【警告】「MFA電話番号の変更」「個人データの漏洩」を名乗るメールはサポート詐欺！件名の文字を毎通崩し、本文は数字コードで隠してWindows警告を装う偽画面へ誘導

HL-META: date=2026-10-11 | brand=Microsoft | sender_geo=アルゼンチン,インド | site_geo=オーストラリア | spf=softfail | dkim=none | cloaking=no

10月は、パスワードの変更や、二段階認証の見直しを呼びかける機会が増える季節です。その「セキュリティの不安」につけこむメールが、10月9日と10日に、件名を変えながら届きました。

結論から言うと、すべてMicrosoftを装うサポート詐欺です。本物のドメイン「windows.net」を悪用する手口は、以前の記事（「先ほどの件について」）でも解説しました。今回はその続報です。前回との違いは、件名の文字が毎通崩れていること、本文を数字コードに変えて隠していること、そして「MFAの電話番号変更」と「身代金の要求」という2種類の文面が、同じ手口につながっていることです。

届いた偽メールの内容（2系統）

届いたメールの本文は、大きく2種類ありました。どちらも、受信者自身のメールアドレスが差出人になっています。リンク先のURLは、うっかり開いてしまわないよう無効化しています。

系統A：「多要素認証（MFA）の電話番号を変更しました」

差出人：noreply@（受信者自身のドメイン）
宛先　：（受信者のアドレス）
件名　：【多要格信計（MFA）】登識番议取号

こんにちは。

ご自身のアカウント（受信者のアドレス）にて、二段階認証（MFA）に使用する電話番号の変更申請が行われました。

【変更内容】
・新しい電話番号： +81 80-XXXX-3713
・ステータス： 承認待ち（30分後に自動適用）

電話番号の変更申請を行っていない場合、または第三者による不当な変更を急遽キャンセルしたい場合は、直ちに以下のセキュリティページより拒否手続を行ってください。

[電話番号の変更を緊急キャンセルし、アカウントを保護する ]
（リンク先：hxxps://nipecetuf[.]z9[.]web[.]core[.]windows[.]net/4thxn3p/）

※30分以内にキャンセルが行われない場合、新しい電話番号がプライマリ認証先として登録されます。

※本メールは認証管理システムより自動配信されています。

※メールヘッダー詳細は個人情報保護のため非掲載

1. ブランド名のない通知です。「ご自身のアカウント」とだけ書かれ、どのサービスのMFAなのか、一言も出てきません。誰が受け取っても「自分のアカウントのことかも」と思ってしまうように、わざとぼかしているとみられます。
2. 「30分後に自動適用」と、短い期限で焦らせます。
3. 新しい電話番号が「+81 80-XXXX-3713」と、伏せ字の「XXXX」のまま送られています。本物の番号に差し替え忘れたのかもしれません。

系統B：「Webカメラの映像を流出させた」という身代金の要求

差出人：（受信者自身のアドレス）
宛先　：（受信者自身のアドレス）
件名　：【告告】個人宝デスースの漢法は、アインスタ比限ます

こんにちは。

あなたの差出人アドレス（受信者のアドレス）を使用してこのメッセージを送っています。

あなたのPCから抽出されたプライベートデータ（Webカメラの録画ファイル、ブラウザの履歴）が外部サーバーにアップロードされました。

作成されたアーカイブ：
・Webcam_Recordings_2026.mp4
・Personal_Browser_History.pdf

身代金の支払期間として、このメールの受信から【48時間】の猶予を与えます。

支払い先ビットコインアドレス：
BTC: bc1qeyrn0kavvuwr3knvazg7ns0sw9z4p8ws0ev6ga

公開を停止し、アップロードされた動画ファイルを直接確認するには、以下の管理リンクにアクセスしてください。

[証拠動画の視聴および公開差し止め手続]
（リンク先：hxxps://zulipuyosa[.]z6[.]web[.]core[.]windows[.]net/yzwwfu7fn1/）

※48時間のカウントダウンが開始されました。時間内にアクションが確認されない場合、ファイルは自動的に全社へ配信されます。

※本メールへの返信はできません。

※メールヘッダー詳細は個人情報保護のため非掲載

1. 差出人と宛先が同じです。「あなたのアドレスを使って送っています」と書いていますが、これは差出人欄を書き換えただけで、パソコンを乗っ取った証拠にはなりません。この種の脅迫メールの定番の手口です。
2. 添付ファイルはありません。メールのソースを調べても、「Webcam_Recordings_2026.mp4」「Personal_Browser_History.pdf」の実体は付いていませんでした。名前を書いてあるだけです。
3. 支払い先のビットコインアドレスが書かれています。同じ文面が、多くの人に送られているとみられます。もし同じアドレスを見かけたら、このメールは詐欺です。
4. 「ファイルは自動的に全社へ配信されます」と、会社のメールアドレス宛てを想定した言い回しです。

件名の文字が崩れている理由

受信箱には、次の5通が並んでいました。意味の通らない件名が混ざっています。

No.	件名（受信日）
1	【多要素認証（MFA）】登録電話番号の変更リクエストについて（10/10）
2	【多要素格信計（MFA）】登錄番议取号（10/10）
3	【告白】個人宝デスースの漢法は、アインスタ比限ます（10/9）
4	【告白】個人宝デスースの漢法は、アインスタ比限ます（10/9）
5	【警告】個人データの漏洩およびアクセス権限について（10/9）

1番と5番は、普通に読める件名です。2〜4番は、1番と5番の文字をでたらめに入れ替えたような件名です。

メールソフトの文字化けではありません。メールのソースにある件名（Base64という符号で書かれています）を元の文字に戻して調べると、崩れた文字のまま送られていました。しかも、同じ元の文でも、1通ごとに崩し方が違います。たとえば、調べた1通目の件名は「多要格信計」「登識番议取号」でしたが、受信箱では「多要素格信計」「登錄番议取号」と別の崩れ方のものがありました。「告白」と「告告」も同様です。「迷惑メールの文字列」を見つけて検知する仕組みを、避けるための細工とみられます。

本文は「数字コード」に変えられていた

さらに、メールのソースを開くと、本文の日本語がすべて「こ」のような数字の並びに置き換えられていました。1通目で261個、2通目で306個あります。メールをHTML形式で表示すると普通の日本語に見えますが、テキスト形式で表示すると、次のように数字の羅列のまま出てしまいます。

送信元の調査：送信ルートと偽装判定

メールの記録を調べると、2通は別の国のIPアドレスから送られていました。

系統A（MFA）の送信元	186.39.55.26（アルゼンチン・ブエノスアイレス州）。通信事業者はTelefonica de Argentina（AS番号 22927）。IP調査兵団（ip-sc.net）では、法人向けの回線と表示されました
系統B（身代金）の送信元	123.108.230.110（インド・マハーラーシュトラ州）。通信事業者はHonesty Net Solution (I) Pvt Ltd（AS番号 38457）。こちらも法人向けの回線と表示されました
接続元の名乗り	どちらも、IPアドレスの数字がそのまま入った機械的な名前でした。人が管理するサーバーではなく、回線に自動で付く名前とみられます。乗っ取られた機器が使われた可能性もありますが、断定はできません
SPF	Softfail（弱い不合格）：「このサーバーからの送信は、あまり望ましくない」という判定
DKIM	署名なし
差出人	どちらも、受信者自身のドメインのアドレス。実際の送信元とは無関係で、差出人欄を書き換えた偽装です
ほかの矛盾	メールソフトを「Microsoft Outlook」と名乗っていますが、実際の送信元は海外の回線です。2通目は、メールに書かれた送信日時が、実際に届いた時刻より約5時間先になっていました

フィッシングサイトの詳細解析

メールのリンクは、5通ともwindows.netの中にあるサブドメインでした。前回の記事と同じく、本物のMicrosoftのドメインを悪用した手口です。詳しい仕組みは、前回の記事もあわせてご覧ください。ここでは、1通目のリンクをたどった結果をまとめます。

電話をかけると、どうなるか。この種のサポート詐欺では、一般に、電話に出た相手が「パソコンを遠隔操作して直します」と言ってソフトをインストールさせたり、修理代として金銭を要求したりします。今回の電話は実際にはかけておらず、その先は確認していません。

注意点と対処法

このメールが届いたら

• メール内のリンクは押さずに、そのまま削除してください。
• 「どのサービスか書かれていないアカウント通知」は疑ってください。本物のセキュリティ通知には、サービス名が書かれています。
• 身代金の要求は、受信者の映像を持っている証拠にはなりません。支払わず、返信もしないでください。
• 本当にアカウントが心配なときは、メールのリンクではなく、公式アプリやブックマークした公式サイトから確認してください。

偽の警告画面が出てしまったら

1. 表示された番号には、絶対に電話をしないでください。
2. 画面は、閉じれば対処が終わります。Escキーを2〜3秒押し続けて全画面表示を解除し、右上の閉じるボタンを押します。
3. 閉じられないときは、Ctrl＋Alt＋Deleteキーを押して、ブラウザーを終了するか、パソコンを再起動してください。

もし電話をかけてしまった・操作してしまったら

どうか慌てないでください。早めに対応すれば、被害を防げる可能性が高まります。

1. 遠隔操作されている最中なら、パソコンを再起動して、接続を切ってください。
2. 指示されてインストールしたソフトは、削除してください。
3. カード番号などを伝えてしまった場合は、カード会社へすぐに連絡し、利用停止や再発行を相談してください。
4. 不安なときは、消費者ホットライン「188（いやや）」や、IPAの情報セキュリティ安心相談窓口にも相談できます。

公式の案内

Microsoftは公式に、警告画面に電話番号を表示しないこと、ギフトカードやビットコインでの支払いを求めないことを案内しています。IPAは、偽の警告画面の閉じ方を案内しています。

▶ マイクロソフトのサポートを装った詐欺にご注意ください（Microsoft）

▶ サポート詐欺の「偽セキュリティ警告画面の閉じ方体験サイト」を公開（IPA）

まとめ

LINEで家族や友人に知らせる

Data Provided by Heartland-Lab Security Research Unit
IPアドレスの調査には IP調査兵団（ip-sc.net） を参照しています。