『詐欺メール』「【Paidy】ご登録情報の最新化・認証手続きのご案内」と、来た件
お盆休みも終わりに近づき、日常のリズムが戻ってきた方も多いのではないでしょうか。そんな中、後払い決済サービス「Paidy（ペイディ）」を騙るフィッシングメールが届きましたので、さっそく調査レポートをお届けします。
ご覧の通り、このメールはPaidy公式を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。
■ 実際に届いたメールの画面
グリーンのベルト状バナー（「Paidy公式セキュリティ通知」）を配置したデザインは、2026年7月下旬頃から複数のブランドなりすましキャンペーンで使い回されている手口です。パープル系のボタンやカラースキームはPaidyの実際のブランドカラーに寄せて作られていますが、細部を見ると公式サイトとの矛盾が随所にあります。
実際に届いたメールの画面（送信元メールアドレス・件名を含む）
※以下はメールに含まれていたテキスト形式パート（HTML非対応環境向けの簡易表示用）を、技術検証のために忠実に再現したものです。
つきましては、誠に恐れ入りますが、現在ご登録いただいているお客様情報に誤りや変更がないか、下記要領に従いご確認のお手続きをお願い申し上げます。
■ 送信ルート及び偽装判定
Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=20.24.75.162; helo=ghqxo.jxsmph.com
【偽装判定】：
Paidyの公式ドメインは「paidy.com」ですが、本メールの送信ドメインは「ghqxo.jxsmph.com」という、Paidyとは一切関係のないドメインです。送信元IP（20.24.75.162）はMicrosoft Azure（AS8075）上のサーバーで、所在地は香港・九龍と確認されています。SPF認証自体は「Pass」となっていますが、これはjxsmph.comというなりすまし用ドメイン自体がSPFレコードを正しく設定しているだけであり、Paidy本人であることを何ら保証するものではありません。
発信元ロケーション解析：
ip-sc.netで20.24.75.162を確認する
ちなみに、このメールのX-Mailerヘッダーには「Becky! ver. 2.74.01 [ja]」という、個人向けの日本語メールソフトの名前が記録されていました。大量配信の詐欺メールにわざわざ個人用メーラーの署名が残っているあたり、攻撃者側の作業がやや雑だったことがうかがえます。
■ 用語解説：ゼロ幅文字とは？
「ゼロ幅文字」とは、画面上には何も表示されないのに、データとしては存在している特殊な文字のことです。今回のメールでは、件名の「Paidy」という文字列の間や、本文中の「登録」「確認」「手続き」といった単語の間に、こうした見えない文字が複数箇所仕込まれていました。
見た目には普通に「Paidy」「ご登録情報」と読めるのに、実際のデータは「P（見えない文字）aid（見えない文字）y」のようになっているため、迷惑メールフィルターが単純な文字列一致でブランド名を検知しようとしても、すり抜けてしまう仕組みです。発見方法としては、件名や本文のテキストをコピーしてプログラムのコード上に貼り付けたり、テキストエディタで「不可視文字を表示」する設定を使ったりすると、\u200dや\ufeffといったエスケープシーケンスとして可視化されます。
■ フィッシングサイト詳細解析
メール本文のボタン「登録情報の確認を行う」をクリックすると、以下のような多段構成の誘導ルートをたどります。
■ 第1段階：初期リンク先
誘導先URL（伏せ字）：hxxps://cnjiasi［.］com/qhtELiDI?uid=（一部伏字）
リンクドメイン：cnjiasi［.］com
サーバーIP：172.67.190.155（Cloudflare経由のため実サーバーの所在地は特定不可）
■ 第2段階：セキュリティソフトによるブロック
誘導先URL（伏せ字）：hxxps://syhzp［.］com/IBmWlZEh/
サーバーIP：47.91.10.53（Alibaba Cloud／AS45102、ip-sc.net確認では東京都渋谷区表示）
【状態】：ウイルスバスター クラウドでは「フィッシング」の脅威として既にブロック対象になっており、セキュリティソフト導入済みの端末ではこの画面が表示されてアクセスが止まります。
ウイルスバスター クラウドが「安全ではない可能性があります」とブロックした画面
■ 第3段階：偽のログイン画面（ブロックを回避した場合）
セキュリティソフトが導入されていない環境では、最終的に本物そっくりの「MyPaidyログイン・新規登録」画面が表示されます。メールアドレスと携帯電話番号の入力欄が設けられており、入力すると攻撃者に情報が送信される仕組みとみられます。公式サイトのデザインをほぼそのまま模倣した、完成度の高い偽サイトです。
公式サイトのデザインを模倣した偽のログイン・新規登録画面
※不審なリンクの解析データに基づいており、当サイトでは実際にログイン情報等を入力する検証は行っていません。
■ 注意点と対処法
- メール内のリンクをクリックしない：登録情報の確認や認証手続きを求めるメールが届いても、記載されたリンクからはアクセスしないでください。
- 公式アプリ・ブックマークから確認：ご利用状況の確認は、必ずPaidy公式アプリまたはブラウザのブックマークからMyPaidyへアクセスして行ってください。
- 送信元メールアドレスを確認：Paidyからの正規メールは「noreply@paidy.com」「support@paidy.com」からのみ送信されます。表示名だけでなく、実際のメールアドレスを必ず確認してください。
- 公式の注意喚起を参照：Paidy公式「不審なメール（フィッシング）やSMSについて」
■ 関連記事
Paidyを騙るフィッシングメールは過去にも複数の手口で確認されています。あわせてご覧ください。
本レポートの結論
「【Paidy】ご登録情報の最新化・認証手続きのご案内」は、香港のAzureサーバーから送信された、Paidyとは無関係のなりすましメールです。件名・送信者名にゼロ幅文字を仕込んでフィルターをすり抜け、多段構成のリンクの先には精巧な偽ログイン画面が用意されていました。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
今、拡散中の詐欺メール
