UCカード「8月お支払金額のお知らせ」は詐欺——表示リンクは公式URLなのに実際の遷移先はTencent Cloud、送信元は乗っ取られた家庭用回線の疑い
お昼の再開一発目は、UCカード（アットユーネット）を騙る「お支払金額のお知らせ」詐欺メールです。この手の件名は季節を問わず定番ですが、今回はメールのソースコードを覗いてみると、なかなか悪質な仕掛けが見つかりました。
| Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 UCカード「8月お支払金額のお知らせ」は詐欺——表示リンクは公式URLなのに実際の遷移先はTencent Cloud、送信元は乗っ取られた家庭用回線の疑い
UCカードの毎月恒例「お支払金額のお知らせ」を装い、アットユーネットの偽ログイン画面へ誘導するフィッシングメールです。画面上に表示されるリンク文字列は正規の公式URLそのものなのに、実際にクリックすると全く別の詐欺サイトへ飛ばされる、悪質なリンク偽装が使われていました。 |
※重要：本文中のリンクは絶対にクリックしないでください。
※メールヘッダー詳細は個人情報保護のため非掲載です。
ご覧の通り、このメールはUCカード・アットユーネットを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
こちらのメールはお支払いに関する大切なご連絡です。 次回のお支払金額をお知らせいたします。 ◆━━━━━━━━━━━━━━━━━━━━ いつもご利用いただきありがとうございます。 【対象カード】 ＵＣカード 【お支払日】 2026年8月11日(火) 【口座へのご準備期日】 2026年8月10日(月) ※お支払金額の変更は2026年7月24日(金)昼12:00までにお願いします。 ◆━━━━━━━━━━━━━━━━━━━━ ▼ご利用明細のご確認はこちら （リンク省略） ━━━━━━━━━━━━━━━━━━━━━ ※メールを受信されるタイミングによってはお支払金額の変更の受付期間を過ぎている場合がございます。 ※当月15日時点の予定額です。ご請求金額は変更になる場合がございます。 ※16日以降にお支払金額の変更などをされた場合、確定金額は翌月2日までに順次更新されるアットユーネットの「銀行請求額」欄にてご確認ください（一部カードはお支払日やお支払いサイクルが異なります）。 ※年会費のみご請求の場合や返金対応がある場合など、お引落口座の登録状況によってはお支払金額が0円と表示されることがございます。 ━━━━━━━━━━━━━━━━━━━━━ ■最近アットユーネットに新規ご登録いただいた方へのお知らせ ━━━━━━━━━━━━━━━━━━━━━ 毎月15日20:00以降にアットユーネットに新規ご登録いただいた場合、翌月お引落分のご請求があった場合でもアットユーネットからご利用明細をご覧いただけませんので、あらかじめご了承ください。 （翌々月お引落分以降のご請求はアットユーネットでご覧いただけます。） 【メール番号：UC_2603_18】 ====================================== 送信元：株式会社クレディセゾン 〒170-6073 東京都豊島区東池袋3-1-1 https://www.saisoncard.co.jp/ ※ユーシーカード、ユーシーカードグループ、ユーシー受託先が発行する会員様にはクレディセゾンが業務受託を行い配信しています。 ※このメールはアットユーネットから自動配信しております。 ※本メールにご返信いただきましても、ご質問・ご依頼などにお答えできませんのでご了承ください。 ====================================== アットユーネット ======================================
実際に受信した詐欺メールの画面。フッター部分は実在するクレディセゾンの住所や関連URLまで細かく記載され、本物らしさを演出している
■ 最大の見どころ：リンクの「二枚舌」
今回のメールのHTMLソースを確認したところ、次のような記述になっていました。
<a href="hxxps://successy［.］xy3qot［.］info/（トークン省略）"> https://atunet.uccard.co.jp/UCPc/（宛先）/login </a>
画面上に表示されているリンクの文字列は、正規のUC公式ドメイン「atunet.uccard.co.jp」そのものです。しかし実際にクリックしたときの遷移先（href属性）は、まったく無関係の「successy.xy3qot.info」でした。メールソフトやブラウザでリンクをマウスオーバーして確認しない限り、この食い違いには気づけません。スクリーンショットのメール画面でも、リンクテキストは違和感なく公式URLに見えています。表示テキストと実体を分離させる、シンプルながら効果の高い偽装手口です。
■ 送信ルート解析
表示上の送信者：“UCカード” <（某旅行関連事業者のメールアドレス、担当者名含め非掲載）>
送信ドメインは、子供向け旅行関連サービスを思わせる屋号の、実在する事業者のものとみられます。先ほどの三井住友カード記事と同様、SPFレコードが「Softfail」と、実在の第三者ドメインが乗っ取り・無断利用されている典型的なパターンです。本記事ではこの実在事業者への配慮から、ドメイン名を伏せています。
実際の送信元（Received-SPF client-ip）：41.86.40.102
回線情報（ip-sc.net確認）：CWS Unlimited Broadband02／AS36958（CWSeychelles-AS）／所在地：セーシェル・ヴィクトリア／接続方式：dsl／利用形式：consumer（個人向け回線）
これまでのケースの多くはクラウドやVPSなど事業者向けのホスティングでしたが、今回は一般家庭向けのDSL回線という点が異色です。攻撃者が契約したサーバーではなく、マルウェア感染などで乗っ取られた家庭用ルーターやパソコンが、気づかないまま迷惑メールの送信に使われている（ボットネットの一部にされている）可能性があります。
■ フィッシングサイト詳細解析
実際の誘導先URL（伏せ字）：hxxps://successy.xy3qot［.］info/（トークン省略）
解決先IP：43.165.196.142（ip-sc.net確認：Aceville Pte.ltd／AS132203「TENCENT-NET-AP-CN」／インドネシア・ジャカルタ）。実はこのIPアドレス、先ほどの三井住友カード「取引制限回避」記事の誘導先と完全に同一のサーバーです。送信ドメイン・送信元IP・ブランドはまったく別物なのに、着地するサーバーだけが共有されている状態で、複数の詐欺キャンペーンが同じインフラ業者（またはリセラー）を経由している可能性がうかがえます。
アクセスすると表示された偽の「アットユーネット！」ログイン画面。ロゴ・レイアウトとも本物を精巧に再現している
ここでID・パスワードを入力してしまうと、そのままアットユーネットの資格情報が攻撃者に渡ってしまいます。UCカードのご利用明細やお支払い情報が閲覧できてしまう、実害に直結するリスクです。
■ 注意点と対処法
- リンクの表示テキストを信用しない：画面上に公式URLらしき文字が見えても、実際の遷移先とは限りません。パソコンではリンクにマウスを重ねる（クリックしない）と実際の遷移先がブラウザ下部に表示されます。
- メール内のリンクは使わず、公式アプリ・ブックマークから：お支払金額の確認は、事前に登録した公式ブックマークまたは公式アプリ「UC Portal」からアクセスしてください。
- URLのドメインを必ず確認する：正規のアットユーネットURLは「https://www2.uccard.co.jp/」または「https://atunet.uccard.co.jp/」から始まります。それ以外のドメインには絶対にID・パスワードを入力しないでください。
- 自分の回線が悪用されていないか確認：心当たりのない迷惑メール送信元に、自分の契約回線が使われてしまうケースもあります。ルーターのファームウェア更新やパスワード変更など、基本的なセキュリティ対策を見直しましょう。
- 既にID・パスワードを入力してしまった場合：速やかに公式サイトからアットユーネットIDおよびパスワードを変更し、UCカードのお客様デスクに連絡してください。
本レポートの結論
UCカードの毎月恒例「お支払金額のお知らせ」を装い、リンクの表示テキストと実際の遷移先を食い違わせるという、シンプルながら見破りにくい手口のフィッシングメールでした。送信元は乗っ取られたとみられる家庭用回線、誘導先は直前に扱った三井住友カード記事と同一のTencent Cloudサーバーと、複数の技術的な発見がありました。身近な方が「見た目のURLが公式っぽいから」と油断してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
関連記事：三井住友カード「取引制限回避」詐欺（同一サーバーを使用）
使用配色テーマ：Navy
今、拡散中の詐欺メール
