三井住友カード詐欺メールが1日で約240通！「ワンタイムパスワード設定のお願い」など件名103種を一覧で紹介

2026年11月9日

クレジットカードの明細が確定する時期になると、「お支払い金額が確定しました」というメールが気になりますよね。うっかり開きたくなるそのタイミングを、まさに狙った詐欺メールが大量に届いています。

HEARTLAND-LAB SECURITY RESEARCH UNIT｜調査レポート

「三井住友カード」を装う詐欺メールが
1日で約240通 ── 件名103種の全体像

件名を変え、表示名を変えながら大量に届いています。ボタンの先は、Androidに不正アプリを入れさせるための偽サイトです。

危険度：★★★★☆　（大量配信／スマホに不正アプリを入れさせる手口）

受信	2026年11月8日（日）に約240通（受信箱の画面上で数えた件数）
詳細解析した1通	11月9日（月）7:19着信「【重要】ワンタイムパスワード設定のお願い（三井住友カード）」
表示名	【国税庁電子申告】（件名は三井住友カードなのに、表示名は国税庁です）
送信元ドメイン	`cash.13u7.com`（三井住友カード・国税庁とは無関係）
送信元IP	`52.253.97.70`（Microsoftのクラウド。ip-sc.netでは東京都渋谷区と表示）
SPF	pass（ただし攻撃者自身のドメインに対する合格です）
DKIM	署名が2つ付いている（検証結果は確認できず）
添付ファイル	`ewp.mgs`（約40バイト。拡張子が不審なため当サイトでは開封・解析していません）

※メールヘッダー詳細は個人情報保護のため非掲載

これらのメールは三井住友カードからのものではありません。詐欺メールです。

リンクは押さず、案内されるアプリはインストールしないでください。すでに押してしまった方も、落ち着いて、このあとの対処法をご覧ください。

1. 1. 解析した1通 ── 件名・表示名・本文がバラバラ
2. 2. 約240通・件名103種の一覧
3. 3. 詳しく調べると分かった「偽装」
4. 4. ボタンの先は端末で変わる ── スマホには「偽のGoogle Play」
5. 5. 注意点と対処法
6. まとめ

1. 解析した1通 ── 件名・表示名・本文がバラバラ

11月9日の朝に届いた1通を詳しく調べました。ところが、この1通には不思議な点があります。件名は三井住友カード、表示名は国税庁、本文はe-Taxの還付のお知らせという、三つの別々の題材が混ざっているのです。

送る側が、件名・表示名・本文を別々のリストから組み合わせて配信している可能性があります。三井住友カードの件名で届いても、中身が別の題材のこともある、ということです。本文はこのような内容でした。

件名：【重要】ワンタイムパスワード設定のお願い（三井住友カード）
表示名：【国税庁 電子申告】

ご案内
寄附金控除（ふるさと納税）に係るお知らせ
令和7年分の確定申告について

還付対象額　76,300円
振込は受付後7営業日以内

納税者の皆様には、平素より国税行政にご協力をいただき、誠にありがとうございます。
このたび、令和7年分の所得税について、ふるさと納税の適用により還付が発生いたしました。
下記の還付内容をご確認のうえ、お手続きをお願いいたします。

還付明細
① 源泉徴収済みの税額　268,400円
② 寄附金控除適用後の確定税額　192,100円
③ 差引還付額（①－②）　76,300円

お手続きの流れ
1 e-Taxにログイン
2 還付内容をご確認
3 受取口座を登録・完了

[受取手続きを行う] → hxxps://13u7.com/nNLk1lRm1b.jp

※国税庁が口座番号・暗証番号・パスワード・クレジットカード情報などを、メールや電話で直接お尋ねすることは一切ございません。
※このような情報を求める連絡には十分ご注意ください。

国税庁　〒100-8978 東京都千代田区霞が関三丁目1番1号
法人番号 7000012050002　© National Tax Agency

▲ 実際に届いたメールの画面。添付ファイル欄に、見慣れない拡張子のファイルが付いています。

なお、11月8日に届いた三井住友カード系のメールには、本文も三井住友カードの体裁のものがありました。たとえば「新しい端末でのログイン確認」という見出しで、「Vpassアカウントに通常と異なる端末からのログインが確認されました」と不安をあおり、「三井住友カードアプリをダウンロード」させようとするものです。こちらの送信元は別のドメインでしたが、手口は同じ系統です。

本文に、国税庁の実在の所在地や法人番号まで書き写し、「国税庁が口座番号などをお尋ねすることは一切ございません」という注意書きまで偽造しているのも、本物らしく見せるための工夫です。

2. 約240通・件名103種の一覧

11月8日（日）に当サイトの受信箱へ届いたメールの件名を、系統別に整理しました。約240通のうち、重複を除いて103種類です。どの件名で届いても、同じ系統の詐欺メールとみて差し支えありません。心当たりのある件名があれば、そのメールは開かずに削除してください。

▲ 受信箱の様子。「【重要】」「【至急】」「【要確認】」などの見出しが、ずらりと並びました。

■ A. 支払い・請求（金額確定）系（18種類）

今月のお支払い金額が確定しました
11月分お支払い金額確定のお知らせ
お支払い金額とお引き落とし日のご案内
ご利用明細確定のお知らせ
お支払い金額をご確認ください
【三井住友カード】11月分お支払い金額確定のお知らせ
【三井住友カード】ご利用明細確定のお知らせ
【Vpass】お支払い金額をご確認ください
【お知らせ】お支払い金額確定のご案内
【お知らせ】お支払い金額確定に関するご連絡
【お支払い】カードご利用代金のご請求に関するお知らせ
【お支払い】11月分のお支払い金額についてのご案内
【ご請求】カードご利用代金のお知らせ
【お知らせ】ご利用代金のお支払い金額について
【重要】ご請求金額のお知らせ
【重要】お支払い金額についてのご連絡
【重要通知】お支払い金額のご案内
【ご利用明細】11月分カードご利用代金確定のお知らせ

■ B. キャッシュバック・プレゼント系（6種類）

【三井住友カード】対象カード限定！もれなく5000円キャッシュバック
【三井住友カード】ご案内が届いた方限定！5000円プレゼント
最大5000円キャッシュバック！Vpassアプリログインキャンペーン
対象カードで500円以上ご利用の方へもれなく5000円キャッシュバック
対象カード限定！もれなく5000円キャッシュバック
【三井住友カード】Vpassアプリログインとカードご利用で5000円キャッシュバック

■ C. ワンタイムパスワード・アカウント停止・ログイン確認系（11種類）

【重要】ワンタイムパスワード設定のお願い（三井住友カード）
【重要】三井住友カードワンタイムパスワード設定のお願い
【重要】アカウント一時停止に伴うご確認のお願い（三井住友カード）
【重要】セキュリティ強化のためワンタイムパスワードをご設定ください
【重要】三井住友カード端末ログイン確認のお知らせ
【重要】Vpassアカウントへのログイン確認のお願い
【重要通知】異常なアクセスに関するご案内
セキュリティ通知：不審なログイン
三井住友カード不審アクセスのご案内
三井住友カードログイン通知
不審なログイン検知のお知らせ

■ D. パスワード・メールアドレス・ID変更系（28種類）

【要確認】パスワードが変更されました
【要確認】パスワードの変更が完了いたしました
【重要通知】パスワード変更手続き完了のご通知
【重要通知】パスワード変更完了のお知らせ
【至急】パスワード変更完了に関するお知らせ
【要確認】Vpassパスワード変更に関するお知らせ
【セキュリティ】Vpassログインパスワード変更のご案内
【セキュリティ通知】Vpassパスワード変更についてのご案内
【至急確認】Vpassパスワード変更のお手続き完了
パスワード変更手続きが完了いたしました
パスワード変更手続き完了のご連絡
パスワード変更完了のご連絡
ご登録パスワード変更完了のお知らせ
【至急確認】Eメールアドレスが変更されました
【重要通知】Eメールアドレスが変更されました
【セキュリティ】メールアドレス変更のご確認
【要確認】Vpass Eメールアドレス変更のご確認
【重要通知】Eメールアドレス変更手続き完了のお知らせ
【要確認】Eメールアドレスの変更手続き完了
【重要】登録メールアドレス変更完了のお知らせ
【要確認】メールアドレスの変更が完了しました
【重要通知】Eメール変更手続き完了のお知らせ
【セキュリティ】Eメール変更手続きの完了通知
SMBC ID変更受付に伴うご案内
三井住友カードアカウント変更完了のご連絡
三井住友カード ID変更手続き完了のご案内
三井住友カード ID変更受付のご案内
三井住友カードアカウント変更受付のご連絡

■ E. 不正利用検知・カード停止・利用制限・ご利用確認系（19種類）

【重要】不正利用検知によるカード停止のお知らせ
【重要】不正利用検知によるカード制限のお知らせ
【重要】カード利用制限に関するお知らせ
【セキュリティ通知】カード利用一時停止のお知らせ
【至急】カード利用停止のお知らせ
【至急確認】カードの一時停止について
【重要通知】不審な利用によるカード制限のご案内
【至急】カードの安全確保のための利用制限
【セキュリティ】カード利用制限のご連絡
【至急】カードのご利用が一時制限されました
【セキュリティ】カードのご利用確認に関するお知らせ
【至急確認】カードご利用内容の確認依頼
【要確認】「三井住友カード」ご利用確認のご連絡
【重要】カードご利用についてのご確認
【至急】カード利用に関する確認のお願い
【至急】カードご利用の確認のお願い
【重要通知】カードの取引内容に関するご連絡
【重要】ご利用内容についてのお知らせ
【セキュリティ通知】カード利用の確認に関するお知らせ

■ F. Apple Pay系（9種類）

【重要通知】Apple Pay登録についてのご案内
【要確認】Apple Payカード追加のご確認
【重要】Apple Payへのカード登録に関するお知らせ
【要確認】Apple Payにカードが追加されました
【至急】Apple Pay登録手続き完了のお知らせ
【至急確認】Apple Payカード登録完了のご通知
【セキュリティ通知】Apple Payへのカード登録のご連絡
【重要通知】Apple Payカード設定完了のご案内
【セキュリティ】Apple Payへのカード追加完了のご連絡

■ G. Vポイント（失効・有効期限）系（10種類）

【至急確認】Vポイントの失効に関するご連絡
【重要通知】保有Vポイントの有効期限に関するご案内
【至急】Vポイントの有効期限切れに関するお知らせ
【至急】保有ポイントの有効期限が迫っています
【重要】Vポイント失効に関するお知らせ
【重要】「三井住友カード」Vポイント失効のご案内
【要確認】Vポイント有効期限まもなく終了のお知らせ
【至急】Vポイント有効期限のお知らせ
【重要通知】Vポイント期限切れのお知らせ
【セキュリティ】保有Vポイントの失効に関するお知らせ

■ H. アンケート系（2種類）

ご利用満足度アンケートご協力のお願い
ご利用満足度調査のご案内

■ 確認できた表示名（差出人名）

三井住友カード／【三井住友カード】
【SMBC】／【SMBC セキュリティ通知】
Vpass／Vpassキャンペーン
自動配信
【国税庁電子申告】（11月9日の2通のみ）

当サイトでの観測では、こうした大量配信は件名や題材を変えながらしばらく続く可能性が高いと見ています。同じ朝には、内閣府の世論調査を装うメールも約170通届きました。同じような手口が、複数の題材で同時に動いているようです。

👉 内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～は詐欺メール！公式アプリは偽物

3. 詳しく調べると分かった「偽装」

ここからは、詳しく調べて分かったことです。難しく感じたら、飛ばして「5. 注意点と対処法」へ進んでも大丈夫です。

差出人名が「裏返し」に書かれている：画面に「【国税庁電子申告】」と見える名前は、実は文字を逆順に並べ、表示の向きを切り替える特殊な制御文字で正しい順に見せかけたものでした。
件名に空白や見えない文字が混ざっている：件名は「【重要】」のように文字の間に空白が入り、さらに画面に出ない文字（ゼロ幅文字）も混ぜてありました。件名や差出人名をテキストエディタに貼り付けると、見えない文字が記号として表示されるため、気づくことができます。キーワードによる迷惑メール判定を避けるための工夫とみられます。
SPF「合格」は安心材料にならない：SPFは「そのドメインから送ってよいサーバーか」を確かめる仕組みです。今回は攻撃者が用意した13u7.com自身に対する合格で、三井住友カードとも国税庁とも関係がありません。
DKIM署名が2つ付いている：1つは攻撃者のドメイン、もう1つはgmail.com名義です。攻撃者のサーバーから出たメールにGoogleの署名が付くのは不自然で、正規のものとは考えにくいと言えます。ただし、検証結果までは確認できていません。
添付ファイルは「飾り」：付いていたewp.mgsは約40バイトしかなく、意味のない文字の羅列とみられます。件名は三井住友カード、表示名は国税庁、本文はe-Tax。肝心の添付まで中身がないのは、さすがに手抜きでした。

📘 用語ミニ解説

ゼロ幅文字：画面には何も表示されない、見えない文字のこと。

SPF・DKIM：メールの送信元が本物かを確かめる仕組み。偽サイト側が自分で用意したドメインなら、合格してしまいます。

クローキング：見る人の端末（パソコンかスマホか）に応じて、見せるページを切り替える手口のこと。

4. ボタンの先は端末で変わる ── スマホには「偽のGoogle Play」

本文のボタンは、hxxps://13u7.com/nNLk1lRm1b.jpという短いURLにつながっています。ここを開いた端末によって、行き先が分かれることを確認しました（クローキング）。

パソコンで開くと：hxxps://bioenterpris-jp.com/へ移動し、QRコードが表示されます。スマホで読み取らせて、スマホ側へ誘導するためとみられます。
スマホ（Android）で開くと：hxxps://oneartharcn-jp.com/へ移動します。Google Playのアプリ紹介ページに似せた偽サイトで、「eTax国税庁」というアプリが、4.8★・50万+ダウンロードのように表示されます。

▲ スマホで開くと表示される偽ページ。「ステップ1〜3」の手順で、不明なアプリの許可を促します。

偽ページの手順には、「更新をクリック」「VPN接続のリクエストにOK」「この提供元のアプリを許可」といった操作が並んでいました。本物のGoogle Playでのアプリの入手に、このような操作は必要ありません。「不明なアプリのインストール」を許可させるのが狙いです。

短縮URLのドメイン13u7.comは、2024年12月25日に登録されたもので、レジストラは中国の事業者、ネームサーバーはCloudflareでした。向き先は43.165.189.240（Tencentのホスティング。ip-sc.netでは東京都渋谷区）です。いずれもクラウド事業者のサーバーの所在地で、運営者の居場所を示すものではありません。

「〜-jp.com」という名前の誘導先や、偽のアプリ紹介ページで不明なアプリの許可を促す点は、当サイトの別記事で解説した内閣府を装うメールや、e-Taxを装うメールと共通しています。

👉 e-Taxを装う不正アプリ誘導メールの解説記事

👉 内閣府世論調査事務局からのお知らせ～内閣支持率に関する世論調査～は詐欺メール！公式アプリは偽物