三井住友カード「カード取引制限回避」詐欺、乗っ取られた実在デザイン事務所ドメインから配信——PCはYahoo!にリダイレクト、スマホのみ精巧な偽Vpassログイン画面へ
ここ数日、VJAグループ・Vpassを騙る詐欺メールを立て続けにご紹介してきましたが、今回は同じ制作キットを使ったとみられる、三井住友カード本体のブランドカラーに衣替えしたバージョンが届きました。中身を見ていくと、随所に見覚えのある「あの」古株キットの特徴が顔を出しています。
| Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 三井住友カード「カード取引制限回避」詐欺、乗っ取られた実在デザイン事務所ドメインから配信——PCはYahoo!にリダイレクト、スマホのみ精巧な偽Vpassログイン画面へ
三井住友カードを騙り、「カード取引が制限される」として本人確認を迫るフィッシングメールです。送信元は乗っ取られた（または無断利用された）とみられる実在のデザイン事務所のドメインで、ウズベキスタン経由で配信されていました。PCではYahoo!へ迂回させ、スマホのみ精巧な偽Vpassログイン画面へ誘導するクローキング構造です。 |
※重要：本文中のリンクは絶対にクリックしないでください。
※メールヘッダー詳細は個人情報保護のため非掲載です。
ご覧の通り、このメールは三井住友カード・Vpassを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（実際にはHTMLメール形式で届いています）。
三井住友カード カードのご利用確認に伴う一時制限のお知らせ いつも三井住友カードをご利用いただき、誠にありがとうございます。 弊社の不正検知システムにおいて、お客様のカードのご利用状況が普段と異なることを検知いたしました。安全のため、現在カードのご利用を一部制限させていただいております。 確認事項 ■ ご利用制限の内容 対象カード：三井住友カード（VISA/Mastercard） 制限理由：不正利用の可能性および登録情報の再確認 対象取引：オンライン決済、海外利用など 今後の流れ 1. 下記の「Vpassで確認する」ボタンをクリックします。 2. VpassIDとパスワードでログインしてください。 3. ご利用履歴をご確認いただき、回答を完了させてください。 ［Vpassで確認する］ ※ご確認いただけない場合、安全のためカードの機能を停止し、再発行が必要となることがございます。お早めにお手続きをお願いいたします。 三井住友カード株式会社 セキュリティセンター（24時間365日受付） ※本メールは送信専用です。返信はできませんのでご了承ください。 ※個人情報の取り扱いについては弊社Webサイトをご確認ください。 Copyright (C) Sumitomo Mitsui Card Co., Ltd.
実際に受信した詐欺メールの画面。文末の署名・コピーライト表記のみ、うっすらと水色の背景で強調されている
この「本文は白背景、末尾の署名部分だけ薄い水色の背景」というデザインは、当ラボがApple・セゾンカードなど複数のブランドで繰り返し確認してきた、かなり息の長いフィッシングメールキットの特徴と完全に一致します。ブランドの配色や文言を差し替えながら、テンプレートの骨格自体は使い回されている典型例です。
■ 送信ルートおよび偽装判定
表示上の送信者：“Vpass” <（某デザイン事務所のメールアドレス、担当者名含め非掲載）>
送信ドメインは、実在するデザイン事務所を思わせる屋号のドメインでした。SPFレコード自体が設定されておらず（後述）、正規の運営者が把握しないまま、乗っ取りまたは無断利用されている可能性が高いとみられます。本記事ではこの実在事業者への配慮から、ドメイン名を伏せています。
実際の送信元（Received-SPF client-ip）：144.124.199.219
回線情報（ip-sc.net確認）：”Uzbektelekom” Joint Stock Company／AS8193（BRM-AS）／組織名：Uztelecom／所在地：ウズベキスタン・タシュケント
SPF：None（SPFレコードが存在しない） DKIM：Valid（送信ドメイン自身の署名）
【偽装判定】：SPFレコードが存在しないドメインからの送信は、正規の運用ドメインとしては極めて不自然です。これまで解析してきたケースの多く（攻撃者ドメインへのPass、あるいは実在ブランドドメインを騙ったSoftfail）とも異なる、「そもそもメール送信用に整備されていない、乗っ取られたドメイン」という3つ目のパターンです。もちろん三井住友カード・Vpassとは一切関係がありません。
| 💡 ここで！ 用語をやさしく解説 SPF（エスピーエフ）：「このメールは正規の送信元から届いていますか？」を確認する仕組みです。ドメインの管理者があらかじめ設定しておくものですが、今回はこの設定自体が存在しませんでした。個人や小規模事業者のドメインでは、メール送信の予定がないためSPFを設定していないケースもあり、そうしたドメインが乗っ取りに悪用されやすい一因になっています。 クローキング：アクセスしてきた端末（PCかスマホか）によって、表示する内容を意図的に変える手口です。今回はPCでアクセスするとYahoo!のような無関係な正規サイトへ逃がされ、スマホでアクセスした場合のみ偽ログイン画面が表示される構造でした。 |
■ フィッシングサイト詳細解析——PC/スマホで着地点が別れる
誘導先URL（伏せ字、PC・スマホとも同一）：hxxps://btuabilit2026.sttes2［.］info/（トークン省略）
解決先IP：43.165.196.142（ip-sc.net確認：Aceville Pte.ltd／AS132203「TENCENT-NET-AP-CN」／インドネシア・ジャカルタ）。当ラボが過去にも複数回確認しているTencent Cloud系のインフラです。
メール内のリンク自体はPC・スマホとも同一のURLですが、実際にアクセスするとサイト側がアクセス元の端末を判別し、PCでは無関係のYahoo!へリダイレクトされ、スマホでアクセスした場合のみ、精巧に再現された偽Vpassログイン画面が表示されます。PC経由でのセキュリティ調査や自動スキャンを避ける狙いとみられます。
リンクへアクセスした際、端末の判別処理の間しばらく表示された読み込み中の画面
スマホでアクセスすると表示された偽ログイン画面。SMBC・三井住友カードのロゴ、配色、レイアウトを精巧に再現している
ご覧の通り、SMBC・三井住友カードのロゴ、配色、レイアウトを精巧に再現したものでした。ここでVpassID・パスワードを入力してしまうと、そのままアカウントの資格情報が攻撃者に渡ってしまいます。
■ 注意点と対処法
- メール内のリンクは絶対にクリックしない：正規の三井住友カード・Vpassからのメールでは、口座情報の確認をメールのリンク経由で求めることはありません。
- PCで開いて「安全そうだった」と判断しない：今回のようにPCとスマホで表示が異なるケースがあります。デバイスを変えたら安全というわけではありません。
- 送信ドメインの見慣れなさに注意：表示名が「Vpass」であっても、実際のメールアドレスのドメインが公式のものでなければ即座に不審と判断してください。
- カードの利用状況確認は公式アプリ・ブックマークから：不安な場合は、メール内のリンクではなく、公式アプリまたは事前に登録したブックマークからアクセスして確認してください。
- 既にID・パスワードを入力してしまった場合：速やかにVpass公式サイトまたはカード裏面記載の窓口からパスワードを変更してください。
本レポートの結論
三井住友カードを騙り、カード取引制限を口実に本人確認を迫るフィッシングメールでした。長年使い回されている定番キットのデザインに、乗っ取られたとみられる実在ドメインからの配信、PC/スマホのクローキングと、複数の手口が組み合わさっている点が印象的です。身近な方が「三井住友カード本体からの連絡だから」と油断してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Teal
今、拡散中の詐欺メール
