偽装判定】：
SPF・DKIMともにPassと表示されていますが、これは攻撃者自身が用意したインフラからの送信として正規に見えるだけです。送信元ドメイン「pc12351.com」はNetflixの正規ドメイン（netflix.com）とは一切関係がありません。

発信元ロケーション解析：
IPアドレス35.217.72.156の地理的情報は【ip-sc.netで確認する】からご覧いただけます。ロケーションデータは日々変化する可能性がありますので、あくまで調査時点の参考情報としてご覧ください。

※メールヘッダー詳細は個人情報保護のため非掲載

■ フィッシングサイト詳細解析（デバイス別の挙動）

PCからアクセスした場合の誘導先（伏せ字）：hxxps://www.chinashaoju.com/?kFsyXse6rYVJA96vNVTpqSwt (一部伏字)

結果：「アクセス拒否（リクエストがブロックされました）」というファイアウォールのエラー画面が表示され、サイト内容は確認できませんでした。

スマートフォンからアクセスした場合の誘導先（伏せ字）：hxxps://login.yunxingholdings.com/home (一部伏字)

サイトサーバーIP：172.67.194.142（Cloudflare経由）

結果：本物のNetflixログインページを忠実に再現した「携帯電話番号を入力してください」という入力フォームまで到達しました。Google reCAPTCHAのロゴまで本物らしく表示されており、フリーダイヤルの問い合わせ番号や利用規約、特定商取引法に基づく表示へのリンクまで設置されている、非常に作り込まれたページでした。

同じリンクなのに、アクセスする端末によって表示される内容がこれだけ違うのは偶然ではありません。これは「クローキング」と呼ばれる、アクセスしてきた相手を見分けて表示内容を切り替える技術です。一般的に、セキュリティ企業や自動検知システムの調査はパソコンから行われることが多いため、PCからのアクセスにはあえてエラー画面を見せて「このサイトは怪しくない（むしろ閉鎖されているように見せる）」と判断させ、調査をすり抜けようとする狙いがあると考えられます。一方で、実際の被害者の多くはスマートフォンでメールを確認してそのままタップする傾向があるため、スマホには本物そっくりの入力フォームを表示して、実際の情報収集はそちら側で行う、という分業体制になっているわけです。

ドメイン名「yunxingholdings.com」も気になるポイントです。「holdings」という単語からは、何らかの持株会社・グループ企業を連想させますが、実際には動画配信サービスとは無関係の、攻撃者が用意した使い捨てドメインに過ぎません。

■ 注意点と対処法

携帯電話番号を入力しない：本物そっくりの入力フォームであっても、ドメインがNetflixの正規のもの（netflix.com）でなければ、絶対に情報を入力しないでください。
「ブロックされた＝安全」と思わない：パソコンでアクセスしてエラー画面が出ても、それは「サイトが存在しない」のではなく、調査をかわすための演出である可能性があります。判断材料として過信しないでください。
公式アプリで直接確認：アカウントの状態が気になる場合は、メール内のリンクではなく、いつも使っているNetflixアプリやブックマークから直接確認してください。
公式注意喚起の参照：Netflixヘルプセンター「フィッシングまたはNetflixを名乗る疑わしいメールやテキストメッセージ」（不審なメールは phishing@netflix.com へ転送できます）

本レポートの結論

今回のメールは「異常アクティビティの検知」という抽象的な言葉で不安を煽り、アクセスしてきた端末によって表示内容を切り替えるクローキング技術まで使った、手間のかかったフィッシングメールでした。パソコンでアクセスして「ブロックされた」からと安心するのは早計で、実際の被害者の多くはスマートフォンから狙われている可能性があります。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 この記事をLINEで家族・友人に共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net