Apple Payの登録手続きが完了しました｜三井住友カード偽メールが1日246通、8つの筋書きで一斉に届いた

もし1日に、同じ会社の名前を名乗るメールが246通届いたら、あなたはどう感じますか。「さすがに、どれかは本物では」と思うかもしれません。今回はまさにその心理を狙ったような、波のような攻撃でした。

1. 1日で246通、8つの筋書き

筆者の受信箱では、朝8時すぎから「[spam]」付きの三井住友カード風のメールが並び始めました。迷惑メール一覧の画面を、時間順に並べます。

▲ 8:04〜8:16に届いた分。ほぼ1分に4通のペースです

▲ 8:17〜8:27に届いた分

▲ 8:28〜8:41に届いた分

▲ 8:41〜9:32に届いた分。8時50分ごろから、ぱたりと止まります

▲ 9:36〜15:01に届いた分。10時前後にもう一度、まとめて届きました

件名の言葉で分けると、筋書きは次の8種類でした。どれも「身に覚えがなければ急いで確認を」と焦らせる型です。

※分類は、件名の言葉だけで筆者が判断したものです。本文とリンク先まで確認したのは、このあと解説する代表の1通だけです。

• Apple Pay型（43通）：「Apple Payにカードが登録されました」と知らせる
• Vpassパスワード変更型（41通）：「Vpassのパスワードが変更されました」と知らせる
• カード一時制限型（34通）：「不正利用を検知し、カードを一時制限した」と知らせる
• カード利用確認型（32通）：「カードのご利用内容を確認してください」と求める
• 登録Eメール変更型（26通）：「登録メールアドレスが変更されました」と知らせる
• Vポイント失効型（26通）：「Vポイントの有効期限が近い・切れた」と知らせる
• お支払い金額確定型（25通）：「今月のお支払い金額が確定した」と知らせる
• 不審ログイン検知型（19通）：「Vpassへの不審なログインを検知した」と知らせる

第1波は8:04から8:49までの約45分間で、186通でした。ほぼ1分に4通のペースです。いったん静かになり、10時前後に第2波（9:56〜10:20、約25分間で45通）が来ました。残りの15通は、昼から午後にかけてぽつぽつと届いています。

ほかにも、気づいた点があります。

• 差出人名の表示が、「三井住友カード」「【三井住友カード】」「SMBCカード」「SMBC」「Vpass」の5通りありました。
• 件名の頭に付く【　】の言葉は、「重要」35通、「至急」23通、「セキュリティ通知」22通の順に多く、246通のうち232通に付いていました。付いていない14通は、いずれも9時台以降に届いたものです。
• 昼ごろからは、件名が「今月分のお支払い金額が確定しました」のように簡素になり、差出人名も変わりました。配信の仕組みが、朝の大量配信とは別の可能性があります。
• 12時37分の1通だけは、件名に「[spam]」が付いておらず、迷惑メールの判定をすり抜けて届いていました。
• 8時44分には、「限定キャンペーンのご案内（お客様専用）」という、Amazonを装う別の偽メール（差出人名「【アマゾン】」）が1通、同じ流れに混ざっていました。上の246通には含めていません。

※通数は、筆者宛ての1つのメールアドレスに、15時ごろまでに届いた分を画面から数えたものです。画面の見落としや、その後に届いた分があるため、実際の数と多少ずれる可能性があります。

2. 代表の1通：「Apple Payの登録手続きが完了しました」

8つの筋書きのうち、Apple Pay型（43通）から1通を選んで、中身を調べました。10時15分に届いた、HTMLメール（画像や色付きの文字で画面を作るメール）です。

▲ 届いた偽メールの画面

Apple Payへのカード登録について

三井住友カードをご利用くださいまして、誠にありがとうございます。
以下のカードがApple Payに登録されましたのでご連絡いたします。

登録カード　三井住友カード 下4桁●●●●
登録日時　　2026-11-11 10:15:55
デバイス　　iPhone 14 Pro Max
地域　　　　神奈川県

ご自身で登録されていない場合は、不正利用のおそれがございます。速やかに以下からご確認ください。

※ 三井住友カードアプリを起動するだけで、カード設定をご確認いただけます。
※ アプリをまだお持ちでない方は、以下のボタンからお手続きください。
［登録内容を確認する］
hxxps://nzpbb[.]com/entry/axul

※ 重要なセキュリティ通知です。配信設定に関わらずお届けしております。
※ 本メールの送信元は送信専用です。直接のご返信にはお応えいたしかねます。

三井住友カード株式会社
〒135-0061 東京都江東区豊洲二丁目2番31号

「ご自身で登録されていない場合は、不正利用のおそれ」と、身に覚えのない登録を知らせて不安をあおる文面です。「アプリをまだお持ちでない方は、以下のボタンから」と、アプリを入れさせる流れへ自然につなげています。末尾の社名と住所は、実在する会社のもので、本物らしく見せる飾りです。

ちなみに、本文の「登録日時」は、メールを送った時刻（10:15:55）と秒までぴったり同じです。メールを送った瞬間にApple Payへの登録も完了していたことになります。仕事の早い話です。

※メールに書かれた住所は実在する会社のものですが、このメールの送信元とは関係ありません。連絡先は、メール内のものではなく、自分で調べた公式のものを使ってください。

3. 送信ルート及び偽装判定

※IPアドレスの位置情報は、サーバーがある場所の目安です。犯人がその場所にいるとは限りません。脅威レベルが「低」でも、安全という意味ではありません。

4. 本文の4割以上が、見えない文字だった

メールを文字データとして読み込み、画面に出ない特殊な記号を、プログラムで数えました。今朝のVpassを装う偽メールにも使われていた手口が、このメールにも入っていました。

• 本文：767文字のうち325文字（約42%）が、見えない記号でした。5種類の記号が、それぞれ50個以上ずつ、言葉のあいだに挟まれています。
• 件名：「Apple Pay」の途中や「手続き」の途中などに、6個入っていました。さらに、【お知らせ】の文字のあいだに、ふつうの空白まで入れてあります。
• 差出人名：「三井住友カード」と見える表示は、実際には「ドーカ友住井三」という逆向きの文字列でした。文字の向きを反転させる見えない記号を使って、画面では正しい順番に見せています。

「Apple Pay」「登録」といった、迷惑メール判定で目を付けられやすい言葉を、わざと分断しているとみられます。迷惑メール一覧の画面で、件名の文字の間が広がって見えたのは、この空白の細工によるものです。

このメールには、「6uERmBoMhm.az」という名前のファイルが添付されていました。通常の文書や画像では見かけない、不審な拡張子です。約13バイトと極端に小さく、表示も文字化けしていました。実行も解析もしていません。

5. ボタンの先は「パソコン」と「スマホ」で別の画面

ボタン「登録内容を確認する」のリンク先は、nzpbb[.]com です。ここから先は、開く端末によって行き先が変わります。見る人によって表示を変える仕掛けを「クローキング」と呼びます。パソコンで調べる担当者には何も見せず、スマホの利用者にだけ本命の罠を見せる狙いとみられます。

▼ パソコンで開くと

パソコンでは、「haoyujiaoyuu-jp[.]com」に着きます。ここでウイルスバスターは「フィッシング」と判定して、「このWebサイトは、安全ではない可能性があります」とブロックしました。Chromeの「危険なサイト」の警告画面も確認しています（表示された画面のドメインは、記録していません）。

▲ パソコン側の転送先は、セキュリティソフトが「フィッシング」と判定しました

▲ Chromeも「危険なサイト」と警告します

警告を承知のうえで進むと、Googleの「I’m not a robot（私はロボットではありません）」の確認画面が出ます。

▲ 自動巡回プログラムを締め出すための確認画面

ところが、チェックを入れると「Verification failed. Try again.（確認に失敗しました。もう一度お試しください）」と出るだけで、何度繰り返しても同じでした。調べたパソコンでは、何をしても先へ進めませんでした。人間である証明を求められ続けて、「人間ではない」と判定されるのは、なんとも複雑な気分です。

▲ 何度チェックを入れても、この画面に戻ります

▼ スマホで開くと

スマホでは、「webforsolution-jp[.]com」に着きます。こちらはウイルスバスターも、パソコンと同じ「フィッシング」の判定でした。

▲ スマホ側の転送先も、同じく「フィッシング」と判定されています

ページを開くと、三井住友カードのサイトにそっくりな、緑の「SMBC」のヘッダーと「ログイン」ボタンが現れます。その上に、「本人確認を実行しています」と出て、4つの項目が次々に緑のチェックで埋まっていきます。

▲ 「チェック中 82%」と、確認しているふりをする画面

このあと、「webforsolution-jp.com/index1」へ進み、次の画面に切り替わります。

▲ 「最新版をダウンロード」のボタンが付いた、偽のアップデート画面

画面には、「Vpassアプリのアップデートが必要です」「セキュリティ強化のため、最新版へのアップデートが必要です」と書かれ、「2026年11月15日以降、旧バージョンはご利用いただけなくなります」と、期限まで添えてありました。ボタンの下には、「バージョン 8.4.0／無料／所要時間 約1分」と、アプリストアのような表示まで付いています。

ボタンを押した先は、確認していません。ダウンロードされるファイルが何かは未確認です。ただ、今朝調べた同じ三井住友カードを装う別のメールでは、スマホ側に偽のGoogle Playページが現れ、Androidのアプリ（APK）を入れさせる流れでした。

パソコンとスマホで画面を分ける手口は、今朝のVpassを装う偽メールと共通です。「アプリを入れさせる」入口としては、不正アプリでスマホを遠隔操作する詐欺の全国初の逮捕で解説した型にも重なります。昨日のお支払い金額確定を装うメールと同じ筋書きも、今回の8つの中に入っています。

※リンク先を調べたのは、Apple Pay型の1通だけです。ほかの7つの筋書きが、同じ行き先につながっているかは確認していません。

6. ドメインとサーバーを調べました

この登録業者（Aceville Pte. Ltd.）とCloudflareの組み合わせは、今朝のVpassを装う偽メールのリンク先ドメインとも同じです。ただし、サーバーのIPは別のものでした（あちらは東京、こちらは大阪のGoogleクラウド）。同じ人物の仕業だと断定はできませんが、同じ登録業者・同じ使い方の手順を、複数の攻撃者が使い回している可能性があります。

※IPアドレスの位置情報は、サーバーがある場所の目安です。犯人がその場所にいるとは限りません。2つの転送先のドメインの所有者は、確認できていません。

7. 届いた246通の件名、すべて書き出しました

筋書きごとに分けて、届いた順に並べています。見出しを押すと開きます。同じ件名が何度も届いたものは、届いた回数だけ載せてあります。

※一覧画面では、【　】の中の文字のあいだに空白が入った件名が多くありました（例：【 お 知 ら せ 】）。読みやすくするため、空白と見えない文字は取り除いて書き起こしています。冒頭の「[spam]」の表示も省いています。件名の左は、届いた時刻（時:分）です。

※合計は43＋41＋34＋32＋26＋26＋25＋19＝246通です。件名の言い回しは、見えない文字や空白を除くと132通りでした。

8. 注意点と対処法

本レポートの結論

三井住友カードを名乗る偽メールが、朝8時すぎから、1日で246通・8つの筋書きで届きました。調べた1通は、パソコンには行き止まりの確認画面、スマホには偽の本人確認とアプリ更新の画面を見せる、二面作戦でした。件名がどれだけ変わっても、狙いは同じです。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。

■ 参考にした情報

• 三井住友カード：不正利用対策とは？よくある手口や偽メールの見分け方
• 警察庁：サイバー事案に関する相談窓口