セゾンカード「永久不滅ポイント失効」詐欺、SendGrid経由で大量配信——攻撃側のAPIが「未設定」のまま稼働する杜撰な実態

HL-META: date=2026-07-28 | brand=セゾンカード | sender_geo=米国（SendGrid） | site_geo=日本（要確認） | spf=pass | dkim=pass | cloaking=unknown

ご覧の通り、このメールはセゾンカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

セゾンカード会員様へ

【重要なお知らせ】
いつもクレジットサービスをご利用いただき、誠にありがとうございます。
会員様が保有する「永久不滅ポイント」のうち、まもなく有効期限を迎えるポイントがございます。
期限を過ぎますとポイントは自動失効となり、失効後の復旧・再付与には対応いたしかねます。お早めにご確認・交換手続きをお願いいたします。

失効予定の永久不滅ポイント

失効予定ポイント（期間限定・ボーナスポイントを含む）
9,435 pt
失効期限：2026年7月31日（金）23時59分

ポイントのご活用方法
・カードご利用代金のキャッシュバック
・各種商品・電子ギフト券との交換
・航空会社マイル、各種提携先ポイントへ移行
・オンラインショッピングでの決済利用

　会員専用サイトで確認・交換する
　（アプリ・Webにて24時間受付）

会員専用WEBサービスログインはこちら

※ポイント対象外カードをお持ちの場合、本案内の対象外となる場合がございます。
※各種商品への交換、キャッシュバック、他社ポイント・マイルへの移行手続きは、有効期限までに完了させてください。
※ポイント交換・移行完了後のキャンセル、ポイント返還には応じかねます。
※システム処理の都合上、期限当日はアクセス集中により手続きが遅延する恐れがあります。余裕をもってお早めにお手続きください。

発行者
株式会社クレディセゾン
東京都豊島区東池袋3-1-1 サンシャイン60

■ 送信ルート及び偽装判定

表示上の送信者：“永久不滅ポイント通知” <megancecillia@ninehich.me>

送信元（SPF client-ip）：149.72.126.143
HELO：s.wrqvtzvf.outbound-mail.sendgrid.net
この送信元IPはTwilio SendGridという正規のメール一斉配信サービスのものです。攻撃者自身のサーバーではなく、正規の配信インフラを契約・悪用して大量送信を行っているとみられます。SPF・DKIMともに「Pass（合格）」ですが、これは「ninehich.me」という送信元ドメイン自身への認証にすぎず、セゾンカードの公式ドメインとは一切無関係です。

【偽装判定】：正規のセゾンカードからのメールは「saisoncard.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「ninehich.me」はセゾンカードと一切関係のない、フィッシング目的とみられるドメインです。SPF・DKIMの認証結果が「Pass」でも、それは「本物」を意味しません。送信元ドメインそのものが公式と無関係であれば、認証がいくら通っていても偽物です。

💡ここで！ 用語をやさしく解説

SendGrid（センドグリッド）：企業がメールマガジンや通知メールを大量に配信するために使う、正規のクラウドサービスです。多くの企業が正当な目的で利用していますが、攻撃者がアカウントを取得・悪用し、詐欺メールの大量配信に使うケースがあります。「送信に使われているサービスが有名」だからといって、メールの中身が本物とは限りません。

SPF／DKIM：送信元が名乗っているドメインから、正しい手続きで送られたかを確認する仕組みです。今回のように、攻撃者が自分で用意したドメイン自身への認証だけを通しているケースがあるため、「Pass」の表示だけを見て安心してはいけません。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://drirubif［.］me/（本文中2箇所のボタン・リンクとも同一ドメイン）

サーバーIP：43.165.177.29（Tencent Cloud Computing、日本国内のデータセンターとして登録）

このIPアドレスは、過去に別の詐欺サイト調査でも同じ緯度経度が表示されたことがあり、Tencent Cloud側の代表的な位置情報が表示されている可能性があります。実際のサーバー所在地はこの情報だけでは断定できません。

今回、誘導先サイトの内部を調べたところ、認証処理用とみられるAPI（/api/verify）に直接アクセスした際、「no real url configured（本物の遷移先URLが設定されていません）」というエラーが返ってきました。本来であれば人間の利用者だけを次の偽ログイン画面へ誘導する仕組みのはずですが、設定不備により機能していない状態とみられます。巧妙な文面の割に、裏側の作り込みは意外と粗いようです（笑）。

■ 注意点と対処法

1. 「永久不滅ポイントの失効」という案内自体を疑う：永久不滅ポイントには原則として有効期限がありません。この前提を知っておくだけで、多くの類似詐欺を見抜けます。
2. 送信元アドレスを確認する：セゾンカードからのメールは「saisoncard.co.jp」等の公式ドメインからのみ配信されます。それ以外のドメインからのメールは偽物です。
3. メール内のリンクからログインしない：ポイントの状態が気になる場合は、必ず公式アプリまたはブックマークからアクセスして確認してください。
4. 公式注意喚起の参照：セゾンカードを騙る不審なメール・SMSにご注意ください（クレディセゾン公式）

本レポートの結論

「永久不滅ポイント失効」を名乗るセゾンカードなりすましメールは、正規のメール配信サービスまで悪用して届いています。一方で誘導先の認証システムには設定不備が見つかるなど、攻撃側の詰めの甘さも垣間見えました。とはいえ「失効」という煽り文句自体が制度と矛盾する明確な嘘です。身近な方が慌ててリンクを開いてしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。