自社ドメインを騙る詐欺メールが1週間で3通——米国・香港・日本と送信元を変えながら襲う手口を徹底比較

2026年7月25日

わずか数日のうちに、自社ドメインを騙るフィッシングメールが3通も届きました。しかも送信元は毎回まったく別のインフラ。今回はこの3通をまとめて比較解析します。

自社ドメインを騙る詐欺メールが1週間で3通——米国・香港・日本と送信元を変えながら襲う手口を徹底比較

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

2026年7月22日から24日にかけて、自社ドメインの正当な利用者になりすました詐欺メールが3通確認されました。「パスワード期限切れ」「受信メール保留」「メールボックス容量90%超過」と、それぞれ切り口は異なりますが、共通しているのは「自社ドメイン自身」を騙っている点です。送信元インフラを比較すると、米国・香港・日本と、まったく異なる3つの経路が使われていました。1つのドメインが、複数の攻撃者（あるいは複数のインフラを使い分ける同一犯）から同時多発的に狙われている実態が見えてきます。

緊急性レベル	★★★★☆ (4/5)
偽装工作精度	★★★☆☆〜★★★★☆（3件で差あり）

※重要：いずれのメールも、本文中のリンクからパスワードやアカウント情報を入力すると、アカウントを乗っ取られるおそれがあります。

ご覧の通り、これらのメールはいずれも自社ドメインを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ ケース1：「Webメール更新後のメール受信状況確認のお願い」（7/23受信）
2. ■ ケース2：「メールボックスは現在、容量の90%を超えています」（7/23受信）
3. ■ ケース3：「メールボックスサービス期限切れのお知らせ」（7/24受信）
4. ■ 3件の比較まとめ
5. ■ 注意点と対処法

■ ケース1：「Webメール更新後のメール受信状況確認のお願い」（7/23受信）

件名：[spam] Webメール更新後のメール受信状況確認のお願い

差出人表示名：自社ドメインを騙るサポート名義

※メールヘッダー詳細・受信アドレスは個人情報保護のため非掲載です。

ケース1：実際に受信した詐欺メールの画面

■ 送信元の解析

送信元IP：202.69.74.130（Received-SPF：Softfail）

回線情報（ip-sc.net）：HKBN Enterprise Solutions HK Limited（AS9381）、利用形式：corporate、所在地：香港・観塘区Kowloon Bay、脅威レベル：高

誘導先URL（伏せ字）：hxxps://juvaoil［.］com/certificate/ssl/adv/index.php/#?（Base64エンコードされた受信アドレス）

現在アクセスすると404 Not Foundとなり、既に閉鎖・削除済みであることが確認できた

■ ケース2：「メールボックスは現在、容量の90%を超えています」（7/23受信）

件名：自社ドメインのメールボックスは現在、容量の90%を超えています。

差出人表示名：「自社ドメインサポートチーム」を名乗る表示名（実際のアドレスは無関係な第三者ドメイン）

※メールヘッダー詳細・受信アドレスは個人情報保護のため非掲載です。

ケース2：実際に受信した詐欺メールの画面。容量バーで視覚的に不安を煽る演出

■ 送信元の解析

送信元IP：210.154.211.3（Received-SPF：Pass、DKIM署名：Pass）

ホスト名：mwp-bld-mts-005c1.ocn.ad.jp

回線情報（ip-sc.net）：OCN NTT Communications Corporation（AS4713）、利用形式：cable/consumer、所在地：日本・東京都千代田区、脅威レベル：低

【偽装判定】：SPF・DKIMともに正当に認証されていますが、これは攻撃者自身が用意した第三者ドメインに対する認証であり、自社ドメインとは無関係です。攻撃者が日本国内の一般消費者向け回線契約を使い、正規の認証を通した詐欺メールを送信しているという、3件の中で最も手が込んだ偽装でした。

誘導先URL（伏せ字）：hxxps://www.gebigastro［.］cz/modules/bankwire/views/index/...php#（受信アドレスをフラグメントに埋め込み）

誘導先は乗っ取られたとみられるチェコのサイトだったが、現在はホスティング契約自体が停止されており「Webhosting je vypnutý（ホスティングが無効化されています）」と表示される

■ ケース3：「メールボックスサービス期限切れのお知らせ」（7/24受信）

件名：[spam]【重要】メールボックスサービス期限切れのお知らせ（再有効化が必要です）

差出人表示名：「自社ドメインメールサポート」を名乗る表示名

※メールヘッダー詳細・受信アドレスは個人情報保護のため非掲載です。

ケース3：実際に受信した詐欺メールの画面

■ 送信元の解析

送信元IP：192.158.233.210（Received-SPF：Softfail）

回線情報（ip-sc.net）：H4Y Technologies LLC（AS397373）、利用形式：hosting、所在地：米国・ノースカロライナ州シャーロット、脅威レベル：低

誘導先URL（伏せ字）：hxxps://001dda［.］top/authenticationtoken...?email=（受信アドレス）

誘導先は現在も稼働中。自社ドメインとは無関係の、汎用的な多言語対応ログイン画面が表示される

■ 3件の比較まとめ

項目	ケース1	ケース2	ケース3
送信元	香港	日本（OCN）	米国
SPF	Softfail	Pass	Softfail
DKIM	なし	Pass	なし
誘導先の脅威レベル	高	低	低
誘導先の現状	404（消滅済み）	ホスティング停止	稼働中

3件とも「自社ドメインを騙る」という一点は共通していますが、送信元インフラ・認証状況・誘導先の生存状況はすべて異なります。特にケース2は、SPF・DKIMともに正規に通過している点で最も警戒すべき事例でした。一方でケース1・ケース3は、乗っ取ったとみられる正規サイトや使い捨てドメインを使う、より一般的な手口です。3日間で3つも違う攻撃インフラが使われたことを考えると、攻撃者側にとって「使い捨てのインフラを次々乗り換える」ことがもはや当たり前のコストになっていることがうかがえます。

💡ここで！ SPF・DKIMが「Pass」でも安心できないのはなぜ？

SPF（エスピーエフ）：「このメールが、名乗っているドメインの正規サーバーから送られたか」を判定する仕組みです。

DKIM（ディーキム）：メールが送信途中で改ざんされていないことを電子署名で証明する仕組みです。今回のケース2のように、SPF・DKIMともに「Pass」でも、それはあくまで攻撃者自身が用意した別ドメインとの整合性が取れているだけであり、自社ドメインの正当性を保証するものではありません。「認証マークがついているから安全」ではなく、「そもそも送信元のドメイン自体が本物か」を確認することが重要です。

■ 注意点と対処法

URLをクリックしない：「アカウント確認」「パスワード更新」等の文言があっても、メール内のリンクは開かないでください。
SPF・DKIMがPassでも油断しない：認証結果は「名乗っているドメイン自体からの送信か」の確認にすぎず、ブランドの正当性を保証するものではありません。
差出人アドレスの実体を確認する：表示名がもっともらしくても、実際のメールアドレスのドメイン部分をよく確認してください。
公式の管理画面から直接確認：アカウントやメールボックスの状態が気になる場合は、メール内のリンクではなく、日頃使っている正規の管理画面から直接確認してください。

本レポートの結論

わずか3日間で、自社ドメインを騙る詐欺メールが3通、それぞれ異なる国・異なるインフラから届きました。中には正規のSPF・DKIM認証を通過するものまであり、「認証OK」の表示だけでは判断できない時代であることを改めて実感させられます。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Navy