VJAグループ「不正ログイン検出」詐欺、PCはChromeが即ブロックもスマホは精巧な偽Vpassログイン画面に到達——同一レジストラで二段構えの誘導インフラ

HL-META: date=2026-08-05 | brand=VJAグループ／Vpass（なりすまし） | sender_geo=米国（カリフォルニア州ロサンゼルス、Google Cloud） | site_geo=香港（Alibaba Cloud）／不明（Cloudflare anycast） | spf=pass | dkim=valid | cloaking=yes

8月に入り、日中の暑さがいよいよ本番といった様子ですね。そんな中、当ラボにVJAグループ・Vpassを騙る「不正ログイン検出」詐欺メールが届きました。今回は珍しく、PCとスマホでたどり着く結末がまったく違うという、なかなか興味深い作りになっていましたので詳しく解析していきます。

Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 1. VJAグループ「不正ログイン検出」詐欺、PCはChromeが即ブロックもスマホは精巧な偽Vpassログイン画面に到達 1.1. ■ 送信ルートおよび偽装判定 1.2. ■ フィッシングサイト詳細解析——PCとスマホで明暗が分かれた誘導先 1.3. ■ 注意点と対処法 1.4. 本レポートの結論 VJAグループ「不正ログイン検出」詐欺、PCはChromeが即ブロックもスマホは精巧な偽Vpassログイン画面に到達 緊急性レベル ★★★★☆ (4/5) 偽装工作精度 ★★★★☆ (4/5) VJAグループ・Vpass（三井住友カードを含むVJAグループ各社が提供する会員向けサービス）を騙り、「未登録端末からの不正ログイン試行を検知した」として、24時間以内の本人確認を迫るフィッシングメールです。PC側はセキュリティソフトの壁に阻まれる一方、スマホ側は何の妨げもなく精巧な偽ログイン画面へたどり着くという、端末によって明暗が分かれる作りでした。

※重要：本文中のリンクは絶対にクリックしないでください。

※メールヘッダー詳細は個人情報保護のため非掲載です。

ご覧の通り、このメールはVJAグループ・Vpassを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。

それでは、実際に届いたメールの内容から見ていきましょう。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

○○ 様

平素よりVpassならびに三井住友カードをご利用いただき、誠にありがとうございます。
Vpassセキュリティ監視システムより、お客様のアカウントに関する重要なお知らせを送信しております。

2026年8月5日、お客様のアカウントにおいて、通常のご利用環境とは異なる地域からのログイン試行が断続的に検知されました。当社の不正検知システムが当該アクセスを一時ブロックしておりますが、本件がお客様ご本人によるものでない場合、早急なご対応が必要です。

【検知情報サマリー】
検知日時　　：2026年8月5日 06:51頃
対象アカウント：○○
現在のステータス：要・本人確認

現在、お客様のアカウントは「要確認」ステータスに設定されております。本通知から24時間以内に本人確認手続きを完了いただけない場合、安全上の理由により、一時的にカード機能の一部を制限させていただく可能性がございます。

なお、本通知は過去30日間に同様のアクセスパターンが検知されたアカウントにのみ送信される、対象者限定のセキュリティアラートです。多くのお客様には届いていないご案内であることを申し添えます。

【本人確認手続きはこちら】
（リンク省略）

本通知から24時間以内にご対応いただけない場合、アカウントに制限が適用される可能性がございます。

【フィッシング詐欺にご注意ください】
Vpassならびに三井住友カードからの正規のご連絡では、メール本文中にカード番号や暗証番号の入力を求めることは一切ございません。本メールに記載のリンクはVpass公式ドメイン（vpass.ne.jp）へ接続されます。ご不安な場合は、お手持ちのカード裏面に記載の番号までお問い合わせください。

発行元：三井住友カード株式会社
Vpassカスタマーセンター：0570-004-980（24時間受付）

実際に受信した詐欺メールの画面

「過去30日間に同様のアクセスパターンが検知されたアカウントにのみ送信される、対象者限定のセキュリティアラート」という一文が入っているのが特徴的です。「自分だけが特別に狙われている」という感覚を演出し、冷静な判断力を奪おうとする典型的な心理誘導のテクニックといえます。

■ 送信ルートおよび偽装判定

表示上の送信者：“Vpassお客様サポート” <finance@ptwjebgq.apply.gecaiot.com>

実際の送信元（Received-SPF client-ip）：35.215.109.85
HELO：apply.gecaiot.com
この送信元IPはGoogle Cloud（米国カリフォルニア州ロサンゼルス）に割り当てられたものです。ただしこれはGoogleの汎用サーバー所在地であり、攻撃者本人の実際の所在地を示すものではありません。

【偽装判定】：SPF認証は「Pass（合格）」、DKIM署名も「Valid（有効）」と表示されますが、これはいずれも表示上の送信ドメイン「vpass.ne.jp」ではなく、攻撃者が用意した「apply.gecaiot.com」というドメイン自身への認証が通っているにすぎません。SPF・DKIMが「Pass」であっても、それは正規のVJAグループ・Vpassからのメールであることを一切意味しません。正規のVpassからのメールは公式ドメインから送信されており、本メールの実際の送信インフラとは無関係です。

💡 ここで！ 用語をやさしく解説 SPF（エスピーエフ）：「このメールは正規の送信元から届いていますか？」を確認する仕組みです。今回は「apply.gecaiot.com」というドメインについては合格判定でしたが、それはVJAグループ・Vpassとは無関係の攻撃者ドメインだった、という点がポイントです。 DKIM（ディーキム）：メールが送信後に改ざんされていないかを電子署名で証明する仕組みです。今回は署名自体が有効でしたが、これも攻撃者が自分のドメインに対して行った署名にすぎず、正当性の証明にはなりません。 クローキング：アクセスしてきた端末（PCかスマホか）や地域などによって、表示する内容を意図的に変える手口です。今回のメールでは、PCとスマホで誘導先の結末がまったく異なっていました。

■ フィッシングサイト詳細解析——PCとスマホで明暗が分かれた誘導先

本文中のリンク先URLは、アクセスする端末によって挙動が大きく異なりました。

【PC側】誘導先URL（伏せ字）：hxxps://8238pk［.］com/?（パラメータ省略）

解決先IP：47.242.204.9（Alibaba Cloud、香港・九龍）／ドメインは2025年8月取得、現在は転売サイトに「販売中」として掲載されている状態でした。攻撃者が使い捨てにしたドメインを、そのまま放置しているとみられます。

PCでアクセスした際に表示された「危険なサイト」の警告。Googleセーフブラウジングが既にこのサイトをフィッシングとして検出している

この警告を承知のうえで先へ進んでみたところ、しばらく読み込み画面が続いた後、最終的には次のような表示になりました。

警告を無視して進んだ後に表示された読み込み中の画面

最終的にPCでは「アクセス拒否／リクエストがブロックされました」というファイアウォールによる遮断画面が表示され、偽ログイン画面までは到達できなかった

PC環境からのアクセスは、サイト側が設置したWAF（ウェブアプリケーションファイアウォール、不正なアクセスを自動的に遮断する仕組み）によって弾かれる形になっていました。攻撃者自身が、セキュリティ研究者やPC経由の分析を避けるために、こうした制限をかけている可能性があります。自分たちのフィッシングサイトを自分たちのファイアウォールで守っているというのは、なんとも皮肉な話です（笑）。

【スマホ側】最終着地URL：hxxps://login.raaglpfplzp［.］top/login

解決先IP：104.21.79.174（Cloudflare、anycast方式のため実際の運用拠点は特定できません）／ドメインは2026年4月取得。先述のPC側誘導先ドメインと同じレジストラ（Gname.com Pte. Ltd.）から取得されており、攻撃者が同じ調達ルートで複数ドメインを運用しているとみられます。

スマホでアクセスすると表示された、VJAグループ・Vpassのロゴ・配色・レイアウトを精巧に再現した偽ログイン画面。「重要なお知らせ」欄の日付入り告知まで作り込まれている

スマホ側は何の妨げもなく、この非常に精巧な偽ログイン画面まで到達してしまいます。ここでVpassIDとパスワードを入力してしまうと、そのままアカウントの資格情報が攻撃者に渡ってしまう危険な作りです。「PCで確認したから大丈夫」と思っても、スマホでは全く別の結末が待っている点に注意してください。

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしない：正規のVJAグループ・Vpassからのメールでは、口座情報の確認をメールのリンク経由で求めることはありません。
2. PCで安全に見えても油断しない：今回はPC側がセキュリティソフトやサイト側の仕組みで偶然弾かれましたが、これは攻撃者の都合によるものであり、常に安全とは限りません。
3. SPF・DKIMの表示だけで安心しない：技術的な認証結果が「合格」であっても、それが正規のドメインに対するものでなければ意味がありません。
4. 口座情報の確認は公式アプリ・ブックマークから：不安な場合は、メール内のリンクではなく、公式アプリまたは事前に登録したブックマークからアクセスして確認してください。
5. 既にIDやパスワードを入力してしまった場合：速やかにVpass公式サイトまたはカード裏面記載の窓口からパスワードを変更し、必要に応じてカードの利用停止手続きを行ってください。

本レポートの結論

VJAグループ・Vpassを騙り「不正ログイン検出」を口実に本人確認を迫るフィッシングメールでした。PC側はセキュリティソフトとサイト側の仕組みの両方に阻まれた一方、スマホ側は何の妨げもなく精巧な偽ログイン画面へ到達してしまう、端末による明暗の差が印象的な一件です。身近な方が「PCで確認したから安全」と思い込んでしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net

使用配色テーマ：Amethyst