「りそなカード ご請求金額のご確認」は詐欺！韓国発マイクロソフト系IPから米ニューヨーク州のサーバーへ誘導する「安全チェック」偽装の手口を解析
お盆前のこの時期は、クレジットカードの引き落とし額を気にする方が増えるタイミングでもあります。そこを狙ったかのように、りそなカードを装う「ご請求金額のご確認」という件名の詐欺メールが届きました。今回は誘導先にひと工夫あり、セキュリティ担当者向けの解析ツールをかいくぐろうとする仕掛けも見つかりましたので、詳しく解説します。
📋 調査レポート：概要
| 総合危険度 | ★★★★☆（高） |
| 騙られたブランド | りそなカード（株式会社りそなホールディングス） |
| 件名 | [spam] りそなカード ご請求金額のご確認 |
| 送信元IP（真の送信元） | 52.141.58.11（Microsoft Corporation／韓国・ソウル） |
| SPF判定 | Pass（送信者が自分でSPFレコードを設定しているだけで、りそなカードの正規メールである証明にはなりません） |
| 誘導先サイト | 偽の「安全チェック」画面を経由し、米ニューヨーク州のサーバーへ誘導 |
| 受信日時 | 2026年8月8日（土）未明 |
※メールヘッダー詳細は個人情報保護のため非掲載
結論：このメールは100％詐欺（フィッシング）メールです。
本文中のリンク・電話番号は絶対にタップ・クリック・発信しないでください。
届いたメールの内容
実際に届いたメールの内容をそのまま再現します（技術検証のための引用です）。
件名：[spam] りそなカード ご請求金額のご確認 送信者："会員通知メール" <mail03@mail03.56equip.com> お支払前にご確認ください。 請求金額の中に、覚えのないご利用が含まれている可能性があります。 お客さま 様 2026年8月分の請求金額が確定しました。 引き落とし前に、必ず明細内容をご確認ください。 今回のご請求金額 96,269円 対象月：2026年8月 お支払日：2026年8月8日 お支払方法：口座振替 カード：りそなカード（VISA） ・利用先の名前を確認する ・覚えのない請求がないか確認する ・金額の内訳をその場で確認する 【今すぐ明細を確認する】 確認には通常1分程度かかります 本メールは送信専用です。返信できません。 発行：株式会社りそなホールディングス／お問い合わせ：0120-36-3989 ヘルプはこちら © Resona Group All Rights Reserved.
実際に届いたメールの画面。りそなカードの正規デザインを模倣している
フッターの著作権表記をよく見ると「© Resona Group All Rights Reserved.」となっています。正しい社名は「株式会社りそなホールディングス」であり、こうした細かな表記のズレは、なりすましメールを見抜くヒントになります。また「9万円台のリアルな請求額」を提示することで、思わず確認したくなる心理を突いている点も特徴的です。
送信ルート解析：本当の送信元はどこか
メールヘッダーの「Received-SPF」欄に記録されたclient-ip=52.141.58.11が、実際にこのメールを送信したサーバーのIPアドレスです。国別データベース（GeoLite2）およびip-sc.netで調べたところ、このIPアドレスは韓国・ソウルを拠点とするMicrosoft Corporation名義のサーバーであることが分かりました。
りそなカードは日本の会社ですから、正規のメールが韓国のサーバーから届くことは通常ありません。送信元として名乗っているドメイン名も56equip.com――りそなとは何の関係もない、機材関連らしき無関係な社名のドメインでした。メール送信に使われたツール名も「Ofzvul」という聞き慣れないもので、正規のメール配信システムとは考えにくいものです。
💡 用語解説：ASN（AS番号）って何？
ASN（Autonomous System Number）とは、インターネット上の「どの通信事業者・企業のネットワークか」を示す識別番号です。今回の送信元は「Microsoft Corporation」名義のネットワーク番号が使われていましたが、これは必ずしも日本マイクロソフト社が詐欺に関与していることを意味しません。クラウドサービスの契約者が誰でも借りられる領域が、詐欺メールの発信に悪用されているケースです。
フィッシングサイト解析：偽の「安全チェック」画面で足止め
メール本文の「今すぐ明細を確認する」ボタンをタップすると、まず以下のような、いかにも正規のセキュリティ確認のような画面が表示されます。
「安全チェック」を装った最初の画面。「確認」ボタンを押させようとする
続けて表示される「確認中です」画面。ブラウザを閉じないよう促す文言がある
■ 誘導リンクの構造
①メール内のリンク：hxxps://super-traffic[.]com/DCaqHPfV
解決先IP：107.175.89.151（ColoCrossing／米ニューヨーク州バッファロー）
②最終誘導先：hxxps://angels-travel[.]com/jmFfvPRN
解決先IP：192.3.140.114（ColoCrossing／米ニューヨーク州バッファロー）
この「安全チェック」という画面は、りそなカードにもセキュリティ製品にも属さない、攻撃者側が用意した偽物です。一般的にこうした中間画面は、自動解析ツールやセキュリティ企業の調査ロボットを足止めし、本物の詐欺サイトを見つけにくくする目的で使われることがあります。
「②」の最終誘導先（angels-travel.com）へアクセスを試みたところ、応答がなくタイムアウトした画面。旅行会社を思わせるドメイン名だが、りそなカードとは無関係
今回、最終的な誘導先ページ自体は応答がなく、実際の偽ログイン画面までは確認できませんでした。しかし、ここまでの過程だけでも「りそなを名乗りながら旅行会社のようなドメイン名へ誘導する」という不自然さは十分に見て取れます。サイトが表示されなかったとしても、油断は禁物です。攻撃者側がサーバーを移転・再稼働させれば、同じ手口が別のドメインで再び動き出す可能性があります。
注意点と対処法
✅ メール内のリンクは開かない：請求明細の確認は、必ず公式アプリやブックマークしておいた公式サイトから行ってください。
✅ 「安全チェック」等の中間画面が出ても信用しない：正規の銀行・カード会社サイトへの遷移で、こうした確認画面を挟むことは一般的ではありません。
✅ 送信元アドレス・フッターの表記を確認する：今回のように、著作権表記のわずかな違いなどが見分けるヒントになることがあります。
✅ 不安な場合は、メールに書かれた電話番号ではなく、公式サイトに記載された連絡先へ問い合わせる：メール内の電話番号は偽物の可能性があります。
まとめ
「請求金額に覚えのない利用が含まれているかもしれない」という言葉は、誰でも気になってしまうものです。しかし確認すべきは、メールのリンクではなく、公式アプリやカード裏面に書かれた正規の連絡先です。落ち着いて、いつもの確認方法で対応しましょう。この記事が「あれ、これ怪しいかも」と思うきっかけになれば幸いです。ご家族、特にご高齢の方にもぜひ共有してください。
Data Provided by Heartland-Lab Security Research Unit
IPアドレスの脅威情報はIP調査兵団（ip-sc.net）のデータを参照しました。
今、拡散中の詐欺メール
