「先ほどの件について」という何気ない件名の先は、Microsoftを騙るサポート詐欺！本物のwindows.netドメインを悪用しPCだけを狙うクローキングを解析

HL-META: date=2026-09-21 | brand=Microsoft（サポート詐欺） | sender_geo=ポーランド | site_geo=unknown | spf=none | dkim=unknown | cloaking=yes

この日最後の1通は、これまでとまったく違う入り口でした。件名も本文も、ブランド名どころか会社名すら出てきません。ですが、リンクの先で待っていたのは、Microsoftを騙る典型的な「サポート詐欺」でした。

①何気ない件名から始まる、生存確認型のメール

実際に届いたメール画面（受信箱表示）

お疲れ様です。

先ほどの件について、1点だけ確認があります。

前回ご確認いただいた内容に関連して、追加で確認が必要となりました。

お手数ですが、以下より内容をご確認ください。

　　　　［確認する］

よろしくお願いいたします。

ブランド名も会社名も出てこない、あたかも実際にやり取りしていた相手からの続きのメールのような文面です。こうした「何の変哲もない業務連絡」を装う手口は、警戒心を持ちにくいぶん、かえって開かれやすいという狙いがあります。

②本物のMicrosoftドメインを間借りする誘導先

本文の「確認する」リンク先は次の通りでした。

誘導先：hxxps://zafiyuroti.z23.web.core.windows.net/ohev66/

windows.netは、1995年から続く正真正銘Microsoft社が保有する本物のドメインです。攻撃者はこのドメインの中にある「誰でも使える静的サイトホスティング機能（Azure Static Web Apps）」の一区画を間借りし、独自の詐欺ページを公開していました。ドメイン自体がMicrosoft公式であるため、URLフィルターやリンク先ドメインの見た目だけでは疑いを持ちにくい、巧妙な仕組みです。

③警告を超えた先に待っていた、偽のWindows Defender画面

④スマホには何も見せない、明確なクローキング

スマートフォンでは「PCからアクセスしてください」とだけ表示され、詐欺画面自体が出てこない

同じリンクをスマートフォンで開くと、詐欺画面は一切表示されず「このサイトはモバイルデバイスに対応しておりません」という、まったく無害な案内だけが出てきます。Windows PCの利用者だけに絞って偽の警告を見せる、明確な端末判定型のクローキングです。Windows特有の偽警告はスマホでは効果が薄いため、無関係な端末には最初から何も見せない、合理的な使い分けといえます。

⑤送信元について

※メールヘッダー詳細は個人情報保護のため非掲載としますが、判定に使った要点をご紹介します。

メールのMessage-IDには、実際とは無関係な`imap.gmail.com`という文字列が紛れ込んでいました。Gmail経由を装う偽装とみられますが、実際の送信元はポーランドの回線であることが、Received-SPFのclient-ipから確認できます。

⑥注意点と対処法

• 「先ほどの件について」のような、何の変哲もない業務連絡風のメールでも、心当たりがなければ開かないでください。
• 画面いっぱいの警告ポップアップが出ても、慌てて電話をかけないでください。本物のWindowsやセキュリティソフトは、電話番号を表示して連絡を急かすことはありません。
• 警告画面が消せない場合は、ブラウザごと強制終了するか、タスクマネージャーからブラウザのプロセスを終了してください。
• 万が一電話をかけてしまい、遠隔操作ソフトを入れてしまった場合は、ネットワークを切断し、専門業者や消費生活センターに相談してください。