【要確認】POCKET CARD ポイント有効期限のお知らせ（2026年9月30日）は詐欺メール｜約1時間半で10通の波状攻撃、ログイン画面はなぜかファミマカード

HEARTLAND-LAB SECURITY RESEARCH UNIT

調査レポート：概要

解析対象：POCKET CARDを騙る「ポイント有効期限のお知らせ（2026年9月30日）」メール（10通のうち、代表の1通）

結論：これは詐欺メールです。リンクは開かず、ログイン情報も入力しないでください。

※メールヘッダー詳細は個人情報保護のため非掲載

🚫 これはPOCKET CARD（ポケットカード）からのメールではありません（偽物です）

リンクは開かず、ログイン情報も入力しないでください。

▲ 実際に届いたメールの画面（表示されているURLは公式ですが、実際の行き先は別のドメインです）

💡ここで！ ちょっと難しい言葉をやさしく解説

波状攻撃：同じ型の詐欺メールを、短い時間に続けて何通も送りつけるやり方です。1通目で気づかなくても、何通も届くうちに「本当かも」と思わせる狙いがあります。また、迷惑メールフィルターに引っかかった数だけ、抜けるメールが出ることも期待されています。

キット（フィッシングキット）：偽のメールと偽のログイン画面を、まとめて作れる「道具一式」のことです。同じキットを使うと、メールの作りや細かなクセが、ブランドが違っても共通になります。

表示と実際のリンク先が違う：メールの文字（リンクの表示）は、自由に書けます。見た目は公式のアドレスでも、クリックすると別の場所へ飛ぶように作れます。パソコンなら、リンクにマウスを重ねると実際の行き先が出ます。

Whois（フーイズ）：ドメインの登録情報を調べる仕組みです。いつ、どの事業者を通じて登録されたかなどが分かります。

① 約1時間半で10通。件名は2種類

当サイトの受信箱には、12:31から13:55までの約1時間半に、POCKET CARDを装う同じ型のメールが計10通届きました。件名は次の2種類です。

• 「【要確認】POCKET CARD ポイント有効期限のお知らせ（2026年9月30日）No.○○○」：7通
• 「【要確認】ポイント有効期限のお知らせ（2026年9月30日）No.○○○」（ブランド名なし）：3通

後ろの「No.」の番号は、5桁から10桁まで、メールごとにばらばらでした。件名を作り分けたり、番号を変えたりすることで、同じメールが大量に届いていることを、フィルターや受け取る側に気づかれにくくする狙いとみられます。なお、この記事で詳しく解析したのは、10通のうち代表の1通です。他の9通の送信元までは、調べていません。

② 今朝のニコスと、同じキットが使われていた

当サイトは、同じ日に届いた三菱UFJニコスを装うメール（関連記事参照）と、今回のメールを比べました。すると、次のような共通点が見つかりました。

• DKIM署名が、ブランド側のドメインを名乗る同じ形式（セレクターは default、署名対象の項目の並びも同じ）
• メールを作ったソフトの記載（MSHTML 11.00.10570.1001）が同じ
• リンクの先のパスが、どちらも「/content/」のあとに小文字10文字が続く形
• 本文の構成が同じ（区切り線、「■ 有効期限が近づいているポイントがあります」、「お客様各位」、使い道の説明、末尾の識別記号）
• 送信元IPが、どちらもMicrosoft（Azure）の同じ範囲内（ニコスは 20.48.29.75、今回は 20.48.31.247）
• リンク先のサーバーが、どちらもPEG Tech Inc（米国ロサンゼルス）のもの（ニコスの経由先は 38.173.170.6、今回は 38.48.193.38）
• 最終ページのアドレスの形が、どちらも「ドメイン名/ブランド名/#/index」（ニコスは /mufg/、今回は /pocketcard/）

さらに、本文の「対象ポイント数」まで似ていました。ニコスは「6,372ポイント」、今回は「6,374ポイント」です。ブランドを変えても、ポイントの数字はほぼ使い回しです。在庫処分のようなものでしょうか。ブランドの名前だけを付け替えて、同じメールを量産しているとみられます。なお、同じ日には、JRE POINT（ビューカード）などの別ブランドでも、同じ型のメールが届いていました。

③ リンク先ドメインは、売りに出された中古ドメイン

本文のリンクの実際の行き先は hxxps://dafangqz.com/content/ugkxjhnitl でした。このドメイン（dafangqz.com）のWhoisを調べると、登録日は2025年10月28日（約11か月前）、登録事業者は Name SRS AB、期限は2026年10月28日で、ネームサーバーはCloudflareでした。登録者の情報は、プライバシー保護サービスで非公開です。更新日は2026年9月28日で、メールが届く前日にあたります。

そして、このドメインには「For sale $80（80ドルで販売中）」と「Registered And No Website（登録済みだが、サイトなし）」の表示がありました。80ドルで売られている中古ドメインを、そのまま詐欺の入り口に使っているとみられます。ニコスの経由先は「$175」でしたので、今回はさらにお得な仕入れです。

このドメインが置かれたサーバーは 38.48.193.38（PEG Tech Inc／米国ロサンゼルス）で、同じIPに他のサイトが9件同居していました。

④ 最終ページはウイルスバスターがブロック。ログイン画面は「ファミマカード」

メールのリンクをたどった先の詐欺ページ（hxxps://dpfuhk.cfd/pocketcard/#/index）は、セキュリティソフト「ウイルスバスター クラウド」（トレンドマイクロ）が、「脅威の種類：フィッシング」としてブロックしました。

ブロックされた画面をそのまま通過して確認したところ、表示されたのは「会員専用ネットサービス ファミマカード」のログイン画面でした。ログインIDとパスワードを入力する欄と、JCBのカード画像、「指定のとおりに画像を選択後、ログインしてください」という説明まで再現されています。

メールの文面はPOCKET CARDなのに、開いた先はファミマカードの画面でした。ポケットカード社の公式サイトでは、ファミマカードも同社のサービスとして案内されています。メールのブランドと画面のブランドがずれているのは、キットの使い回しの跡とみられます。メールを読んだ人は、コンビニのカードの画面が出て、少し戸惑うかもしれません。ここに入力したIDとパスワードは、そのまま詐欺師の手に渡ります。当サイトでは入力を行っていません。入力後にどこへ進むのかも、確認していません。

なお、当サイトが確認した範囲では、PCとスマホで表示を変える細工（クローキング）はなく、アクセスした人には同じ画面が表示されました。

このメールを受け取ったら

• リンクは開かず、返信もせず、そのまま削除して大丈夫です。何通届いても、同じ扱いで構いません。
• メールのリンクからログインして、ポイントを確認・交換するのはやめてください。ポイントが気になるときは、ブックマークしておいた公式サイトや公式アプリから確認してください。
• リンクの表示が公式のアドレスでも、そのまま信じないでください。パソコンでは、リンクにマウスを重ねると実際の行き先が確認できます。
• ポケットカードも、「ポケットカードを騙るなりすましメールにご注意ください」のページで注意を呼びかけています。あわせて、「インターネットを安全にご利用いただくために」のページもご確認ください。
• 身近な方にも、このページを共有してあげてください。

もし、ログイン情報を入力してしまったら

気づいた時点で動けば、被害を小さくできます。責める必要はまったくありません。落ち着いて、次の順番で対応してください。

• 公式サイトや公式アプリから、すぐにパスワードを変更してください。同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
• 身に覚えのない利用がないか、カードの利用明細を確認してください。不安があれば、カード裏面の連絡先や公式サイトの窓口へ連絡してください。
• カード番号なども入力してしまった場合は、カード会社へ連絡して、利用の停止や再発行を相談してください。
• 不安なときは、警察相談専用電話（#9110）や消費者ホットライン（188）に相談してください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net　配色テーマ：Navy