【注意】「アカウントメンテナンスのお知らせ」は詐欺か？aol.com発信のスパムを徹底調査
【調査報告】最新の詐欺メール解析レポート
本レポートはメールの解析結果と通信経路を技術的に検証したものです
|
1. 最近のスパム動向と前書き
今回ご紹介するのは「Webメールサービス」を騙るフィッシングメールですが、その前に最近のスパムの動向を解説します。昨今、企業のDX化に伴い、ブラウザ上でメールを確認する「Active!mail」などのWebメールサービスが広く普及しています。攻撃者はこれに目を付け、組織の管理者を装って「メンテナンス」や「アカウント更新」という名目でログイン情報を盗み取る手口を急増させています。
|
2. 検知されたメールの基本構成
| 件名 |
[spam] お客様のアカウントに関する重要なお知らせ |
| 件名の見出し |
見出しに「[spam]」が含まれています。これは受信サーバーのスパムフィルターが、送信元の信頼性や本文の特徴から、本メールを既に危険と判定した証拠です。 |
| 送信者 |
“Mail Service" <bussiebussie6@aol.com> |
| 受信日時 |
2026-02-13 11:21 |
|
3. メール本文の再現
※できる限り忠実に再現していますが、本物の詐欺メールとデザインが異なる場合もあります。
アカウントメンテナンスのお知らせ
お客様のメールアカウントは、現在メンテナンス更新の対象となっております。
引き続き安全かつ正常にご利用いただくため、アカウント情報のご確認をお願いいたします。
お手数ですが、下記のボタンよりお手続きをお願いいたします。
期限（2026年2月13日）までにお手続きが完了していない場合、一部機能がご利用いただけなくなる可能性がございます。
M メールボックス管理チーム
© 2026 無断転載禁止 |
|
4. メールの解析結果と危険なポイント
■ メールの感想とデザイン
デザインは非常にシンプルで素っ気ないものです。これは過度な装飾による違和感（偽物感）を消すため、あえて事務的なシステム通知を模倣していると考えられます。しかし、フッターに「2026 無断転載禁止」とある一方で、差出人の組織名が「M メールボックス管理チーム」と曖昧である点は、典型的な詐欺メールの特徴です。
■ 危険なポイントと対処法
【送信者比較】 本来のシステム通知であれば、利用しているプロバイダーや自社の独自ドメインから送られますが、このメールは aol.com という海外のフリーメールを利用しています。これは絶対にあり得ない構成です。このようなメールを受信した際は、まず送信者の「@」以降を確認してください。
|
5. Received解析（送信元サーバー情報）
これはメール送信に利用された物理的な情報であり、カッコ内のIPアドレスは信頼できる送信者情報です。
| 送信元(Received) |
from sonic313-44.consmr.mail.bf2.yahoo.com (74.6.133.218) |
| 送信元ドメイン |
yahoo.com（送信元ドメインと比較し、正規のYahoo!インフラが悪用されている可能性があります） |
| 送信者のIPアドレス |
74.6.133.218 |
| ホスティング/ホスト名 |
sonic313-44.consmr.mail.bf2.yahoo.com |
| 設置国 |
アメリカ合衆国 (United States) |
※ bc.googleusercontent.com 等が含まれる場合、Google Cloud Platform 等のクラウドサービスが踏み台にされているケースがありますが、本件はYahoo系インフラ経由です。
≫ ip-sc.netでメール回線関連情報を解析する
|
6. 誘導先URLと詐欺サイトの解析
■ リンク関連情報
| リンク設置箇所 |
「メールボックスを管理する」ボタン |
| 誘導URL |
hxxps[:]//qrco[.]de/bgbkF4（※伏字を含むため直接は繋がりません） |
| セキュリティブロック |
ウイルスバスターやGoogleセーフブラウジング等のブロックを回避するために短縮URLが利用されています。 |
| サイトの現況 |
稼働中：Active!mailを装った偽のログインページ（weebly.com傘下）へ誘導されます。 |
■ サイト回線・ドメイン関連情報
| ドメイン(短縮元) |
qrco.de |
| IPアドレス |
104.26.11.196 |
| ホスト名 / 国 |
Cloudflare, Inc. / アメリカ合衆国 |
| ドメイン登録日 |
直近で取得・更新 |
【解析コメント】 ドメイン登録日が最近である理由は、攻撃者が通報によるサイト閉鎖を見越して、次々と新しいドメインを取得・破棄を繰り返しているためです。これはフィッシングサイトの決定的な特徴の一つです。
≫ https://ip-sc.net/ja/r/104.26.11.196 で詳細解析を確認
|
7. 誘導先の詐欺サイト（偽ログイン画面）
URLをクリックすると表示される画面です。「Active!mail」のロゴを盗用し、利用者に安心感を与えてパスワードを入力させようとしています。URLが「weebly.com」ドメインになっている点に注目してください。
|
8. まとめと対策
過去の事例と比較しても、本件は「フリーメールからの送信」「短縮URLの利用」「無料ホームページ作成サービスの悪用」という、低コストで構築された詐欺スキームです。
【注意点と対処方法】
* 送信元のメールアドレスが組織の正規ドメインか確認する。
* ログインを促すメールは、ブックマークした正規サイトからアクセスし直す。
* 不審な点があれば、所属組織のシステム管理者へ連絡してください。
≫ 公式サイトによる最新の注意喚起はこちら
|
|