HL-META: date=2026-08-25 | brand=りそな銀行 | sender_geo=アメリカ | site_geo=アメリカ | spf=pass | dkim=pass | cloaking=unknown

りそな銀行も、同社を騙る不審なメール・SMSからフィッシングサイトへ誘導する事例について注意を呼びかけています。身に覚えのない案内は、メール内のリンクではなく公式アプリや正規サイトから確認してください。

今度は「追加カードが発行承認されました」

件名は「【要確認】追加カード発行承認のお知らせ」。本文では、追加カードの審査が終わり「発行を承認」したとして、カード種類、発送先、電話番号まで具体的に記載しています。

心当たりがなければ「修正が必要」と思わせ、「発行内容・お届け先を確認する」というリンクへ誘導する構成です。身に覚えのないカード発行そのものを“警告材料”に変えているのが、このメールの心理的な仕掛けです。

件名：【要確認】追加カード発行承認のお知らせ

りそな銀行です。

平素よりりそなデビットカードをご利用いただき、誠にありがとうございます。

このたび、お客さまよりお申込みいただきました追加カードについて、
審査の結果、発行を承認いたしました。

■発行内容
カード種類：りそなデビットカード（追加カード）
発行状況：承認済み

（中略）

お届け先情報に誤りがないか、必ずご確認ください。
内容に相違がある場合は、カード発送前に修正が必要です。

発行内容・お届け先を確認する

実際に確認した「追加カード発行承認のお知らせ」。差出人表示と本文だけを見ると銀行の案内らしく見えます。

SPF Passでも「りそな銀行の本物」ではない

メールヘッダーでは、外部から最初に着信した送信元IPとして 104.168.144.139 を確認しました。HELO名は mail04.randrgraphix.com、SPFはPass、DKIM署名も同ドメインで付与されています。

ここが今回の重要ポイントです。SPF Passは「りそな銀行が送った」という証明ではありません。 今回Passしているのは、メール送信に使われた randrgraphix.com 側の認証です。表示名に銀行名が書かれていても、それだけで正規メールとは判断できません。

送信元IPの調査では、米国ワシントン州シアトル周辺、AS54290（HOSTWINDS系）のホスティング基盤として観測されました。これはサーバー基盤の位置情報であり、送信者本人の所在地を示すものではありません。

X-Mailerには Foxmail 7.2.25.562 が記録されています。

※メールヘッダー詳細は個人情報保護のため非掲載

誘導先は一発で偽ログインではない――多段リダイレクト

メール本文から確認できた最初の誘導先は、銀行とは関係のない hxxps://kingsgatecarwash[.]com/UwDCRCJv でした。アクセス時にはセキュリティ製品がフィッシングとして警告し、続いてChrome側でも危険なサイトとして警告が表示されました。

一次誘導先ではフィッシングとして警告が表示されました。

Chromeでも危険なサイトとしてアクセスを止める警告を確認。

さらに進むと、すぐに銀行のログイン画面を出すのではなく、「サイトへの接続が安全かどうか確認しています」として盾アイコンを選択させる人間確認ページが現れました。

途中に挟まれた「人間であること」を確認するゲート。自動解析を避ける目的かどうかは断定できません。

入口と最終ページでサーバー基盤が切り替わる

役割	IP	観測された基盤
メール送信元	104.168.144.139	米国・シアトル周辺 / AS54290
一次誘導先	198.44.36.5	米国・シアトル周辺 / AS54290 Hostwinds LLC
最終誘導先	104.223.45.131	米国・ロサンゼルス周辺 / AS8100 QuadraNet Enterprises LLC

送信元と一次誘導先は異なるIPですが、どちらもAS54290上で観測されました。一方、最終誘導先はAS8100へ切り替わっています。

ただし、同じASNを利用していることだけで「同一犯」と断定することはできません。 ここでは、メール送信と一次誘導に同じASNのホスティング基盤が使われていたという観測事実として扱います。

送信元IP 104.168.144.139 の調査結果。

一次誘導先 198.44.36.5 はAS54290 / Hostwinds LLCとして観測。

最終誘導先 104.223.45.131 はAS8100 / QuadraNet Enterprises LLCとして観測。

別ドメインへ移動し、最後は偽マイゲート

人間確認の後、誘導先は hxxps://houseofironinc[.]com/IrKairPw/ へ切り替わりました。ここでもセキュリティ製品とChromeの警告を確認しています。

別ドメインへ移動した後もフィッシング警告が表示されました。

Chrome側でも再び危険サイトとして警告。

そして最終的に表示されたのが、りそな銀行のマイゲートを模したログインページです。ログインIDとログインパスワードの入力欄が用意されており、ここで認証情報を入力させることが狙いと考えられます。

最終的に表示されたマイゲート風のログイン画面。URLはりそな銀行の正規ドメインではありません。

公式も「メールの送信元情報のみで判断しない」と注意

りそなグループは、フィッシングメールから偽サイトへ誘導し、IDやパスワードなどを入力させる手口について注意喚起しています。また、身に覚えのないメールでは、記載URLからパスワード等を入力せず、送信元情報だけで判断しないよう案内しています。

今回のようにSPFがPassしているケースは、その注意点をよく表しています。メール認証の表示だけを見るのではなく、「どのドメインが認証されているのか」「リンク先が正規ドメインなのか」を見ることが大切です。

りそな銀行の公式注意喚起は、フィッシング詐欺などの金融犯罪にご注意くださいで確認できます。

注意点と対処法

• 身に覚えのない「カード発行」「承認」「発送」通知は、本文のリンクを押さない。
• 表示名が「りそな銀行」でも信用せず、実際の送信ドメインを確認する。
• SPF Passだけで正規メールと判断しない。
• ブラウザやセキュリティ製品が警告したページは、それ以上進まない。
• 確認が必要な場合はメールのURLではなく、公式アプリや自分で保存した正規サイトからアクセスする。

まとめ――「SPF Pass」と「本物」は別の話

今回確認したメールは、「追加カード発行承認」という不安を入口に、銀行と無関係なドメイン、複数のセキュリティ警告、人間確認、別ドメインへの転送を経て、偽マイゲートへ誘導するフィッシングでした。

特に覚えておきたいのは、SPF Passだから安全、という判断はできないことです。心当たりのないカード発行通知が届いても慌てず、メール内のリンクには触れず、公式アプリや正規サイトから確認してください。