『詐欺メール』『iCloudストレージがまもなく上限に達します – アップグレードのご案内』と、来た件

2025年2月22日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 前書き
2. メール本文
3. 件名の見出しを確認
4. メールアドレスのドメインを確認
5. 宛名を確認
6. リンク先のドメインを確認
7. まとめ

前書き

今回は、『iCloud』に成り済ます不審なメールのご紹介となります。
今朝のメールボックスに『iCloudストレージがまもなく上限に達します』という件名のメールが7通。

一晩にこれだけの数のメールが届くってことは、私のストレージって相当ヤバい状態なのでしょうか？
どのようなことが書かれているのか、ちょっと見ていくことにします。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

件名：[spam] iCloudストレージがまもなく上限に達します – アップグレードのご案内 CH-85269970269。
送信者 “iCloud" <a0LU.applestore.updateservice.maila0LU@unext.jp>

【重要】iCloudストレージの空き容量が不足しています
お客様のiCloudストレージの空き容量がまもなく上限に達します。現在の残り容量は15.8MB（合計50GB）です。
iCloud+ にアップグレードする
iCloudストレージは、お客様の写真、ファイル、バックアップを安全に保管するためのものです。デバイスの紛失や故障の際も、データは安全に保管されます。また、iCloud Drive、Keynote、Pages、Numbers などのアプリも、iCloudストレージを使用し、常に最新の状態で管理できます。
この手続きは CH-85269970269 までに完了してください。
より詳しい情報については、Apple公式サポートをご確認ください。
引き続き、よろしくお願いいたします。
iCloudチーム
重要：ストレージ容量が上限を超えると、新しい写真やビデオのアップロードが停止し、デバイスのバックアップもできなくなります。また、iCloud DriveやiCloud対応アプリのデータ更新も停止します。

どうやら私のストレージ(50GB)の残量が15.8MBらしいです。
あれれ、おかしいですね…
私、既に200GBのストレージにアップグレード済みなんですけど50GBってどういうこと？(笑)
だいた一晩に7通も届くっておかしいじゃないですか。
それに『この手続きは CH-85269970269 までに完了してください』って意味不明です。
ってなわけでこのメールは、iCloudの空き容量不足をネタに偽サイトに誘い込んでAppleのアカウント情報を詐取しようとするものです。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『unext.jp』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。

賢明な方はもうお気づきですよね？
そう、この『unext.jp』と言うドメインは、定額制動画配信サービス『U-NEXT』のドメイン。
まさかU-NEXTがAppleのメールを代行配信するはずがありませんから当然偽装されています。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from C20250217188907.local (unknown [156.242.14.105])

最近この『C』から始まる数字のローカルドメインが入ったReceivedフィールドをよく見かけますが、恐らく同一犯でしょう。
このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、ロサンゼルス付近であることが分かりました。

宛名を確認

通常大切なメールの冒頭には『○□△ 様』と言ったように『宛名』が書かれています。
でもこのメールにはその宛名が存在しません。
そりゃそうですよね、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがありません。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのですから。

リンク先のドメインを確認

さて、本文の『iCloud+ にアップグレードする』と書かれた部分に付けられた詐欺サイトへのリンクですがURLは以下の通りです。
【h**ps://icloudsecurity-check.com/%F0%9D%97%B……】(あまりに長いので省略しました)
(直リンク防止のため一部の文字を変更してあります)

先程と同様に『aWebAnalysis』さんでこのドメインを割当てているIPアドレスを取得してみます。