「【重要】Vpassポイント進呈手続きのご案内」は詐欺！2つの偽サイトを使い分けTencent Cloudで運用される多段クローキングの手口を解析
立秋を過ぎても寝苦しい夜が続きますが、こういう時期こそ「重要」「速やかに」という言葉に反応してうっかりリンクを踏んでしまいがちです。今日ご紹介するのは、まさにそうした心理を突いた、三井住友カードを騙るメールです。
| 📋 調査レポート：概要
危険度評価：★★★★☆ （2つの誘導ドメインとクローキング技術を組み合わせた本格的な認証情報詐取キット） |
⚠️ このメールは詐欺（フィッシング）です。本文中のボタン・リンクは絶対にクリックしないでください。
届いたメールの内容
実際に受信したメールの画面です。三井住友カードのVpassポイントサービスを模した、緑基調の落ち着いたデザインになっています。
実際に届いた「Vpassポイント進呈手続きのご案内」メールの画面
【重要】Vpassポイント進呈手続きのご案内 ※本メールは特典ポイントの受け取りに関する重要なご連絡です。速やかにご確認ください。 平素より三井住友カードをご愛顧賜り、誠にありがとうございます。 この度、下記のとおり「Vpassポイント」特典進呈のご権利が発生しております。 ただし、権利を有効に活用いただくには、お客様ご本人による所定のお手続きが必要です。 １．特典ポイントについて Vポイント 20,000ポイント進呈 ポイント進呈日：2026年8月7日 ポイント受取期限：2026年8月10日まで ポイント種別：Vポイント（期間限定／有効期限あり） ２．お手続きの必要性と重要事項 本特典ポイントは自動付与ではございません。必ず、お客様ご自身でお手続きを完了いただく必要がございます。 期日までにお手続きいただけない場合、ポイント進呈の権利は自動的に失効します。 【ご注意ください】期限内の手続きをいただけない場合、理由の如何を問わず、ポイントは受け取りできません。 ３．お手続き方法 1. 下記「特典ポイント受け取り専用ページ」へアクセス 2. 会員ログイン後、画面案内に従って申請を完了 本メール記載の公式リンクより、セキュリティに十分ご留意のうえご操作ください。 ［特典ポイント受け取り専用ページ］ ４．よくあるご質問／お問い合わせ ・受取手続きの期限は進呈日より3日間です。期限厳守をお願いします。 ・詳細やご不明点等は、Vpass内ご利用明細ページまたは三井住友カード公式Webサイトにてご確認いただけます。 三井住友カード株式会社 大阪府大阪市中央区今橋4丁目5-15
※メールヘッダー詳細は個人情報保護のため非掲載です。当ラボで確認した要点のみお伝えします。
送信ルートと偽装の判定
送信者名は「三井住友カード株式会社」となっていますが、実際の送信アドレスはinfo@mail17.movingquotecompare.comという、三井住友カードとは無関係な引っ越し見積もり比較サイト風のドメインでした。SPF・DKIMともにPassと判定されていますが、これは攻撃者自身が用意したドメインを正しく認証しているだけであり、安全の証明にはなりません。
送信元IP（20.89.250.169）を確認したところ、Microsoft Azureの回線（大阪リージョン表示）でした。近年主流の「正規クラウドを短期間借りて大量送信する」手口の一つです。
なお、ヘッダーの中継記録には「u-tokyo.jp」「wakayama.jp」を思わせるサブドメイン文字列が登場しますが、いずれも実在の大学・自治体とは無関係な、送信システムが自動生成したダミーのホスト名とみられます。また、メール内の日時表記にも中国時間相当とライン諸島時間相当が混在するなど、送信基盤側の設定に矛盾が見られました（笑）。詰めの甘さはこうした細部に表れるものです。
💡 用語をやさしく解説
| クローキング：アクセスしてきた相手が「人間」か「機械的な調査ツール」かを判別し、表示する内容を変える仕組みです。今回のように「人間であることを確認」という画面を挟むことで、セキュリティ企業の自動巡回を足止めし、検知を遅らせる狙いがあると考えられます。 SPF・DKIM：メールの送信元を認証する仕組みですが、攻撃者が用意した独自ドメインが自分自身を正しく認証しているだけのケースでは、「Pass」表示があっても安全とは言えません。送信者の実際のメールアドレスを必ず確認しましょう。 |
フィッシングサイト詳細解析（多段構成）
今回は、これまで以上に手の込んだ多段構成になっていました。順を追ってご紹介します。
第1段階：本文の「特典ポイント受け取り専用ページ」ボタンをクリックすると、hxxps://smbccerd[.]shbyfm.com/nyukai-jp へ誘導されます。
ウイルスバスター クラウドが「フィッシング」として即座にブロック
続けてChromeのセーフブラウジング機能も「危険なサイト」として警告
第2段階：セキュリティソフトの警告を越えて進むと、偽の「人間であることを確認」画面が表示されます。
「人間であることを確認」の初期表示画面
確認処理中の表示。実際のセキュリティ機能ではなく、機械的な調査ツールを足止めするための仕掛けと考えられます
第3段階：確認画面を通過すると、今度はhxxps://smbccerd[.]mxinyu.com/nyukaiy-jpという、1つ目とパス名がほぼ同じ（末尾のスペルのみ異なる）別ドメインへ再誘導されます。当ラボでこの2つのドメインを名前解決したところ、どちらも同一のIPアドレス（43.165.166.8）に着地することを確認しました。見た目のドメイン名を変えているだけで、中身は同じ詐欺サイトキットを使い回している構図です。
このIPアドレスをip-sc.netで確認したところ、表示上の所在地は「東京都渋谷区」でしたが、運営元（ASN）はShenzhen Tencent Computer Systems Company Limited（中国のTencent Cloud）であることが分かりました。クラウドサービスの「東京リージョン」を使うと、表示上の所在地情報だけでは実際の運営拠点を正確に把握できないケースがあることを示す一例です。
2つ目のドメインも同様にウイルスバスター クラウドがブロック
Chromeも同様に「危険なサイト」として警告
最終段階：ここまでの警告をすべて回避してアクセスした場合、最終的にはsmbccerd[.]mxinyu.com上に作られた、本物そっくりの偽Vpassログインページが表示される仕組みになっていました。
攻撃者サイト上に用意された、本物そっくりの偽Vpassログインページ
ロゴ・配色・レイアウトともに本物のVpassサイトを精巧に模しており、URLを確認しない限り気づくのは困難です。ここにVpassIDとパスワードを入力してしまうと、その情報はそのまま攻撃者に渡ってしまいます。セキュリティソフトの警告を2段階も突破させた末にこの偽ログイン画面を置くという、手の込んだ構成でした。
関連する過去記事
三井住友カード・VJAグループ・Vpassを騙るポイント詐欺は、当ラボでも繰り返し取り上げています。あわせてご確認ください。
- 【注意】三井住友カード「Vポイント有効期限が迫っています」は詐欺！
- 『詐欺メール』『【最終受付】Vpass会員様特典・VJAギフトカード10,000円分を進呈中』
- 『詐欺メール』VJAグループから『【重要】ポイント失効のお知らせ』
「ポイント進呈」「ポイント失効」など切り口を変えながら、Vpass会員を狙う波状攻撃が継続しています。
注意点と対処法
- メール内のリンク・ボタンは絶対にクリックしないでください。ポイント確認は公式アプリまたはブックマーク済みの公式サイトから行ってください。
- セキュリティソフトが警告を出した場合は、絶対に「このまま進む」を選択しないでください。
- ロゴやデザインが本物そっくりでも、URLが公式ドメインと異なる場合は偽サイトです。ブックマーク済みの公式サイトからログインする習慣をつけてください。
- 「20,000ポイント」「期限は3日間」といった具体的な数字や期限で急かす文面には特に注意してください。
- 万が一ログイン情報を入力してしまった場合は、速やかに公式サイトからパスワードを変更し、カード会社へご連絡ください。
セキュリティソフトの警告を2段階も突破させた末に、本物そっくりの偽ログイン画面を用意するという手口は、詐欺メールの中でもかなり手が込んだ部類です。「怪しいと思ったらまず公式アプリで確認する」という基本を徹底することが、こうした巧妙な罠から身を守る一番の近道です。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Amethyst
今、拡散中の詐欺メール
