【総集編】総務省統計局かたる「労働力調査2026」詐欺、4月から続く波状攻撃の全貌——第三波は収束せず規模を拡大、8月火曜昼までに120通超
当サイトでは総務省統計局を騙る「労働力調査2026」詐欺について、4月の初出以来ずっと追いかけてきました。先日「第三波、3日間で74通」という記事を出したばかりなのですが、8月に入ってからも収まる気配がなく、土曜日の午後から火曜日の昼までにすでに120通を超える着信を確認しています。今回は総集編として、これまでの経緯と最新の手口をまとめてお伝えします。
ご覧の通り、このメールは総務省統計局を装った真っ赤な偽物です。4ヶ月以上にわたり波状的に届いているため、ご家族にもこの記事を転送して継続的にご注意ください。
■ 8月の受信件数——平日に急増する波
8月1日から4日（火曜昼時点）までの受信数を集計したところ、以下のような推移でした。
8/1（土）
8/2（日）
8/3（月）
8/4（火・昼時点）
受信メール一覧を集計（8/4は12:20時点、当日終了時点ではさらに増える見込み）
土日（8/1・8/2）は落ち込むものの、月曜（8/3）に53通と急増し、火曜（8/4）も昼過ぎまでに31通と、月曜と同等以上のペースで推移しています。平日の営業時間帯を狙って送信量を増やす、典型的なビジネスメール型攻撃のパターンが見て取れます。
■ 4月から続く波状キャンペーンの全体像
| 波 | 時期 | 送信元 | 誘導先 | 特徴 |
| 第一波 | 2026年4月 | Google Cloud | Cloudflare | 初出 |
| 第二波 | 2026年6月 | イタリアの回線業者 | 不明 | スマホ限定クローキングを実装 |
| 第三波（前半） | 2026年7月28日ごろ | 複数入替 | 複数入替 | リンク表示偽装、テンプレート取り違え |
| 第三波（本格化） | 7月28日〜31日 | Azure | Tencent Cloud | 3日間で74通、疑似CAPTCHA導入 |
| 第三波（拡大継続） | 8月1日〜（継続中） | Azure | Tencent Cloud | 4日間で120通超、偽DKIM署名を追加 |
送信元・誘導先のインフラ構成は7月末の第三波と完全に一致しており、新しい波というよりも第三波がそのまま規模を拡大しながら継続していると見るのが実態に近いと考えられます。
■ 最新の1通を解析——偽DKIM署名という新たな細工
それでは、火曜日の12:20に届いた最新の1通を詳しく見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
━━━━━━━━━━━━━━━━━━━━ 総務省統計局 労働力調査事務局 ━━━━━━━━━━━━━━━━━━━━ お客様各位 平素より政府統計調査へのご協力を賜り、誠にありがとうございます。 ━━━━━━━━━━━━━━━━━━━━ ■ 労働力調査への回答が未確認です ━━━━━━━━━━━━━━━━━━━━ 現在、お客様の労働力調査へのご回答がまだ確認できておりません。 労働力調査は、日本の雇用・失業状況を把握するための重要な基幹統計調査であり、回答は統計法に基づく義務となっております。 ━━━━━━━━━━━━━━━━━━━━ ■ 回答期限 ━━━━━━━━━━━━━━━━━━━━ 2026年8月5日 23:59まで ━━━━━━━━━━━━━━━━━━━━ ■ オンライン回答の流れ ━━━━━━━━━━━━━━━━━━━━ ステップ1 以下のURLにアクセスし、回答ページへ進む ステップ2 画面の案内に従い、必要事項を入力 ステップ3 内容を確認のうえ、送信を完了 ▼ 労働力調査 回答ページ https://www.soumu.go.jp/online/ ←（表示上の文字列。実際のリンク先は別ドメイン） ※スマートフォン・パソコンから、いつでも回答できます ※ご協力いただける方を対象に、先着3000名様にセブン-イレブンで使える500円分のデジタルクーポンをプレゼントいたします。 ━━━━━━━━━━━━━━━━━━━━ ■ 本メールについて ━━━━━━━━━━━━━━━━━━━━ 本メールは送信専用です。ご返信いただいても対応できません。 ご不明な点は、労働力調査事務局オンラインお問い合わせ窓口をご確認ください。 ━━━━━━━━━━━━━━━━━━━━ 総務省統計局 MV8M97
火曜12時20分に受信した最新の詐欺メール。件名の通知番号（No.074936-89395）以外は完全に同一テンプレート
💡 今回新たに確認した細工：偽のDKIM署名
このメールのDKIM署名にはd=soumu.go.jpと、あたかも総務省の公式ドメインであるかのような表示がありました。しかしこれは攻撃者が勝手に名乗っているだけの文字列で、実際のsoumu.go.jpが公開している検証鍵とは無関係です。正規のメールサーバーで検証すれば確実に不一致（失敗）になりますが、ヘッダーを表面的に見ただけでは「本物っぽい」と錯覚しかねない細工です。7月末の第三波にはなかった要素で、手口が少しずつ強化されている様子がうかがえます。
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
20.222.21.35（helo=pwobuf.com）
回線情報：
Microsoft Azureのアドレス帯（20.x.x.x）です。7月末の第三波と同じくAzureが送信元として使われています。
送信ドメインの正体：
送信ドメイン「pwobuf.com」は総務省とは無関係な、意味不明な名称の乗っ取りドメインです。
■ フィッシングサイト詳細解析——多段構成は健在
第一段階の誘導先URL（伏せ字）：
hxxps://yyshji[.]com/page/pschhdjzsr
解決先IP：43.163.207.119（Shenzhen Tencent Computer Systems、AS132203 TENCENT-NET-AP-CN）
本文中ではhttps://www.soumu.go.jp/online/という文字列が表示されていますが、実際にクリックすると全く別のドメインへ遷移する、リンク表示偽装が今回も使われていました。
アクセスすると、まず盾アイコンを選ばせる疑似的な「セキュリティ確認」画面が表示されます。今回は2個の盾アイコンを選ばせる方式で、第三波の頃から手口が少し変化しています。
2個の盾アイコンを選ばせる疑似CAPTCHA画面。自動解析ツールの回避と人間による操作の確認が目的とみられる
その後、Chromeのセーフブラウジングが「危険なサイト」として警告を表示しました。
誘導先が既にフィッシングサイトとしてGoogleセーフブラウジングに検出されている
警告を突破すると、最終的に本物の総務省統計局サイトを模した「労働力調査 かんたんガイド」という偽ページへたどり着きます。
最終着地の偽ページ。解決先IPは43.155.174.59（Shenzhen Tencent Computer Systems、AS132203 TENCENT-NET-AP-CN、韓国ソウル登録）
■ 注意点と対処法
- 統計調査をメールで催促されたら疑う：総務省統計局を含む公的機関が、個別にメールで回答を催促することはありません。
- リンクは押す前に確認：パソコンではマウスを乗せて、スマートフォンでは長押しして、実際の遷移先URLを確認してください。表示と実際の行き先が違えば詐欺です。
- 「セキュリティ確認」画面が出ても油断しない：本物らしく見えるCAPTCHA画面も、詐欺サイトの一部として作られている場合があります。
- 同じ件名が繰り返し届いても慌てない：通知番号だけを変えた大量送信は、詐欺グループの常套手段です。1通ごとに削除して問題ありません。
- デジタルクーポンなどの「特典」を疑う：統計調査への回答に金銭的な特典がつくことはありません。
本レポートの結論
総務省統計局を騙る「労働力調査2026」詐欺は、4月の第一波から4ヶ月以上にわたり波状的にキャンペーンを続けており、7月末の第三波は収束するどころか8月に入っても規模を拡大し、火曜昼までに120通超という過去最大級の物量に達しています。送信元・誘導先はAzure×Tencent Cloudという構成で一貫しており、偽DKIM署名という新たな細工も加わりました。身近な方が慌てて手続きしてしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Charcoal
今、拡散中の詐欺メール
