【実録】KAGOYA「契約管理システムに関する異常検知」は詐欺！複数企業に着信、偽SSOログインへ誘導する手口を解析

2026年8月31日

8月も終わりが近づき、朝晩はほんの少し風が涼しく感じられるようになってきました。とはいえ日中はまだまだ暑く、体調を崩しやすい季節の変わり目です。そんな中、KAGOYAのビジネスサービスを利用している事業者の方を狙った、少し変わったタイプの詐欺メールが確認されました。今日はこちらを詳しく解析していきます。

🔍 調査レポート：KAGOYA「契約管理システムに関する異常検知のお知らせ」

受信日時	2026年8月30日
騙られたブランド	KAGOYA（カゴヤ・ジャパン）ビジネスサービス
着信状況	複数の企業向けメールアカウントへの着信を確認
危険度評価	★★★★☆（4/5）

KAGOYAのビジネスサービスを利用中の企業を狙い、「契約管理システムに異常が検知された」という体裁で偽のログインページへ誘導するフィッシングメールです。緊急性を煽る派手な文言ではなく、事務的な自動通知を装っている点が特徴です。

⚠️ このメールはKAGOYAとは一切関係のない詐欺メールです

本文中のリンクは絶対にクリックしないでください。すでにクリックしてIDやパスワードを入力してしまった場合は、記事後半の対処法をご確認ください。

1. 📧 実際に届いたメール
2. 🛰️ 送信ルートと偽装の判定
3. 🌐 誘導先サイトの詳細解析
4. 🔗 関連記事
5. ✅ 注意点と対処法

📧 実際に届いたメール

件名は「[spam] 【重要】契約管理システムに関する異常検知のお知らせ」。差出人の表示名には「【重要】アカウントに関するセキュリティ警告」という文言が使われ、送信元アドレスには実在のWebメール製品名を連想させる語句が使われていました（詳細は後述します）。

▲ 実際に届いたメールの画面（宛先など個人情報部分は加工済み）

※メールヘッダー詳細は個人情報保護のため非掲載

メール本文を再現すると、以下のような内容です。

【重要】KAGOYA 登録サービス自動警告通知

管理番号：JP-BGL-#208326
発行日時：2026年08月30日

（お客様のメールアドレス）様

平素よりKAGOYAビジネスサービスをご利用いただき、誠にありがとうございます。
本電子メールは、ご登録アカウントのシステム自動監視による安全評価に基づき、
異常が検知されたお客様へ自動送信されています。

■ 警告レベル：重要
契約管理システムおよびデータ整合性に著しい不一致が確認されました。
以下の内容をご確認いただき、至急ご対応をお願いいたします。

▼ 検知詳細情報
対象ノード：TOKYO-BGL-NODE-04
エラーコード：E-099-PIVOT
検知値　　：0.082（許容範囲：0.005以下）

▼ お手続き・対応方法
管理コンソールへ直接アクセスし、登録プロファイルの整合性チェックを行ってください。
アクセスURL：hxxps://sso.kagoya.ne.jp/account/restore（※実際のクリック先は別ドメインです）

1. 上記リンクから KAGOYAビジネス会員シングルサインオン（SSO）システムに移行します。
2. マイページ内「サポート・警告履歴」より該当の管理番号を選択してください。
3. 画面上の案内に従い、登録内容の確認および修正を実行してください。

この本文には、見過ごされがちですが重要な不自然さがありました。宛名欄には本来お客様の氏名が入るはずのところに、受信者のメールアドレスがそのまま差し込まれ、さらにその末尾に「t」という余分な一文字が混入していたのです（実際のメールアドレスは伏せています）。これは大量送信ツールが宛名フィールドを正しく処理できていない、典型的な機械的不備の痕跡です。手作業で一件ずつ丁寧に書かれた文面ではないことがわかります。

🛰️ 送信ルートと偽装の判定

メールヘッダーを解析したところ、このメールの本当の送信元はパラグアイのIPアドレスであることがわかりました。日本国内のサーバーやKAGOYAの正規サービスとは無関係の場所から送られています。

送信元IP： 45.229.168.145（GeoLite2データベースでパラグアイと確認）

接続元ホスト名： 現地の通信事業者が割り当てる動的IPアドレス（一般家庭や小規模拠点向けの回線とみられ、乗っ取られた機器が送信に使われた可能性があります）

SPF認証： なし（差出人ドメインにSPFレコード自体が設定されていない状態でした）

差出人アドレスには「active-webmail」という語句が使われており、企業のWebメールサービスを連想させる名称でした。一見もっともらしく見えますが、実際にこのドメインを使ってメールを送信していたのは、上記のパラグアイの回線です。正規のWebメールサービスとは無関係の、詐欺グループが取得したとみられるドメインでした。

【技術用語の補足】SPF（エスピーエフ）とは、「このドメインから送っていいメールサーバーはここです」とあらかじめ登録しておく仕組みです。正規のメールならSPFの認証に通りますが、今回のメールはそもそも認証の仕組み自体が設定されておらず、誰でも自由にこのドメイン名を名乗ってメールを送れる状態になっていました。

さらに重要な点として、KAGOYAの正式なドメインは「kagoya.jp」であり、メール本文で使われている「kagoya.ne.jp」はKAGOYAの公式ドメインではありません。加えて、メール末尾の署名欄には「東京都品川区」という住所が記載されていましたが、KAGOYA（カゴヤ・ジャパン株式会社）の本社は京都府京都市であり、実際の所在地とは一致しません。ブランド名・ドメイン名・住所のいずれも、本物らしく見せかけるための偽装と判断できます。

🌐 誘導先サイトの詳細解析

メール本文に表示されているリンクの文字列は次の通りでした。

hxxps://sso.kagoya.ne[.]jp/account/restore

※画面に表示されている文字列であり、実際のクリック先ではありません（下記参照）。

しかし、実際にこのリンクをクリックした場合の遷移先を確認したところ、表示文字列とはまったく異なる、第三者のクリック計測サービスを経由する別ドメインに誘導される仕組みになっていました。

実際のリンク先（クリック計測用の中継ドメイン）：

hxxps://986411a4[.]click[.]kit-mail3[.]com/75u6kvznd9s8h6xqge6izhwq7dl8oinh8grx7/6qheh8hl9lpo9lsohk/（暗号化された誘導先情報）

この中継ドメインの中身をさらに調べると、最終的な誘導先として以下のURLが埋め込まれていました。

hxxps://cozy-creponne-e46dbf[.]netlify[.]app/

「Netlify」は、個人でも無料で手軽にWebサイトを公開できる海外のホスティングサービスです。詐欺グループがこうした無料サービス上に偽サイトを設置し、通報や停止措置を受けたらすぐに作り直せるようにしている典型的な手口です。実際、当サイトで確認した時点では、このアドレスはすでに閉鎖されており、「Site not found（サイトが見つかりません）」という表示に変わっていました。