『詐欺メール』『【特別優待】選ばれたVpass会員様へ｜15,000円の現金をプレゼント』と、来た件

2025年3月13日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 前書き
2. メール本文
3. 件名の見出しを確認
4. メールアドレスのドメインを確認
5. 宛名を確認
6. リンク先のドメインを確認
7. まとめ

前書き

今回は、『VJAグループ』に成り済ます不審なメールのご紹介となります。
最近ちょこちょこ送られてくるVJAグループを名乗る怪しいメール。
この『VJA』とは、三井住友カードをはじめとする全国の主な銀行・金融機関系カード会社61社で組織する企業連合です。
そしてこのメールに出てくる『Vpass』は、このVJAグループ各社が発行するVisaカードやMastercard会員のためのインターネットサービスの事。
このメールはそのVpassユーザーを対象にした詐欺メールで、例によって最近流行りの『偽のポイントプレゼントキャンペーン』を騙ったものです。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：[spam] 【特別優待】選ばれたVpass会員様へ｜15,000円の現金をプレゼント
送信者："Vpass会員" <office@lltshel.com>

◆────────────────────────◆
【VJAグループ特別優待プログラム】
◆────────────────────────◆

○□△ 様

このたび、Vpass会員の中から特別に選ばれたお客様を対象に、
15,000円の現金プレゼントを実施いたします。

本特典の対象となられたことをご確認のうえ、
以下の方法にてお手続きをお願いいたします。

──────────────────────────
■ 特典の詳細
– 対象者：選ばれたVpass会員様
– 特典額： 15,000円（現金受取可）
– 申請方法：専用ページにてお手続き
──────────────────────────

◆ 特別優待の申請ページ
h**ps://www3-vpass.judefj.com/?vipbonus=d0rpJyiZ8bTdX7v5DmVNkV7A

【お手続き期限】
– 期限を過ぎると、特典を受け取ることができません。

──────────────────────────
お問い合わせ先
VJAグループ VIPデスク
TEL：03-5643-0011（平日9:00～17:00）

↑↑↑↑↑↑
本文ここまで

私、『Vpass会員の中から特別に選ばれたお客様』らしいです(笑)
今回はポイント付与ではなく、15,000円の現ナマがいただけるとか。
お手続き期限欄には『期限を過ぎると、特典を受け取ることができません』と書いてある割にどこにもその期限が記載されていないって、とても詐欺メールらしいですね。
因みに署名欄にある電話番号『03-5643-0011』は、VJAグループ VIPデスクではなく『一般社団法人日本クレジット協会』の電話番号です。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『lltshel.com』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。
因みに VJA が利用するメールアドレスのドメインは『@vpass.ne.jp』です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドがこちらです。

Received: from lltshel.com (166.253.96.34.bc.googleusercontent.com [34.96.253.166])

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
ドメイン『lltshel.com』に関する詳しい情報を『Grupo』さんで取得してみます。

割当てているIPアドレスとReceivedフィールドのIPアドレスが合致したので、この送信者は自身のメールアドレスを偽ることなく何食わぬ顔でこのメールを送信してきたことになります。
この情報が正しければ、このドメインの取得者の所在地は、米国のアラバマ州です。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、香港付近であることが分かりました。

宛名を確認

このメールの冒頭には『○□△ 様』と『宛名』が書かれています。
この『○□△』内にはこのメールを受信したメールアドレスのアカウント部(@より前)が記載されています。
でもおかしいですよね？
仮にもしこれが本当に VJA からだとすれば、ユーザーの氏名やハンドル名を知っているはずですからこのような抽象的な宛名はとても不自然です。
ならどうしてこのような書き方をするのでしょうか？
その原因は、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがないからです。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのでしょう。

リンク先のドメインを確認

さて、本文に直書きされた詐欺サイトへのリンクですが、当然偽装されていて、実際に接続されるサイトのURLは以下の通りです。
【h**ps://www3-vpass.judefj.com/webpc/login】
(直リンク防止のため一部の文字を変更してあります)
これまた VJA のドメインとは異なるものが利用されていますね。

先程と同様に『aWebAnalysis』さんでこのドメインを割当てているIPアドレスを取得してみます。