『詐欺メール』『AEONカード特典：5,000円相当のポイント進呈の最終ご案内です』と、来た件

2025年5月22日

★フィッシング詐欺メール解体新書★

スマホやタブレットが普及し増々便利になる私たちが生活する世の中。
それに比例して増えてくるのが悪質な詐欺行為。
このブログエントリーは、フィッシング詐欺メールの注意喚起拡散を目的とし
悪意を持ったメールを発見次第できる限り迅速なご紹介を心掛けています。
もし気が付かずに詐欺サイトログインしてしまった場合は、まず落ち着いてできる限り早く
パスワードの変更やクレジットカードの利用停止を行ってください。

いつもご覧くださりありがとうございます！

☆当サイトでは、今の観点から不審なメールであるかどうかを解析して行きます☆
★証券会社に成り済ます悪質なメール終息気味ですが、まだ確認されていますので資産運用されている方はご注意ください★

件名の見出しを確認
メールアドレスのドメインを確認
宛名を確認
リンク先のドメインを確認

できる限り分かりやすく説明していいます。
最後までお読みいただても5分～10分程度ですのでごゆっくりご覧ください。
では、進めてまいります。

1. 本日のトレンド
2. 前書き
3. メール本文
4. 件名の見出しを確認
5. メールアドレスのドメインを確認
6. 宛名を確認
7. リンク先のドメインを確認
8. まとめ

本日のトレンド

昨夜一晩で一番多く届けられた怪しいメールをピックアップする『本日のトレンド』
今日はこのメールが選ばれました！

前書き

相変わらず証券会社のメールに埋もれるようにして偽のポイント付与キャンペーンメールが届き続けています。
今回は、そんなイオンカードに成り済ます不審な偽のキャンペーンメールのご紹介となります。

では、今回も詳しく見ていくことにしましょう。

以下、そのメールです。
※テキストだけコピペしてありますので、性質上文字化け等はご容赦ください。

メール本文

ここから本文
↓↓↓↓↓↓

件名：[spam] AEONカード特典：5,000円相当のポイント進呈の最終ご案内です
送信者： “イオン株式会社" <service@mwsya.com>

◎◇△ 様

AEONカードをご利用中の皆様へ、限定キャンペーンのご案内です。

只今、会員様を対象に5,000 WAONポイントを無償で進呈するキャンペーンを実施しております。
申請はWeb上で簡単に完了でき、完了後すぐにポイントが付与されます。

このチャンスを逃さないために、ぜひ今すぐご確認ください。

▼ポイント申請はこちら
h**ps://welcome-aeon.12396zk.com/?bonus=mXU6G4mlyFvOnjAS69n0zpOa

━━━━━━━━━━━━━━━━━━━━━
イオンフィナンシャルサービス株式会社
【カード発行元】株式会社イオン銀行
〒261-0023 千葉県千葉市美浜区中瀬1丁目5番1号
電話番号：0120-223-212

↑↑↑↑↑↑
本文ここまで

このメールによると、現在イオンカード会員に5,000ポイントを進呈中だとの事。
ウェブから簡単に申請できるらしいです。
そんな甘い話はこの世の中にはありません。
ChatGPTによると、イオンカードの会員数は、2025年1月時点で国内の有効会員数が約3,223万人に達しているとか。
この人数に対して5,000ポイントを付与したら、ただでさえ経営が良くないと言われるイオングループは傾いてしまいそうです。

件名の見出しを確認

この件名の見出しには”[spam]”とスタンプが付けられているので迷惑メールの類です。
このスタンプはスパムスタンプと呼ばれるサーバーからの注意喚起で、これが付いている
ものは全て迷惑メールと判断されたもの。
うちのサーバーの場合注意喚起だけですが、例えばGoogleのGmailサーバーの場合だと
否応なしに『迷惑メール』フォルダーに勝手に保存されるような仕組みもあります。

メールアドレスのドメインを確認

送信者として記載されているメールアドレスのドメイン(@より後ろ)は『mwsya.com』
ここは送信者がいくらでもウソを書くことができる部分で絶対鵜呑みにしてはいけません。

もうお分かりですよね？
そう、イオンカードが利用するメールアドレスのドメインは『aeon.co.jp』です。
故にこのドメイン以外のメールアドレスで届いた同社からのメールは全て偽物と言うことになります。

では、送信者の素性が分かるメールヘッダーの『Receivedフィールド』から情報を探ってみます。
こちらがこのメールのReceivedフィールドです。

Received: from mwsya.com (64.123.101.34.bc.googleusercontent.com [34.101.123.64])

ここの末尾に記載のIPアドレスは、送信サーバーが自身で書き込むもので、偽装することはできません。
ここに『bc.googleusercontent.com』とあるので、この送信者はGoogleのプラットフォームを利用してこのメールを送ってきたことが分かります。

では、試しにドメイン『mwsya.com』に関する詳しい情報を『Grupo』さんで取得してみます。

この情報が正しければ、このドメインの取得者は、中国安徽省(あんきしょう)の方です。
割当てているIPアドレスとReceivedフィールドのIPアドレスが合致したので、この送信者は自身のメールアドレスを偽ることなく何食わぬ顔でこのメールを送信してきたことになります。

このReceivedフィールドの末尾にあるIPアドレスからメールの発信地を『IP調査兵団』で導き出してみると、インドネシアのジャカルタ付近です。
今日ご紹介しているメールではこの地から送信されたものは2つ目ですね。

宛名を確認

このメールの冒頭には『◎◇△ 様』と『宛名』が書かれていますが、なぜかこのメールを受信したメールアドレスのアカウント部分(@より前)。
でも仮にもしこれが本当にイオンカードからだとすれば、ユーザーの氏名を絶対知っているはずですからこのような宛名はとても不自然です。
ならどうしてこのような書き方をするのでしょうか？
その原因は、このメールの送信者は受信者の情報をメールアドレスしか知らないわけだから宛名なんて書きようがないからです。
どうせどこかから漏洩したメールアドレスのリストを入手し、そのメール宛に無選別でこういったメールを送信しているのでしょう。

リンク先のドメインを確認

さて、本文に直書きされた詐欺サイトへのリンクですが、実際に接続されるサイトのURLは以下の通りです。
【h**ps://welcome-aeon.12396zk.com/login】(あまりに長いので割愛しました)
(直リンク防止のため一部の文字を変更してあります)
これまたイオンカードのドメインとは異なるものが利用されていますね。

先程と同様にこのドメインに関する詳しい情報を『Grupo』さんで取得してみます。

この情報が正しければ、このドメインの取得者の所在地は、米国ですがそれ以上の情報はプロテクトされていて取得できませんでした。

割当てているIPアドレスは『104.21.64.1』
『IP調査兵団』でこのIPアドレスからそのロケーション地域を調べると、詐欺サイト設置場所は、カナダのトロント市庁舎付近であることが分かりました。
これは最近のトレンドで多くの詐欺サイトがこの付近に設置されています。

リンクを辿ってみると、一旦はGoogle Chromにブロックされましたが、解除して進むとこのようなページが開きました。

公式サイトとはURLが全く異なるので、これは本物そっくりの偽ログインページです。
当然、ここにIDとパスワードを入力してログインボタンを押してしまうとその情報は詐欺犯に把握され不正ログインが可能となります。
この先のページでこのように、個人情報の確認が必要だと称し更にクレジットカードの情報を盗み取られた上で詐欺の被害に遭うことになります。