【EX予約】「メールアドレスの確認」詐欺メール解析:送信元IP 150.5.132.181を特定
【調査報告】最新の詐欺メール解析レポート FILE ID: 20260403-EX-PRESS-FRAUD / エクスプレス予約偽装事件 | ■ 最近のスパム動向と前書き | 今回ご紹介するのは「エクスプレス予約」を騙るメールですが、その前に最近のスパムの動向を解説します。2026年4月現在、GWの大型連休を控えた旅行需要の高まりを背景に、新幹線予約アカウントの「メールアドレス不備」や「自動退会」を装った攻撃が頻発しています。本物の情報を一部引用し、ユーザーを安心させてから偽サイトへ誘導する極めて悪質な手法が確認されています。 | ■ メールの基本情報解析 | 件名 | 【EX予約】 メールアドレスの確認 (SPAM判定理由:緊急性を煽る典型的なフィッシング件名) | | 送信者 | エクスプレス予約 <order-ddzppdqe@ddxmw.cn> | | 受信日時 | 2026-04-03 11:22 | ▼ 送信者に関する情報 | 送信元アドレスのドメイン「ddxmw.cn」は中国のレジストラで登録されたものであり、JRの公式サイト(expy.jp)とは一切無関係です。 | ■ メール本文の完全再現(解析用) エクスプレス予約をご利用いただきありがとうございます。 現在登録されている全てのメールアドレスに、メールをお送りすることができませんでした。 「変更する」ボタンから登録電話番号にてワンタイムパスワードを受信し、メールアドレスを修正してください。 なお、メールアドレスを修正しない場合、以下の機能はご利用いただけません。 ・受取コードの発行 ・メールサービス ・お客様情報の照会および変更 ・お客様情報の初期化 ご予約いただいている列車の乗車日が1ヶ月以上先の場合、列車運用などの理由により、列車の発車時刻等がご希望の内容から変更となることがあります。 この場合、メールでお知らせするため、受信可能なメールアドレスの登録をお願いします。 登録の電話番号が不明な場合は、 こちら から再度会員登録をしてください。 ■よくあるご質問はこちら https://expy.jp/f●q/ ■お問合せ(エクスプレス予約カスタマーセンター) ※音声案内に従って、会員IDを入力してください。 電話 0120-417-419 営業時間 5:30~23:30(年中無休) ※このメールをお送りしているアドレスは、送信専用となっており、返信いただいてもご回答いたしかねます。 | ※できる限り忠実に再現していますが、本物の詐欺メールとデザインが異なる場合もあります。URLは安全のため一部を伏せ字(●)にしています。 ■ 犯人の目的と専門的見解 【犯人の目的】 ターゲットのログインID、パスワード、およびクレジットカード情報を奪取することが目的です。 【署名と電話番号の検証】 記載されている電話番号「0120-417-419」は、実際のエクスプレス予約カスタマーセンターの番号と一致しています。これは、不審に思ったユーザーが電話番号を検索した際に「公式の番号だ」と安心させるための「信頼の偽装」です。電話番号が正しくても、誘導先のリンクが偽物であるという点に最大限の注意が必要です。 | ■ 送信元(Received)インフラ詳細 | 生データ:Received: from unknown (HELO ddxmw.cn) (150.5.132.181) | | 解析ステータス | カッコ内のIPアドレスは信頼できる送信者情報であることを確認。 | | 送信ドメイン | ddxmw.cn (偽装確定) | | 送信元IPアドレス | 150.5.132.181 | | ホスティング | Asia Pacific Network Information Centre (APNIC) | | 国名 | China (CN) | | ドメイン登録日 | 2026-03-20頃 (極めて新しく、攻撃用に取得された可能性が大) | ▼ メール回線関連情報 ■ 誘導先フィッシングサイトの調査 | 誘導先URL | https://bwamis.cyuqraj.cn/RSV_P/sm●rt_index.htm/ (安全のため伏せ字) | | セキュリティ状況 | AdGuardおよびウイルスバスターにてブロックを確認。 | | ドメインIPアドレス | 103.214.146.121 | | ホスティング社名 | Apexis Network | | 国名 | Hong Kong (HK) | | ドメイン取得日 | 2026-03-25 (取得から数日の使い捨てドメイン。信頼性ゼロ) | ▼ サイト回線関連情報 ■ 偽サイト(フィッシングページ)の確認 |  本物そっくりのログイン画面です。しかし、URLが「smart-ex.jp」ではなく「cyuqraj.cn」系になっている点が決定的な偽物判定ポイントです。 | ■ まとめと対策 |