「【受取期限】ログイン記念Vポイント進呈のご連絡」はVpass偽装の詐欺！PCでは遮断、スマホでは偽ログイン画面へ誘導するクローキング手口を解析

2026年8月8日

「対象者限定」「本日中」「一般には公開されていません」――こうした煽り文句が3つも並ぶと、かえって疑わしく感じてしまいますが、今回はまさにそんな三拍子が揃ったVpass（VJAグループ）を騙る詐欺メールが届きました。実際にリンクを追いかけてみると、パソコンとスマートフォンで見える景色がまったく違うという、これまでにもご紹介してきた「クローキング」の手口が、今回も使われていました。

1. 📋 調査レポート：概要
2. 届いたメールの内容
3. 送信ルート解析：本当の送信元はどこか
4. フィッシングサイト解析：PCとスマホで結末が分かれる
5. 関連する過去の記事
6. 注意点と対処法
7. まとめ

📋 調査レポート：概要

総合危険度	★★★★☆（高）
騙られたブランド	Vpass／VJAグループ（三井住友カード株式会社）
件名	[spam]【受取期限】ログイン記念Vポイント進呈のご連絡
送信元IP（真の送信元）	20.194.1.27（Microsoft Corporation／韓国）
SPF判定	Pass（送信者が自分でSPFレコードを設定しているだけで、Vpassの正規メールである証明にはなりません）
誘導先の挙動	PCではアクセス拒否、スマホでのみ偽ログイン画面が表示（クローキングを確認）
受信日時	2026年8月8日（土）

※メールヘッダー詳細は個人情報保護のため非掲載

結論：このメールは100％詐欺（フィッシング）メールです。

本文中のリンクは絶対にタップ・クリックしないでください。

届いたメールの内容

実際に届いたメールの内容をそのまま再現します（技術検証のための引用です）。

件名：[spam]【受取期限】ログイン記念Vポイント進呈のご連絡
送信者："三井住友カード株式会社" <FLSMVR@pctzdjxc.payment.8260sf.com>

Vpassログイン記念キャンペーン
Vポイント を進呈いたします
本日中のログインで受取可能

〇〇 様

いつもVpassをご利用いただき、誠にありがとうございます。
Vpassキャンペーン事務局でございます。

このたび、日頃のご愛顧に感謝を込めて、「Vpassログイン記念Vポイント進呈キャンペーン」を実施しております。
本日2026年8月8日中にVpassへログインいただいた会員様に、Vポイントをプレゼントいたします。

本キャンペーンは、Vpassのご利用状況に応じて選出されたお客様にのみご案内している限定キャンペーンです。
一般告知は行われておらず、対象者以外の会員様はご参加いただけません。

お受取りには、本日中にVpassへログインし、所定の受取手続きを完了いただく必要がございます。
受取期限は本日23:59までとなります。期限を過ぎますと、ポイントは自動的に無効となりますのでご注意ください。

すでに多くの対象会員様がポイントを受取られております。お早めにお手続きください。

【ログインしてVポイントを受取る】

※本メールはVpassキャンペーン事務局より自動送信されています。
※本キャンペーンは対象者様限定のご案内です。一般には公開されておりません。

Vpass / VJAグループ
発行元：三井住友カード株式会社

実際に届いたメールの画面。VJAグループの正規デザインを忠実に模倣している

「対象者限定」「一般には非公開」「本日中」――この3つの煽り文句が同時に使われている時点で、かなり怪しいと考えてください。正規のキャンペーンであれば、公式アプリやウェブサイトのお知らせ欄にも掲載されるのが通常です。「誰にも言わずこっそりお得な情報を教えます」という体裁は、冷静な判断力を奪うための典型的な演出です。

送信ルート解析：本当の送信元はどこか

メールヘッダーの「Received-SPF」欄に記録されたclient-ip=20.194.1.27が、実際にこのメールを送信したサーバーのIPアドレスです。国別データベース（GeoLite2）で調べたところ、このIPアドレスは韓国を拠点とするMicrosoft Corporation名義のサーバーでした。

送信者として名乗っているドメインもpayment.8260sf.comという、VJAグループとは無関係な文字列です。三井住友カード・Vpassの正規ドメインは「smbc-card.com」や「vpass.ne.jp」であり、今回のような無関係なドメインからのメールは、送信者名がどれだけ「三井住友カード株式会社」を名乗っていても偽物と判断できます。

フィッシングサイト解析：PCとスマホで結末が分かれる

メール本文の「ログインしてVポイントを受取る」ボタンへアクセスしたところ、端末によって明確に異なる結果になりました。

パソコンでアクセスした場合は、まず読み込み中の画面が表示された後、最終的に「アクセス拒否」という画面が出て、それ以上先には進めませんでした。

PCでアクセスした直後に表示される読み込み中の画面

最終的に表示される「アクセス拒否」画面。パソコンからのアクセスと判定され、意図的にブロックされたとみられる

💡 用語解説：なぜPCだけブロックされるの？

攻撃者は、セキュリティ会社や当ラボのような調査者の多くがパソコンから調査を行うことを知っています。そのため、パソコンからのアクセスにはあえて偽サイトを見せず、本当にポイントを受け取りに来た可能性が高いスマートフォンのユーザーにだけ、偽サイトを表示する――という「使い分け」をしていると考えられます。

一方でスマートフォンからアクセスした場合は、Vpassの公式サイトを忠実に再現した偽のログインページへ、何の障害もなくたどり着いてしまいました。

スマホでアクセスした場合に表示される偽のVpassログインページ。VpassID・パスワードの入力欄がある

このページにVpassID・パスワードを入力してしまうと、Vpassアカウントが乗っ取られ、登録されているクレジットカード情報の不正利用につながる危険があります。

注意点と対処法

✅ メール内のリンクは開かない：Vpassへのログインは、必ず公式アプリやブックマークしておいた公式サイトから行ってください。

✅ 「あなただけ限定」を疑う：一般には公開されていない特別な案内をメールで送るという体裁自体が、詐欺の定番手口です。

✅ 送信元アドレスを確認する：三井住友カード・Vpassの正規ドメインではないアドレスからの案内は、内容にかかわらず開かないでください。

✅ 端末を変えても安全とは限らない：パソコンで安全に見えても、スマホでは危険なサイトが表示されるケースがあることを覚えておいてください。

まとめ

「今日中に受け取らないと失効する」というプレッシャーは、誰しも冷静さを失わせます。しかし本物のポイントキャンペーンであれば、メールのリンクを踏まなくても、公式アプリから確認・受け取りができるはずです。落ち着いて、いつもの確認方法で対応しましょう。この記事が「あれ、これ怪しいかも」と思うきっかけになれば幸いです。ご家族、特にご高齢の方にもぜひ共有してください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの脅威情報はIP調査兵団（ip-sc.net）のデータを参照しました。