【実録】セゾンカードを騙る「新着ログインの通知」フィッシングメール発覚——Netアンサー偽ログイン画面へのプロキシ偽装誘導を解析

2026年7月19日

【実録】セゾンカードを騙る「新着ログインの通知」フィッシングメール発覚——Netアンサー偽ログイン画面へのプロキシ偽装誘導を解析

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

セゾンカードの会員向けサービス「Netアンサー」を装い、「新着ログインの通知」という不安を煽る件名でSAISON IDのログイン情報を盗み取ろうとするフィッシングメール（個人情報を騙し取ることを目的とした偽メール）が確認されました。身に覚えのないログイン通知であっても、本文中のリンクは絶対にクリックしないでください。

件名	[spam]【セゾンカード】重要なお知らせ：新着ログインの通知
差出人表示名	“Netアンサー”（クレディセゾンの会員サービスを詐称）
送信元IP（Received-SPF記載）	`34.97.250.145`（日本・大阪／Google Cloud Platform）
誘導先	偽SAISON IDログイン画面（プロキシ経由でシンガポール発と判明）

緊急性レベル	★★★★☆ (4/5) ※「新着ログインの通知」という文面自体が不安を煽る典型パターン
偽装工作精度	★★★★☆ (4/5) ※SAISON IDログイン画面はほぼ本物と同一のデザイン

ご覧の通り、このメールは公式クレディセゾンを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

届いたメールの内容を、技術検証のためそのまま再現します。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。リンクは無効化のうえ掲載しています。

クレディセゾンより送信されたメールです

〇〇様

Netアンサーにログインが確認されました。

◆────────────────────────

＜対象カード＞
セゾンカードインターナショナル

＜異常な操作／操作手順の違反＞
新しいメールアドレス：14OLZVHw*2COrtY@gmail.com

＜ログイン日時＞
2026年7月18日(土) 15時27分

■ 承認状況の確認・取り消し。以下のボタンをクリックしてログインし、画面の指示に従ってお手続きを完了させてください。
本人確認のお手続きはこちら （リンクは無効化済み）

────────────────────────◆

■ご自身の操作ではない場合
以下の場合にも、通知が届くことがあります。

1. NetアンサーのID・パスワードでログインするサービスを利用している
例）セゾンポイントモール、STOREE SAISON、セゾンのふるさと納税など

2. 家計簿アプリなどの連携サービスを利用している
※どのアプリやサイトからログインしているかはお調べすることができません。

3. 家族で同じメールアドレスを利用している

4. いずれにもお心当たりがない場合は、安全のためパスワードの変更やNetアンサーの再登録をお願いいたします。

====================================
※このメールはNetアンサーから自動的に配信を行っております。
※本メールアドレスは配信専用のため、ご質問・ご依頼などにお答えできませんので、ご了承いただけますようお願い申し上げます。

株式会社クレディセゾン
〒170-6073 東京都豊島区東池袋3-1-1

▲ 実際に届いた詐欺メールの画面です。

一見すると本物のクレディセゾンのメールと遜色ないデザインですが、「異常な操作」として表示されている新しいメールアドレスがGmailの使い捨てアドレスのような文字列になっており、正規サービスの通知としては不自然です。受信者の不安を煽って冷静な判断力を奪う、典型的な「不正利用通知」テンプレートと言えます。

※メールヘッダー詳細は個人情報保護のため非掲載

1. 送信ルートおよび偽装判定
2. 用語解説
3. フィッシングサイト詳細解析
4. 注意点と対処法

送信ルートおよび偽装判定

■ Receivedヘッダー解析（サーバー通過証明）

Received-SPF: Pass (sender SPF authorized) client-ip=34.97.250.145; helo=fftdxx.st-barts-villa.com

【偽装判定】：
正規のクレディセゾンからのメールは「saisoncard.co.jp」「netanswer.saisoncard.co.jp」等の公式ドメインから送信されます。本メールの送信ドメイン「st-barts-villa.com」はクレディセゾンとは一切関係のないドメインであり、送信元はGoogle Cloud Platform上のサーバーでした。SPF認証自体は「Pass」と表示されますが、これは攻撃者が自ら用意したドメインに対して正しく設定しているだけであり、正規サービスであることを保証するものではありません。

発信元インフラ：
Google Cloud Platform（日本・大阪）
※クラウド事業者のIPアドレスのため、実際の攻撃者の所在地とは限りません。