【必読】「特別ボーナスポイント進呈」の罠を調査！偽Vポイントメールの真実

2026年5月21日

Heartland-Lab セキュリティ解析レポート
独自観測に基づくサイバー脅威・フィッシング詐欺メールの徹底リアルタイム分析

【警戒】「Vポイント当選」を騙るフィッシング詐欺メールを検知！ヘッダー構造と遮断状況を徹底分析

観測日時：2026年5月21日 09:32 | カテゴリ：フィッシング詐欺・スパムメール解析

2026年5月21日の午前、日本国内の主要ポイントサービスである「Vポイント（旧Tポイント / 三井住友カード）」のキャンペーン当選を巧妙に装った、極めて悪質なフィッシング詐欺メールの流入が突発的に観測されました。

このメールは、ユーザーに対して「特別ボーナスポイントが当選した」という架空の利益を提示し、受け取り期限を「72時間以内」と執拗に煽ることで、冷静な判断力を奪い偽のログインサイト（フィッシングサイト）へ誘導・個人情報やクレジットカード情報を一挙に盗み取ろうとする典型的な「当選商法型フィッシング」の手口です。

当ラボ（Heartland-Lab）において、当該メールのヘッダー情報、配送経路、認証ステータス、および誘導先サイトの稼働状況にいたるまで、手抜きの一切ない多角的なフォレンジック解析を行いましたので、その詳細を報告します。

1. 観測されたスパムメールの全体像（視覚的検証）

【受信メール画面】

上記スクショで示されるメールの内部構造およびデザインを、HTMLベースで極めて忠実に再現したものが以下となります。公式のロゴ配置やフッターの著作権表示、ワンクリックを強調するハイパーリンク表現など、一般ユーザーが思わず信頼してしまうような精巧なレイアウトが構築されています。

件名	[spam] 【Vポイント】＜ご当選＞特別ボーナスポイント進呈のご案内
送信者	“Vポイント事務局” <login@ykltxsqy.mail28.ihsmqc.com>

V POINT

★ ご当選おめでとうございます ★

特別ボーナスポイントに
ご当選されました
いつもVポイントをご利用いただきありがとうございます。

先般実施いたしました「会員様限定キャンペーン」におきまして、厳正なる抽選の結果、お客様のアカウントがご当選となりました。

ご当選特典は現在【未受取】の状態となっております。
期限切れとなる前に、至急お受け取りください。

ご当選ポイントを受け取るワンクリックでアカウントへ即時反映
受取期限：本メール受信から【72時間以内】

受取期限（72時間）を過ぎますと、誠に残念ながらご当選の権利は無効となります。
上記のURLはお客様専用の当選者用リンクです。第三者への共有はお控えください。
受け取ったポイントは「1ポイント＝1円」として、全国の提携先でのお買い物にすぐにご利用いただけます。
本メールは自動配信です。ご返信いただきましても対応いたしかねます。

CCCMKホールディングス株式会社 / 三井住友カード株式会社

2. メールヘッダー構造の徹底フォレンジック解析（伏字処理済）

Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=35.212.175.124;
	helo=mail28.ihsmqc.com; envelope-from=login@ykltxsqy.mail28.ihsmqc.com; receiver=******@**********.jp
Received: from mail28.ihsmqc.com (ihsmqc.com [35.212.175.124])
	by dmail03.********.net (Postfix) with ESMTP id 76BC2D3F52
	for <******@**********.jp>; Thu, 21 May 2026 09:14:18 +0900 (JST)

1. ■ 技術的アタックベクトルの解説
2. ■ 被害に遭わないためのセキュリティ対策

■ 技術的アタックベクトルの解説

① 真の送信元IPアドレスの特定
最下部の Received 行（最古の足跡）を確認すると、from mail28.ihsmqc.com (ihsmqc.com [35.212.175.124]) とあります。これにより、メールが世界中のどこから発送されたかが分かります。
送信元IPアドレスは 35.212.175.124（Google Cloud Platform、米国サーバー領域）に属していることが判明しました。公式の配信インフラではなく、パブリッククラウド上に構築された攻撃者独自の配信サーバーから射出されています。

② 認証を巧妙にパスする偽装トリック（SPF/DKIMの罠）
注目すべきは Received-SPF: Pass (sender SPF authorized) の記述です。
一見、認証が「Pass」しているため安全なメールに見えますが、これは「攻撃者が用意した捨てドメイン（ihsmqc.com）に対して、攻撃者自身が正しくSPF/DKIMを設定している」だけに過ぎません。
近年の主要受信サーバーが「送信ドメイン認証未設定のメール」を強力に拒否・スパム判定（DMARC等による弾き）することへの対抗策として、犯罪者側も正規の手続きを踏んでドメインを運用するという、極めて小賢しい技術的偽装を行っています。

③ 宛先の配送構造
この攻撃メールは、標的アドレスである ******@**********.jp を狙い打ちにして送信されました。途中で dmail03、fmail21、mas17 といった中継サーバーを経由し、最終的なメールボックスへとデリバリーされています。

3. 誘導先フィッシングサイトの現状と安全な遮断状況

【アクセス拒否エラー画面】

メール内に設置された不正リンク（URL：hxxps://wxx.ykltxsqy.mail28.ihsmqc.com/xxxx 等の形式。二次被害防止のため伏字および無効化）をクリックした場合の、動的挙動の検証を行いました。

現時点において該当URLへアクセスを試みると、上記のスクリーンショット通り「アクセス拒否：リクエストがブロックされました。後ほどお試しください。ファイアウォールで保護されています」という赤い×マークの警告画面が出力され、フィッシングサイトのログイン画面そのものは表示されない状態となっています。

この現象が発生している背景には、以下の3つのセキュリティ技術的要因が考えられます。

セキュリティベンダー・WAFによる早期ブラックリスト化： 攻撃の波が検知された直後、世界的なセキュリティインフラ、あるいは中継するホスティング事業者のWebアプリケーションファイアウォール（WAF）が、このドメインを「悪意あるサイト」として検知・強制遮断した。
攻撃者による地域制限（ジオフェンシング）： 攻撃者が「一般の日本人カモ」のみを引っ掛ける目的で、セキュリティ調査会社のクローラーIPや、特定の海外プロキシからのアクセスをファイアウォールで自発的に拒否（ブロック）するよう設定しているケース。
サーバーのアカウント凍結： 通報等により、利用されているクラウド・レンタルサーバー側が、利用規約違反としてコンテンツをすでに強制非公開にした可能性。

【最重要警告】
現在はアクセスが遮断され安全が保たれているように見えますが、これは攻撃が終了したことを意味しません。攻撃者は数時間単位でドメインの文字列を微妙に変更し（例：mail29、mail30など）、全く新しいURLのフィッシングメールを再投下してくるのが常套手段です。絶対に油断してリンクをクリックしないよう強く警告します。

■ 被害に遭わないためのセキュリティ対策

「ご当選」「アカウント一時停止」「至急確認」という過度に感情を煽るキーワードが含まれるメールは、一律でフィッシングの疑いを持って対応してください。
メールに記載されているリンク（URL）から直接ログインを行うことは絶対に避けてください。日常的に利用している公式アプリ、あるいは事前にブラウザへ登録した「ブックマーク（お気に入り）」からのみ公式サイトへアクセスする習慣を徹底してください。
送信元アドレスの表示名（今回であれば「Vポイント事務局」）が正しく見えても、実アドレスのドメイン（@...ihsmqc.com）がデタラメである場合は100%詐欺です。必ずアドレスの「@以降」を確認してください。

Reported by Heartland-Lab Cybersecurity Analysis Team