「お支払い完了・領収書のご案内」は正体不明の偽メール――SendGrid経由・Cloudflare認証を挟んだ先にあったApple ID偽サイト

2026年8月30日

8月も最終日が近づき、夏の疲れがどっと出てくる頃かもしれません。そんな中、当サイト宛にも「一体どこの誰から来たのかさっぱりわからない」という、正体隠しに徹したメールが届きました。今日はその中身をじっくり解剖していきます。

Heartland-Lab（ハートランド・ラボ）専門調査レポート

「お支払い完了・領収書のご案内」の正体――SendGridとCloudflareを渡り歩いた先にあったApple ID偽サイト

件名は「【領収書】サブスクリプションご利用料金明細」。送信者名は「ご利用明細のお知らせ」とだけ名乗り、本文中にも一切ブランド名が出てきません。しかし調べていくと、正規のメール配信サービス「SendGrid」を悪用し、最終的にはApple IDの偽サインインページへ誘導する巧妙な作りであることがわかりました。

緊急性レベル	★★★★☆（4/5）
偽装工作精度	★★★★★（5/5）

■ メールヘッダー解析（要約）

件名：[spam] 【領収書】サブスクリプションご利用料金明細

From表示：「ご利用明細のお知らせ」<katherinebirrell@nscfwwl.com>

送信元IP：159.183.14.129（米国／正規のメール配信サービスSendGridのインフラ）

SPF／DKIM：いずれも「Pass」

受信日時：2026年8月30日未明

※メールヘッダー詳細は個人情報保護のため非掲載

結論：これは正体を隠しきったApple ID詐取を目的とする真っ赤な偽物です。実在の「定額サービス運営事務局」という組織は存在しません。

1. ■ SPF・DKIMが「Pass」でも安全ではない理由
2. ■ 最後までブランド名を隠す新しい手口
3. ■ 多段リダイレクトの末に現れたApple ID偽サイト
4. ■ 過去記事との関連（SendGrid悪用シリーズの続報）
5. ■ 注意点と対処法

■ SPF・DKIMが「Pass」でも安全ではない理由

今回のメールは、SPF・DKIMともに認証を通過（Pass）していました。「認証を通っているなら安全なメールでは？」と思われるかもしれませんが、これは大きな誤解です。SendGrid（センドグリッド）という、企業が大量にメールを配信する際に使う正規サービスを、攻撃者が自分で契約して悪用しているだけなのです。SPF・DKIMは「そのメールが名乗っているドメイン（今回は攻撃者自身が用意したnscfwwl.com）から本当に送られたか」を確認する仕組みであって、「送っている相手が信頼できる会社かどうか」までは判定してくれません。郵便に例えるなら、差出人欄にどんな住所を書いても、正規の郵便局を通せば「本物の郵便局から届いた手紙」に見えてしまうのと同じ構造です。

■ 最後までブランド名を隠す新しい手口

当サイトで過去に紹介したSendGrid悪用のフィッシングは、いずれもAmazonを名乗っていました。しかし今回は違います。件名にも本文にも「Apple」の文字は一切出てきません。差出人名は「ご利用明細のお知らせ」、送信元アドレスも無関係のドメイン。まるで、どこかの正体不明の定額会員サービスから届いたかのような装いです。

実際に届いたメールの画面。件名・送信者いずれにもブランド名の記載はない

本文には「¥1,680」というもっともらしい金額とともに「お支払いが正常に完了いたしました」という一文があり、内容を確認しようと「各種情報を確認する」リンクを押させる作りになっています。ここまで読んでも、まだどこの会社なのかはまったくわかりません。

■ 多段リダイレクトの末に現れたApple ID偽サイト

実際にリンク先を追跡すると、以下のような段階を踏んでいました。

① 本文内リンク

URL：hxxps://ddzrobb［.］shop/cVPEOK

サーバー所在：シンガポール（Tencent Cloud）

リンクを開くと最初に現れるCloudflareの「ロボットではないことを確認してください」という認証画面

この画面は、Cloudflareという世界的なセキュリティ企業が提供する「人間かどうかを判定する仕組み」です。フィッシングサイト自体がこの仕組みを導入することで、セキュリティ企業や自動解析ツールによる調査をかいくぐろうとしていると考えられます。皮肉にも、セキュリティ企業の仕組みが不正利用されている格好です。

② 遷移先サイト

URL：hxxps://sfyffufc［.］shop/vuNiWzfy

サーバー所在：Tencent Cloud（中国系のクラウド事業者）

ウイルスバスターにより、既にフィッシングサイトとしてブロック対象に登録されていました。

ウイルスバスターによる警告画面。この段階でも、まだApple関連であることはわからない

なお、このサイトのIPアドレスはIP調査サービス上「日本・東京都渋谷区」と表示されますが、実際の運営元はTencent Cloud（中国・深圳の事業者）であることをip-sc.netで確認しています。地理情報の表示だけを鵜呑みにすると、発信地を見誤ってしまう典型的な例です。

ブロックを解除した先に表示された、Apple Accountを装う偽サインインページ

ブロックを解除して確認すると、ようやくここで「Apple Account」を騙る偽サインインページが登場しました。メールを開いてから実に3段階を経て、初めて正体が明かされるという念の入れようです。ここでメールアドレスやパスワードを入力してしまうと、Apple Accountを乗っ取られ、支払い情報や連絡先など幅広い個人情報が危険にさらされます。

■ 用語解説

SendGrid：企業が注文確認メールやニュースレターなどを大量配信する際に使う、正規のメール配信サービスです。攻撃者がこれを不正に契約・利用すると、フィッシングメールにも「正規サービス経由」というお墨付き（SPF・DKIMのPass）が付いてしまいます。

SPF・DKIM：メールの送信元が偽装されていないかを確認する仕組みです。ただし、これらが「Pass」でも、送信元自体が攻撃者の管理下にあるドメインであれば意味を持ちません。

Tencent Cloud：中国のIT大手テンセントが提供するクラウドサービスです。世界中にサーバーを持つため、IP調査サービス上では日本など別の国と表示されることがあります。

■ 過去記事との関連（SendGrid悪用シリーズの続報）

SendGridを悪用したフィッシングは、当サイトでも過去にAmazon偽装のケースを取り上げています。同じ手口が今回はApple ID詐取に使われた形です。

■ 注意点と対処法

送信元がわからないメールのリンクは開かない：ブランド名を名乗らないメールほど、かえって警戒が必要です。身に覚えのない領収書メールのリンクは絶対にクリックしないでください。
「SPF/DKIM Pass」を過信しない：認証が通っていても、送信元自体が攻撃者のものであれば意味がありません。ブランドを名乗るメールは、必ずアプリやブックマークから公式サイトへ直接アクセスして確認してください。
Apple Accountの情報を入力してしまった場合：直ちにApple Accountのパスワードを変更し、2ファクタ認証が有効になっていることを確認してください。
Apple公式への報告：Appleを装った疑わしいメールはreportphishing@apple.comへの転送が案内されています（Apple公式サポート）。

本レポートの結論

「お支払い完了・領収書のご案内」というメールの正体は、正規のSendGridサービスを隠れ蓑にし、Cloudflareの認証画面まで挟んでブランド名を最後まで隠し通したApple ID詐取メールでした。「SPF・DKIMがPassしているから安心」とは限らない、という点を身近な方にもぜひ伝えてあげてください。このページのURLをコピーして、家族のLINEグループで共有をお願いします。

この記事をLINEで家族に共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net