【続報】セゾンカード「不審なアクセス検知」詐欺がまた出現——送信・誘導インフラを総入れ替えして再来、ウイルスバスターに即ブロックされる粗雑な後継版

HL-META: date=2026-07-28 | brand=セゾンカード | sender_geo=米国 | site_geo=unknown | spf=pass | dkim=pass | cloaking=unknown

ご覧の通り、このメールはセゾンカードを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

【重要】安全確認のお願い

平素よりSaisonをご利用いただき、誠にありがとうございます。

この度、通常とは異なるご利用の兆候が確認されたため、お客様のアカウントの安全を確保するために、一時的にご利用を制限させていただきました。

つきましては、以下のリンクよりご本人確認をお願いいたします。確認が完了次第、速やかにアカウントのご利用を再開いたします。

　　ご本人確認を行う

安全確認の際のお願い
安全にご利用いただくため、以下の点に十分ご注意ください：
・普段お使いのスマートフォンやパソコンからアクセスしてください。
・公共のWi-FiやVPNの利用はお控えください。
・認証リンクを第三者に共有しないでください。

お客様のご理解とご協力に心より感謝申し上げます。

Saison株式会社
〒100-0001 東京都千代田区丸の内1丁目1番1号 Saisonビル

引き続き、安心してSaisonをご利用いただけるよう努めてまいります。
今後ともどうぞよろしくお願い申し上げます。

配信停止はこちら

■ 送信ルート及び偽装判定

表示上の送信者：“セゾンカード” <kmjnec@kmjnec.heronhollowstonery.com>

送信元（SPF client-ip）：136.67.66.175
HELO：kmjnec.heronhollowstonery.com
この送信元IPはGoogle Cloud Platform（米国オレゴン州）に割り当てられたものです。SPF・DKIMともに「Pass（合格）」ですが、これは「kmjnec.heronhollowstonery.com」という送信元ドメイン自身への認証にすぎません。セゾンカードの正規ドメインとは一切無関係です。

【気になる配信の形跡】：ヘッダーには配信停止用リンク（List-Unsubscribe）や配信管理用ID（Feedback-ID）など、正規のメール一斉配信サービス（ESP）が使うものと同じ仕組みが含まれていました。攻撃者がこうした一斉配信の仕組みを悪用し、大量のアドレスに同時送信している可能性があります。

【偽装判定】：正規のセゾンカードからのメールは「saisoncard.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「heronhollowstonery.com」はセゾンカードと一切関係のない、フィッシング目的とみられるドメインです。SPF・DKIMの認証結果が「Pass」でも、それは「本物」を意味しません。送信元ドメインそのものがセゾンカードと無関係であれば、認証がいくら通っていても偽物です。

💡ここで！ 用語をやさしく解説

SPF／DKIM：いずれも「送信元が名乗っているドメインから、正しい手続きで送られたか」を確認する仕組みです。今回のように、攻撃者が自分で用意したドメイン自身への認証だけを通しているケースがあるため、「Pass」の表示だけを見て安心してはいけません。表示名ではなく、実際のメールアドレスのドメインを確認することが重要です。

List-Unsubscribe（配信停止リンク）：本来は正規の広告メールなどについている「配信停止」用の仕組みです。詐欺メールにこれが付いていること自体が、正規のメール配信サービスが何らかの形で悪用されている可能性を示しています。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://welgd.us-datarecovery-bakersfield［.］com/

本文中の表示リンクと、ヘッダー内の内部解析用リンクの遷移先は一致しており、表示URLと実リンクの偽装（見た目と実際の遷移先が違う手口）は今回は使われていませんでした。

今回、誘導先にアクセスを試みたところ、まずウイルスバスター クラウドが「このWebサイトは、安全ではない可能性があります」と警告し、接続をブロックしました。さらに調査を続けたところ、現在ではドメイン自体がDNS_PROBE_FINISHED_NXDOMAIN（名前解決不能）の状態になっており、サイトそのものが消滅していました。セキュリティソフトに検知された直後に使い捨てられたとみられ、攻撃基盤の使い回しの短さがうかがえます。

■ 過去の関連記事（続報について）

同じ件名「【重要】安全確認のお願い」を騙るメールについては、2026年7月21日にも取り上げています。

・前回の解析記事：【セゾンカード】「不審なアクセス検知に伴うアカウントの安全確認のお願い」は詐欺メール！偽Netアンサーに注意（https://ymg.nagoya/saison-card-suspicious-access-security-check/）

前回は送信元ドメインが「proofrentacar.com」、誘導先が「ludoviclochon.com」でしたが、今回は送信元・誘導先ともに完全に別のドメインへ入れ替わっています。件名と本文のテンプレートを使い回しながら、送信インフラだけを次々に使い捨てているパターンです。

■ 注意点と対処法

1. 送信元アドレスを確認する：セゾンカードからのメールは「saisoncard.co.jp」等の公式ドメインからのみ配信されます。それ以外のドメインからのメールは偽物です。
2. ID・パスワードを入力しない：Netアンサーへのログインは、必ず公式アプリまたはブックマークからアクセスしてください。
3. 「利用制限」の脅し文句に注意：「安全のため一時制限」「確認後すぐ再開」といった、焦らせて即座に行動させようとする文面は典型的な詐欺の手口です。
4. 公式注意喚起の参照：セゾンカードを騙る不審なメール・SMSにご注意ください（クレディセゾン公式）

本レポートの結論

「【重要】安全確認のお願い」を名乗るセゾンカードなりすましメールは、送信元・誘導先ドメインを使い捨てながら、同じ文面で繰り返し届いています。今回はウイルスバスターに検知された直後に誘導先が失効するというお粗末な一幕もありましたが、次に届く個体がそれほど甘いとは限りません。身近な方が慌ててリンクを開いてしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。