「楽天ポイントの有効期限が近づいております」は詐欺メール！今朝のAmazon詐欺と”同じサーバー”を使い回す動かぬ証拠を特定

ご覧の通り、これは楽天カードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

お客様各位

平素より楽天カードをご愛顧いただき、誠にありがとうございます。

このたび、お客様にご登録いただいております楽天ポイントのうち、一部がまもなく
有効期限を迎えることとなりました。ポイントは期限を過ぎますと、自動的に無効と
なりご利用いただけなくなりますので、あらかじめご留意ください。

━━━━━━━━━━━━━━━━━━━━
■ 有効期限の対象ポイントについて
━━━━━━━━━━━━━━━━━━━━

失効予定ポイント数：7,980ポイント
失効予定日：2026年8月29日

━━━━━━━━━━━━━━━━━━━━
■ ポイントのご利用方法について
━━━━━━━━━━━━━━━━━━━━

楽天ポイントは、楽天市場でのお買い物をはじめ、以下のような場面でご活用いただけます。
・ご請求金額への直接充当
・各種提携サービス（コンビニ、ドラッグストア、対象店舗など）
・ポイント提携先への交換

━━━━━━━━━━━━━━━━━━━━
■ 今すぐポイントをご確認・ご利用いただく
━━━━━━━━━━━━━━━━━━━━

▼ ポイント交換はこちら
https://www.rakuten-card.co.jp/index.jsp　（表示のみ／実際の遷移先は本文で解説）

※ログイン後、ポイント交換ページにてお手続きいただけます
━━━━━━━━━━━━━━━━━━━━

期限を過ぎたポイントは再発行できません。お手続きには数分程度かかる場合が
ございますので、お時間に余裕を持ってお手続きいただけますと幸いです。

楽天カード ポイントサービスセンター
https://www.rakuten-card.co.jp/
2WMMIIFKJ

■ 見どころ①：楽天公式を騙る”見せかけ”のDKIM署名とリンク偽装

ヘッダーにはDKIM-Signature: ... d=rakuten.co.jp ... i=info@rakuten.co.jpという記載がありましたが、実際の送信元は「anyinj.com」という無関係なドメインです。Amazon公式を騙った先ほどのメールとまったく同じ手口で、DKIM署名の存在自体を信用の根拠にしてはいけない典型例です。

また本文では、リンクの表示文字列がhttps://www.rakuten-card.co.jp/index.jspとなっていますが、実際の遷移先（href）は次のURLでした。

hxxps://floridaplanservice[.]com/content/auntbysybu

■ 見どころ②：本日のAmazon詐欺メールと”同一サーバー”を確認

誘導先を最後までたどると、hxxps://kkkby[.]top/jp（IP: 43.133.23.167）という偽の楽天カードログイン画面に到達します。

このIPアドレス「43.133.23.167」は、本日すでに解析したAmazonポイント詐欺メールの最終誘導先「kkkce.top」と完全に一致します。ドメイン名も「kkkce.top」「kkkby.top」と酷似した命名規則が使われており、偶然の一致とは考えにくい状況です。1台のサーバー上に、ブランドを変えた複数の偽サイトが同居していると見られ、同一の攻撃者、または同一の詐欺キット運営者による犯行である可能性が極めて高いと判断できます。

ip-sc.netの調査でも、両IPともTencent Cloud（AS132203・TENCENT-NET-AP-CN）と確認されており、送信元（Azure）と着地点（Tencent Cloud）の組み合わせも共通しています。

■ 誘導先で表示された独自のCAPTCHA

リンク先にアクセスすると、まず「盾アイコンを1つタップしてください」という独自のボット判定画面（CAPTCHA）が表示されます。今朝のAmazon詐欺メールで見た「緑色のカードを選ぶ」CAPTCHAとはデザインは異なりますが、いずれも既製のhCaptcha等ではなく、攻撃者が独自に用意した仕組みという点で共通しています。同じキットの開発チームが、複数のバリエーションを使い分けているのかもしれません。

■ 関連する詐欺メール記事

本日確認した、同一犯とみられるAmazon詐欺メールの解析はこちらです。あわせてご覧ください。

• 「12,890ポイントが8月30日に失効」は詐欺メール！Amazon公式を装う”見せかけDKIM”と、リンク偽装の手口を解析

■ 注意点と対処法

1. リンクの実際の行き先を確認する：パソコンではリンクにマウスを重ねる、スマートフォンでは長押しすることで実際の遷移先URLを確認できます。
2. 送信元ドメインを必ず確認：楽天カード公式のメールは必ず「@mail.rakuten-card.co.jp」から送信されます。
3. 公式サイト・公式アプリから確認：ポイント残高の確認は、必ずご自身でブックマークした公式サイトまたは公式アプリから行ってください。
4. 公式注意喚起の参照：不審メールにご注意ください（楽天カード公式）

本レポートの結論

今回のメールは、DKIM署名の見せかけ偽装やリンク偽装という手口が本日のAmazon詐欺メールと共通しているだけでなく、最終誘導先サーバーが完全に一致するという動かぬ証拠が見つかりました。同一犯による複数ブランドの同日攻撃です。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。