【重要】令和6年分・令和7年分 所得税の還付について｜国税庁を装う偽e-Taxアプリ詐欺メール
10月も半ば。会社から年末調整の書類が配られ、「今年は還付があるかな」とそろそろ気になってくる頃ではないでしょうか。そんな気持ちにつけ込むように、今朝5時台から、国税庁を名乗る「所得税の還付」メールが届きました。
今回は、年度だけ違う2通（令和6年分・令和7年分）を1本の記事にまとめて調べました。先にお伝えします。どちらも詐欺メールです。「Android版 e-Tax アプリをダウンロード」のボタンは押さないでください。
HEARTLAND SECURITY RESEARCH
「【重要】令和6年分・令和7年分 所得税の還付について」
偽メール＆偽サイト 調査レポート（2026年10月15日受信・2通）
| 危険度 | ★★★★☆（「アプリをダウンロード」と誘導し、スマホには偽のGoogle Play画面で「提供元不明アプリの許可」まで案内する。アプリ本体の動きは未確認） |
| 巧妙さ | ★★★★☆（差出人名の文字反転、見えない文字、PCとスマホで表示を変える仕組み。ただしフッターの「国税座」など粗さも） |
| 受信日時 | 2026年10月15日 5:56頃（令和6年分）／6:07頃（令和7年分） |
| 表示上の差出人 | 「国税庁」（2通とも。実際のアドレスは国税庁と無関係） |
| 実際の送信ドメイン | zealous[.]clzyqcs[.]com（令和6年分）／juxtapose[.]gemande[.]com（令和7年分） |
| 送信元IP | 20.89.131.138（日本・東京都渋谷区／Microsoft）、20.194.98.118（韓国・ソウル特別市／Microsoft） |
| SPF | pass（ただし攻撃者自身のドメインで通っただけ） |
| DKIM | 署名は付いているが、送信ドメイン自身のもの |
| メール内のリンク先 | hxxps://szxwgs[.]com/（令和6年分）／hxxps://ijcke[.]com/（令和7年分） |
| 最終的な偽サイト | PC：hxxps://tendclothin-jp[.]com/スマホ： hxxps://zhongjuxian-jp[.]com/（2通とも同じ行き先） |
| 偽サイトのIP | PC側：34.97.152.185（日本・大阪／Google Cloud）。スマホ側は未確認 |
これは国税庁からのメールではありません。詐欺メールです。
「Android版 e-Tax アプリをダウンロード」のボタンは押さないでください。
届いた2通のメール
受信箱に並んでいたのは、件名の年度だけが違う2通でした。届いた時刻は5:56と6:07、わずか11分の差です。
受信一覧。件名の年度だけが違う2通が、11分差で届いていました
まずは令和6年分です。
件名：【 重 要 】令和6年分 所得税 所得税の還付について 差出人の表示：国税庁 所得税の還付について 令和6年分 所得税 納税者の皆様には、日頃より国税の申告・納付にご協力いただき、ありがとうございます。 所得税の確定申告の結果、納め過ぎとなった税額がある場合、その分が還付されます。 対象年度：令和6年分（2024年分） 手続内容：所得税の還付手続 ご注意：国税庁や税務署が、メールや電話で口座番号・暗証番号・パスワードをお尋ねすることは一切ございません。これらの情報を求められた場合は、詐欺のおそれがありますので、ご注意ください。 還付の状況確認やお手続きは、e-Taxアプリから行うことができます。 [Android版 e-Tax アプリをダウンロード]（リンク先：hxxps://szxwgs[.]com/…） アプリをインストール後、メッセージボックスよりご確認いただけます。 国税庁 〒100-8978 東京都千代田区霞が関3-1-1 法人番号7000012050002 このメールは送信専用アドレスから配信しています。
令和6年分のメール画面。国税庁の印と所在地まで、本物らしく作り込まれています
続いて令和7年分です。
件名：【 重 要 】令和7年分 所得税 所得税の過納額還付について 差出人の表示：国税庁 所得税の過納額還付について 令和7年分 所得税 納税者の皆様には、日頃より国税の申告・納付にご協力いただき、ありがとうございます。 所得税の過納額が生じている場合、確定申告により過納額が還付されます。 対象年度：令和7年分（2025年分） 手続内容：過納額の還付手続 ご注意：国税庁や税務署が、メールや電話で口座番号・暗証番号・パスワードをお尋ねすることは一切ございません。これらの情報を求められた場合は、詐欺のおそれがありますので、ご注意ください。 過納額の還付手続は、e-Taxアプリから行うことができます。 [Android版 e-Tax アプリをダウンロード]（リンク先：hxxps://ijcke[.]com/…） アプリをインストール後、メッセージボックスよりご確認いただけます。 国税庁 〒100-8978 東京都千代田区霞が関3-1-1 法人番号7000012050002 このメールは送信専用アドレスから配信しています。
令和7年分のメール画面。レイアウトは令和6年分とそっくり同じです
2通を見比べると、違うのは年度と、還付の説明文が少し変わっている点だけです。デザインも、注意書きも、フッターも同じテンプレートでした。本文には「口座番号・暗証番号・パスワードをお尋ねすることは一切ございません」という注意書きまで入っています。本物らしさを演出したうえで、お金の情報ではなくアプリのインストールへ進ませる作りです。
送信ルートと偽装の判定
メールの送信元を調べると、2通は別々のドメイン・別々のIPアドレスから届いていました。
| 項目 | 令和6年分 | 令和7年分 |
| 送信ドメイン | zealous[.]clzyqcs[.]com | juxtapose[.]gemande[.]com |
| 送信元IP | 20.89.131.138 | 20.194.98.118 |
| IPの場所 | 日本・東京都渋谷区 | 韓国・ソウル特別市 |
| IPの事業者 | Microsoft（サーバー貸し出し用） | Microsoft（サーバー貸し出し用） |
| SPF | pass | pass |
| メールソフトの名乗り | Apple Mail (iPadOS 16.1) | iPhone Mail (16D57) |
| ボタンのリンク先 | hxxps://szxwgs[.]com/ | hxxps://ijcke[.]com/ |
※メールヘッダー詳細は個人情報保護のため非掲載
送信元はMicrosoftのクラウド（サーバー貸し出しサービス）です。Microsoftが詐欺メールを送ったわけではなく、誰でも借りられるサーバーを、詐欺の配信に使っているということです。IPの場所は、令和6年分が東京、令和7年分がソウルと表示されましたが、これは「サーバーが置かれた場所」で、送信した人の居場所ではありません。調査サイト（IP調査兵団）の脅威レベルは2つとも「低」でしたが、「低」は「まだ報告が少ない」というだけで、安全という意味ではありません。
SPFは2通とも「pass」でした。「認証に通った＝本物」と思われがちですが、通ったのは攻撃者が用意した送信ドメインの認証で、国税庁が認めた送信という意味ではありません。DKIMの署名も同じで、付いてはいても送信ドメイン自身のものです。
ここで攻撃者のミスを1つ。2通とも「iPadOS」「iPhone」のメールソフトを名乗りながら、本文では「Android版」のアプリをすすめています。しかもiPhone側の表記は、かなり古い版のものでした。名乗りと中身が噛み合っていません。ほかに、メールを開いたことを知らせる「開封通知」を求める設定も入っていました。生きているアドレスを選り分ける目的かもしれません。
見えない文字で「国税庁」に見せかける仕掛け
詳しく調べると、画面では分からない細工が見つかりました。
💡ここで！用語かんたん解説
ゼロ幅文字：画面に何も表示されない、幅のない文字のことです。言葉の途中に混ぜても見た目は変わりませんが、コンピューターは「別の文字列」として扱います。
文字の向きを変える指示（U+202E）：「ここから右から左へ並べて」という見えない合図です。中身の並びを逆にして、画面には別の並びで見せることができます。
差出人の名前は、2通とも画面では「国税庁」と表示されます。ところが中身をのぞくと、「庁」ではなく見た目のよく似た別の文字「厅」が使われていて、並びも「厅税国」と逆になっていました。そこに先ほどの「右から左へ並べて」の合図をかけて、画面では「国税厅」のように見せています。さらに、名前の途中にも見えない文字が複数挟まれていました。
件名と本文にも、見えない文字が1か所ずつ入っていました。場所は2通で違います。
- 令和6年分の件名：「所得」と「税」の間に
U+200C - 令和6年分の本文：「暗証番号」の「暗」と「証」の間に
U+2060 - 令和7年分の件名：「還付」と「について」の間に
U+FEFF - 令和7年分の本文：「対象年度」の「対象」と「年度」の間に
U+2060
こうした見えない文字は、件名や本文をテキストエディタに貼り付けたり、メールのソース（コード表示）を開いたりすると、「U+200C」のような文字コードとして目に見える形で現れます。当サイトでも、プログラムで1文字ずつ文字コードを書き出して場所を確認しました。「国税庁」「暗証番号」といった言葉を手がかりにする迷惑メールフィルターを、すり抜けるための工夫だと考えられます。
フィッシングサイト詳細解析
メールのボタンを押すと、どこへ行き着くのか。2通とも、実際にたどってみました。結論から言うと、入口は使い捨て、行き先は同じでした。
ステップ1 メールのボタン（入口）
ボタンの先は、令和6年分が szxwgs[.]com、令和7年分が ijcke[.]com と、1通ごとに別のドメインでした。Whois情報サイトによると、前者は2012年、後者は2023年に登録された、比較的古いドメインです。入口を1通ごとに変えると、ドメインを1つ遮断しても次のメールには効きません。
ステップ2 パソコンで開くと（PC側）
パソコンで開くと、tendclothin-jp[.]com に移動し、「現在、システムメンテナンスのため、このウェブサイトはパソコンからはご利用いただけません」と表示されます。続けて「スマートフォンでQRコードをスキャンしてください」と、スマホへ移るよう促す作りです。
このドメインの登録は2026年10月9日で、まだ5日目でした。IPは 34.97.152.185（日本・大阪のGoogle Cloud）と表示されました。ドメインの管理にはCloudflareが使われていますが、IP自体はCloudflareのものではありません。調べた時点では、どこからもブロックされず、そのまま開ける状態で放置されていました。
ここでも攻撃者のミスが1つ。画面の一番下の著作権表示が、「国税庁」ではなく「国税座」になっています。
パソコンで開いた画面。「メンテナンス中」とQRコードだけが表示されます
ステップ3 スマホで開くと（スマホ側）
同じメールのボタンをスマホで開くと、今度は zhongjuxian-jp[.]com に移動し、Google Playによく似た「eTaxアプリ」の画面が出ます。評価「4.8」、ダウンロード数「1000万+」といった数字が並びますが、画面上の数字なので、本物のストアの情報ではありません。アドレスバーに表示されているのも、Google Playのドメインではありません。
紹介画像には「ステップ2 OKボタンをクリックします」「この提供元のアプリを許可してください」といった手順も載っています。画面の説明では、VPN接続の許可や、提供元不明アプリの許可へ進ませる流れに読めます。アプリ本体の動きは確認できていないため、何をするアプリなのかは断定できません。ただ、「データを収集する場合があります」の項目に、位置情報・個人情報・アプリの操作が並んでいる点も気になります。
令和6年分も令和7年分も、パソコンとスマホで行き着いた画面は同じでした。
スマホで開いた画面。Google Play風の「eTaxアプリ」ページが表示されます
💡ここで！用語かんたん解説
クローキング：同じアドレスなのに、見に来た人の端末（パソコンかスマホか、など）によって、表示する内容を変える仕組みです。調べに来た人には無害な画面を見せ、狙っている人にだけ本当の罠を見せることができます。今回は、パソコンには「メンテナンス中」、スマホには偽のアプリ画面を見せていました。
整理すると、メールの入口は1通ごとに使い捨てなのに、最後に行き着く偽サイトはPC用もスマホ用も1か所だけです。入口のドメインを1つずつ塞いでも、出口の偽サイトは残り続けます。なお、2通は11分差で届いているため、同じ人物（または同じ道具）による配信と考えるのが自然ですが、運営者までは特定できていません。
注意点と対処法
- 心当たりのない「還付」メールのボタンやリンクは、押さずに閉じてください。差出人の名前が「国税庁」に見えても、本物とは限りません。
- 還付や納税の状況を確認したいときは、メールのボタンではなく、国税庁の公式サイトを自分で検索して開くか、お近くの税務署へ確認してください。国税庁も、不審なメールのURLにはアクセスしないよう呼びかけています。
- メールからのアプリは入れないでください。「この提供元のアプリを許可」「VPNの接続を許可」といった画面が出たら、そこで止めて、許可のボタンは押さないでください。
- もし開いてしまっても、慌てなくて大丈夫です。アプリを入れていなければ、画面を閉じるだけで構いません。すでに入れてしまった場合は、そのアプリを削除し、不安なときは、よく使うサービスのパスワードを変えてください。
- 迷ったときは、全国の消費生活センター等や、消費者ホットライン「188」に相談できます。
- ご家族、特に高齢のご家族には「還付のメールのアプリは入れない」とひとこと伝えてあげてください。
まとめ
「【重要】令和6年分 所得税 所得税の還付について」「【重要】令和7年分 所得税 所得税の過納額還付について」は、どちらも国税庁を装った詐欺メールです。年度を変えた2通を同じ朝に送り、どちらの年度に当てはまる人にも届くようにしていました。入口は使い捨てで、行き先はパソコンとスマホで見せる顔を変えながら同じ偽サイトへ集めています。メールの「アプリをダウンロード」は、押さないことが一番の対策です。
同じようなメールを受け取った方や、ご家族に届いた方に、この記事を共有していただけると助かります。
Data Provided by Heartland-Lab Security Research Unit
IP情報の参照：IP調査兵団（ip-sc.net）