「りそな銀行 デビットカードご利用のお知らせ」は詐欺——「人間確認」ステップを挟み香港着地の偽サイトへ誘導する巧妙な多段構成
お盆休み真っ只中、旅行先での買い物やお土産の発送などでカードを使う機会が増える時期です。そんな中、りそな銀行のデビットカードを使った覚えのない支払い通知が届いたら、誰でもドキッとしてしまいますよね。今回はそんなメールをご紹介します。
📋 調査レポート：概要
| 対象ブランド | りそな銀行を騙るなりすましメール |
| 件名 | [spam] りそな銀行 デビットカードご利用のお知らせ |
| 受信日時 | 2026年8月14日 10時27分 |
| 危険度評価 | ★★★★☆（具体的な金額を示して不安を煽る古典的な手口だが、誘導先は多段構成でかなり手が込んでいる） |
| 送信元 | Microsoft Azure（AS8075） |
| 最終着地 | 香港（Owgels International Co., Limited） |
⚠️ このメールはりそな銀行とは一切関係のないなりすましメールです
本文中のリンクは絶対にクリックしないでください。
📧 実際に届いた詐欺メール
▲ 「デビットカードご利用のお知らせ」を騙る偽メール。Amazon.co.jpで9,280円利用したという、具体的な金額と加盟店名が記載されている
※メールヘッダー詳細は個人情報保護のため非掲載です。
今回のメールには送信者名や件名にゼロ幅文字などの偽装は見当たらず、文面もいたってシンプルです。「身に覚えのない利用金額を提示して、思わずリンクを踏ませる」という、詐欺の基本に忠実な作りと言えます。ただし、後述する誘導先の仕組みはかなり手が込んでいました。
🌐 「人間確認」を挟む多段階の誘導
本文中の「マイゲートよりご確認いただけます」というリンクをクリックすると、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」と警告を表示しました。
▲ 1段階目のリンク先に対するChromeの警告画面
警告を確認して先に進むと、次のような「サイトへの接続が安全かどうか確認しています」という画面が現れ、盾のアイコンを2つタップするよう求められました。
▲ 「あなたが人間であることを確認してください」という、いわゆる人間確認（CAPTCHA風）の画面
💡 ここで！ なぜ「人間確認」の画面を挟むの？
セキュリティ会社や検索エンジンは、自動プログラム（クローラー）を使って怪しいサイトを巡回し、危険なサイトを見つけ出してブロックリストに登録しています。攻撃者はこの仕組みを逆手に取り、「盾アイコンをタップする」といった、人間にしかできない簡単な操作をあえて挟むことで、機械的な巡回プログラムを本物の偽サイトにたどり着かせないようにしていると考えられます。つまりこの画面は、皆さんを守るためのものではなく、攻撃者が自分たちの偽サイトを見つかりにくくするための仕掛けである可能性が高いのです。
この画面を通過すると別のドメインへ転送され、そこでも再びウイルスバスターが「安全ではない可能性があります」とフィッシング判定を表示しました。
▲ 転送先ドメインに対するウイルスバスターの警告。脅威の種類「フィッシング」と明記されている
2度の警告と1度の人間確認を乗り越えた先には、りそな銀行の会員サービス「マイゲート」を精巧に模した偽ログインページが待ち構えていました。
▲ 本物のマイゲートとほぼ見分けがつかない偽ログイン画面。ログインIDとログインパスワードの入力を求めてくる
🔍 送信・中継・着地がすべて別々の国
今回の調査で特徴的だったのが、メールの送信から偽サイトへの着地まで、経由する基盤の所在地がすべて異なる国だったという点です。
| 段階 | 基盤 | 所在地（登録上） |
| メール送信 | Microsoft Azure | 韓国・ソウル |
| 1段階目リンク先 | QuadraNet Enterprises | 米国・ロサンゼルス |
| 最終着地（偽サイト） | Owgels International | 香港 |
なお、Azureの登録住所（韓国）は同社の大規模クラウド基盤の代表的な登録地にすぎず、実際の攻撃者の所在地を示すものではありません。この点も踏まえ、送信元の実際の所在地は「不明」として扱っています。
また、最終着地サイトのドメイン登録情報を確認したところ、ドメイン自体の取得は2025年8月でしたが、設定の更新日がメール送信の前日となっており、この配信に合わせて直前に設定を書き換えた可能性が高いとみられます。
⚠️ 注意点と対処法
- デビットカードの利用明細は、メール内のリンクからではなく、りそな銀行の公式アプリまたは公式サイトに、ご自身でブックマークや検索から直接アクセスしてご確認ください。
- セキュリティソフトやブラウザが「危険」「フィッシング」と警告を出した場合は、そこでアクセスを中止してください。「人間確認」のような画面が出てきても、安全性が確認された証拠にはなりません。
- 身に覚えのない利用通知が届いても、まずは慌てず、公式アプリの利用履歴で事実を確認しましょう。
- 万が一マイゲートのログインIDやパスワードを入力してしまった場合は、速やかに公式サイトからパスワードを変更し、りそな銀行に連絡してください。
📝 まとめ
今回のりそな銀行を騙る偽メールは、文面自体はシンプルなものの、その先の誘導ルートには「人間確認」という自動検知回避の仕掛けや、送信・中継・着地がすべて異なる国という分散構成など、発見されにくくするための工夫が随所に見られました。「見た目がシンプルだから大丈夫」とは限らないという、良い教訓になる事例です。
⚠️ カード利用明細は公式アプリ・公式サイトで直接確認を！
セキュリティソフトの警告が出たら、そこで引き返してください。
Data Provided by Heartland-Lab Security Research Unit ／ IPアドレスの詳細な位置情報はip-sc.netを参照しています。
※本記事は2026年8月14日時点の情報をもとに作成しています。詐欺の手口は日々変化しており、記載内容と実際の被害状況が異なる場合があります。
今、拡散中の詐欺メール
