「今月分のスクラッチが用意できました」は楽天ポイント詐欺の第3弾——偽Google Playストアで不正アプリをインストールさせる手口、送信元は今回も韓国のAzure

■ メールヘッダー解析（送信者情報）

件名（表示上）：今月分のスクラッチが用意できました

差出人表示名：【Rakuten 】（実際は制御文字による偽装、詳細は後述）

送信元アドレス：bounce@bounce.kzowz.com

送信元IP（Received-SPF client-ip）：20.214.61.91（Microsoft Corporation／AS8075／韓国・釜山広域市）

受信日時：2026年9月7日 08:02

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールは楽天ポイントカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

スーパーポイントスクラッチのご案内

毎月恒例・ポイントチャンス
最大10,000ポイント
1日1回チャレンジ・ハズレなし
スクラッチを削るだけで毎月ポイントがもらえる

［Android版アプリでポイントを受け取る＞］

いつも楽天カードをご利用いただき、誠にありがとうございます。毎月好評の「スーパーポイントスクラッチ」、今月分（2026年9月）のチャレンジ受付が始まりました。本スクラッチはAndroid版公式アプリ限定の施策です。

遊び方（3ステップ）
・Android版アプリにログインする
・ホーム画面の「スクラッチ」をタップする
・コインで削って、出たポイントをそのままGET
※1日1回チャレンジでき、月内に獲得したポイントは自動的に合計されます。

獲得できるポイント
月間の最大獲得（1等当選時）　10,000pt
チャレンジ回数　毎日1回
結果　ハズレなし（毎回獲得）

実施期間
今月分のチャレンジ受付は2026年9月30日23:59までです。

実際に届いたメールの表示画面（受信者情報は含まれません）

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=20.214.61.91; helo=bounce.kzowz.com

【偽装判定】：
正規の楽天グループからのメールは「@mail.rakuten-card.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「bounce.kzowz.com」は楽天とは一切関係のない第三者のメール配信基盤で、送信インフラはMicrosoft Azure上、しかも所在地は韓国・釜山という、当ブログが9月1日に報じた別の楽天騙りメールと国・都市・クラウド事業者まで完全に一致するインフラでした。

【捏造ヘッダーの痕跡】：
ヘッダーの上流には、日本の携帯キャリアを装ったランダムな文字列のホスト名（mail.5c9cd92.docomo.jp）や、教育機関向けドメイン「.ed.jp」を騙る不自然なホスト名（smtp.status-verifier.ed.jp）が記載されていました。これらは実際にその経路を通過した証拠ではなく、送信者が自由に書き込める自己申告に過ぎません。9月1日の事例で確認した「千葉県・岡山県の公的機関を装う偽造ヘッダー」と同じ、調査を混乱させるための目くらましと判断しています。

【差出人名の文字偽装】：
受信箱では差出人が「【Rakuten 】」と表示されていましたが、実際のデータにはU+202E（RLO＝右から左への強制表示）という制御文字が仕込まれており、本来は無関係な文字列を画面上だけ正しく見せる偽装でした。件名にも見えないゼロ幅文字（U+200C、U+FEFF、U+2060）が複数箇所に挿入されており、迷惑メールフィルターの機械的なキーワード検知をすり抜けるための加工と考えられます。

💡ここで！「不正アプリの直接インストール（野良アプリ）」って何？

スマートフォンにアプリを入れるとき、本来はGoogleの安全審査を通った「Google Playストア」を経由するのが正規の手順です。ところが今回のような詐欺サイトは、審査を経ていない「APKファイル」という形式のアプリを、メールやWebサイトのリンクから直接ダウンロード・インストールさせようとします。これを「野良アプリ」と呼び、スマートフォンの設定で「提供元不明のアプリのインストールを許可」をオンにさせられた時点で、審査の壁が完全に取り払われてしまう危険な状態になります。

■ フィッシングサイト詳細解析（多段構成）

第1段階（メール内リンク／リダイレクタ）：
hxxps://cljkf.com/link/AupkPT2U4p

中継先IP：43.165.171.134（シンガポール／Aceville Pte.Ltd．／AS139341、データセンター・CDN型プロキシとして検出）

第2段階（着地サイト）：
hxxps://raku-point-exinxi.com/

着地先IP：34.97.12.225（Google LLC／AS396982／日本・大阪市、こちらもデータセンター型プロキシとして検出）

本物のGoogle Playにそっくりな偽ページ。案内どおりに進めると「提供元不明のアプリ」の許可をオンにさせられる

■ 続報にあたって：これまでの「楽天ポイント×Android限定」詐欺との比較

当ブログでは9月に入ってから、Android端末を狙う同系統の手口をすでに2件報じています。

• 9/1：「限定ボーナスポイント」でAPKマルウェアを直接インストールさせる手口（送信元：Azure・韓国釜山、今回と国・都市・事業者が完全一致）
• 9/4：「15,622pt」を餌にした偽Google Playストア画面＋クローキングの手口（送信元：Google Cloud）

餌の文言や着地ドメインは毎回変わっていますが、「Android端末限定」「偽Google Playストア画面」「野良アプリ誘導」という骨格は3件とも共通しています。同一グループによる使い回し、あるいは同じ攻撃キットを複数の運用者が使っている可能性が考えられます。

■ 注意点と対処法

1. メール内のリンクは絶対にタップしない：「スクラッチ」「ポイント獲得」というお得感を煽る文言には特に警戒してください。
2. 「提供元不明のアプリのインストールを許可」の案内が出たら即中止：スマホの設定変更を求める案内が出た時点で、それは詐欺サイトである強い証拠です。
3. 公式アプリ・公式サイトを確認：ポイントの有無は、必ずご自身でインストール済みの公式アプリ、またはブックマークからアクセスして確認してください。
4. 不審な添付ファイルは開かない：本メールには拡張子が不審な添付ファイルも同梱されていましたが、感染リスクを避けるため当ブログでは開封・解析していません。
5. 公式の注意喚起も参照：楽天カード公式「不審メールにご注意ください」

本レポートの結論

楽天ポイントカードを騙り、「スクラッチ」という新しい餌でAndroidユーザーだけを狙い、偽のGoogle Playストア画面から不正アプリをインストールさせようとする悪質な詐欺です。9月に入ってから3件目という頻度で、送信元インフラの一部は過去事例と一致しています。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。