「Vポイント有効期限到来」は三井住友カード詐欺メール――SendGrid初悪用×ボタン文字が消える珍妙な仕上がり

2026年8月30日

8月も終わりに近づき、クレジットカードの利用明細が気になる時期です。そんな中、三井住友カードのVポイントが「失効する」という通知メールが届きました。詳しく見ていくと、文面のお堅さとは裏腹に、なんとも間の抜けた仕上がりであることが分かりました。

Heartland-Lab（ハートランド・ラボ）専門調査レポート

「Vポイント有効期限到来」は三井住友カード詐欺メール――SendGrid初悪用×消えるボタン文字

「ポイントサービス」を名乗る送信者から、三井住友カードの会員サービス「Vpass」を騙る「Vポイント有効期限到来」の通知メールが届きました。正規のメール配信サービスを悪用してSPF・DKIMをPassさせる、これまでとは違うVpass詐欺の手口を解析します。

緊急性レベル	★★★☆☆（3/5）
偽装工作精度	★★★★☆（4/5・ただしボタンは残念）

■ メールヘッダー解析（要約）

件名：[spam] 失効前にご確認：会員ポイントのご案内

From表示：「ポイントサービス」<julielucy@qqkmd.com>

送信元IP：149.72.154.232（米国／SendGridの既知インフラ）

SPF／DKIM：いずれも「Pass」

受信日時：2026年8月29日午後

※メールヘッダー詳細は個人情報保護のため非掲載

結論：これはVポイント失効を装う真っ赤な偽物です。三井住友カードの正規サイト「Vpass」とは一切無関係です。

1. ■ 届いたメールの中身
2. ■ SendGridを初めて悪用したVpass詐欺
3. ■ フィッシングサイト詳細解析
4. ■ 注意点と対処法

■ 届いたメールの中身

メールには「三井住友カード｜Vpass」のロゴ風表記とともに、「失効対象Vポイント：8,650pt」「換算価値：約8,650円相当」といった具体的な数字が並んでいます。「最終失効期限：2026年8月31日（月）23時59分まで」と、届いたその日から2日後という短い期限を提示し、焦らせる作りです。

実際に届いたメール。具体的なポイント数と短い期限で焦りを誘う

ここで注目したいのが、画面中央にある「Vポイント残高の確認・使う›」というクリックボタンです。HTMLのソースコードを見ると、本来は濃い緑色の背景に白い文字で表示されるはずの設計になっていました。ところが実際の受信画面では、ボタンの背景が白く抜け落ち、文字も背景に溶け込んでほとんど読めない状態になっていました。攻撃者としては致命的な作り込みミスで、思わず二度見してしまいました。見た目が崩れていても油断は禁物で、文面の内容自体は依然として個人情報を狙う危険なものです。

■ SendGridを初めて悪用したVpass詐欺

ヘッダーを解析すると、SPF・DKIMともに「Pass」と表示されていました。しかし油断は禁物です。今回のメールはSendGrid（センドグリッド）という、企業が大量にメールを配信する際に使う正規サービスを、攻撃者が悪用して送っているものでした。SendGridを使えば、攻撃者自身が用意したドメイン（今回はqqkmd.com）に対する認証は正しく通ってしまいます。SPF・DKIMがPassしているからといって、三井住友カードから届いた本物のメールとは限らないのです。

当サイトではこれまでSendGrid悪用のフィッシングをAmazon・Apple関連で確認してきましたが、Vpass（三井住友カード）を騙る事例は今回が初めてです。攻撃者側で使い勝手の良いインフラとして横展開が進んでいる可能性があります。

■ 用語解説

SendGrid：企業が注文確認メールやニュースレターなどを大量配信する際に使う、正規のメール配信サービスです。攻撃者がこれを不正に利用すると、フィッシングメールにも「正規サービス経由」というお墨付き（SPF・DKIMのPass）が付いてしまいます。

SPF・DKIM：メールの送信元が偽装されていないかを確認する仕組みです。ただし、これらが「Pass」でも、送信元自体が攻撃者の管理下にあるドメインであれば意味を持ちません。

■ フィッシングサイト詳細解析

本文内のリンクを追跡すると、以下のような状況でした。

誘導リンク

URL：hxxps://jkyspekv［.］shop/kcwIn

ウイルスバスターによる警告画面。この時点でフィッシングサイトとして検知されている

通常であればここでブロックを解除して先の偽サイトを確認するところですが、今回は解除して開いた時点で既にドメイン自体が消滅しており、「このサイトにアクセスできません」というエラー画面が表示されました。攻撃者が自ら手を引いたのか、通報を受けてホスティング事業者が停止させたのかは分かりませんが、使い捨てドメインの寿命の短さを物語る一例です。

ブロック解除後に表示されたエラー画面。ドメイン自体が既に存在しない状態だった

■ 注意点と対処法

URLをクリックしない：ボタンが見えても見えなくても、メール内のリンクは絶対にクリックしないでください。
「SPF/DKIM Pass」を過信しない：認証が通っていても、送信元自体が攻撃者のものであれば意味がありません。
Vポイント残高は公式アプリ・公式サイトで確認：必ずVpassアプリまたはブックマークした公式サイトから、ご自身でログインして確認してください。
既に情報を入力してしまった場合：直ちにVpassのパスワードを変更し、身に覚えのない利用がないか確認してください。
公式の注意喚起も参照：フィッシング詐欺にご注意（三井住友カード公式）

本レポートの結論

「Vポイント有効期限到来」というメールの正体は、正規のSendGridサービスを初めてVpass詐欺に悪用した新しいパターンでした。インフラは巧妙になった一方で、肝心のクリックボタンの文字が見えなくなっているという、なんとも間の抜けた仕上がりです。この記事のURLをコピーして、家族のLINEグループで共有してあげてください。

この記事をLINEで家族に共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net