【実録】ヤマト運輸「お届けｅメール【不在連絡】」詐欺、送信元はパキスタン・ドイツ・香港と国際分散も詐欺サイトの着地IPは完全一致

ご覧の通り、このメールはヤマト運輸を装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 届いた詐欺メールの内容
• 2. ■ 送信ルートと偽装判定
• 3. ■ 誘導先は完全に同一のサーバーだった
• 4. ■ 過去記事との関連
• 5. ■ 注意点と対処法

■ メールヘッダー解析（1通目・Thunderbird受信）

件名：[spam] 【ヤマト配送】お届けｅメール【不在連絡】

送信者名：ヤマト運輸株式会社

送信元アドレス：Conor@chiin.net

送信元IP（Received-SPF基準）：202.77.138.131（パキスタン・ラホール）

SPF判定：Softfail（ドメイン所有者がこのホストの使用を推奨せず）

受信日時：2026年7月19日 21:41

※メールヘッダー詳細は個人情報保護のため非掲載

▲ 1通目：Thunderbirdで受信した偽の不在連絡メール

■ メールヘッダー解析（2通目・ActiveMail受信）

件名：[spam] 【ヤマト配送】お届けｅメール【不在連絡】（1通目と完全一致）

送信者名：ヤマト運輸株式会社

送信元アドレス：January@cla-ss.com

送信元IP（Received-SPF基準）：95.114.117.214（ドイツ・ヴュルツブルク）

SPF判定：Softfail（ドメイン所有者がこのホストの使用を推奨せず）

受信日時：2026年7月19日 21:06

※メールヘッダー詳細は個人情報保護のため非掲載

▲ 2通目：ActiveMailで受信した同一文面の偽の不在連絡メール

※以下は届いた詐欺メールの本文を技術検証のために忠実に再現したものです（1通目・2通目とも本文は同一）。

ヤマト運輸からのお知らせ
尊敬なるヤマト運輸のユーザー様

本日、お客様宛てのお荷物をお届けに参りましたが、誠に残念ながらご不在でした。
お客様の大切なお荷物は、安全に最寄りの営業所にてお預かりしております。

配送詳細
・保管期限：2026/7/19 営業終了まで
・サービス：宅急便

ご注意：保管期限の延長はできませんので、ご了承ください。また、ご依頼主様の
ご指示により、保管期限前に返送されることがあります。

再配達のご案内
1. 保管期間中、お客様のご都合に合わせて再配達をお申し込みいただけます。
2. 再配達のお申し込みは、以下のボタンからお願いいたします。
3. 再配達には41円の費用が発生します。
4. ご不在時でも安心してお受け取りいただける「置き配」サービスもご用意して
   おります。

［再配達を申し込む］

注：24時間以内にご返信がない場合は、発送元に返送されます。

■ 送信元IPロケーション比較

位置情報：
1通目：【Googleマップで表示】（パキスタン・ラホール）
2通目：【Googleマップで表示】（ドイツ・ヴュルツブルク）

※いずれも一般家庭・法人向け回線のため、乗っ取られた端末が踏み台として悪用されている可能性があります。表示された住所が「攻撃者本人の所在地」とは限りません。

💡 ここで！用語解説：SPF Softfail（ソフトフェイル）とは

SPF（Sender Policy Framework）は、メールが「本当にそのドメインの持ち主から送られたか」を確認する仕組みです。Softfailは、ドメインの持ち主が「このサーバーからのメール送信は推奨していない」と設定しているにもかかわらず届いた状態を指します。完全な失敗（Fail）ほど強い拒否ではありませんが、「怪しいので注意」というサインです。正規のヤマト運輸からのメールでこの判定が出ることはありません。

■ フィッシングサイト詳細解析

誘導先URL（1通目・伏せ字）：hxxps://altarian.yunspib[.]cn/8Hg97ml/loginbab

誘導先URL（2通目・伏せ字）：hxxps://leviization.obktclg[.]cn/8Hg97ml/loginbab

2つのURLはドメイン名こそ異なりますが、URLの末尾のパス「/8Hg97ml/loginbab」が完全に一致し、さらにDNSで名前解決すると、どちらも同じIPアドレス「43.165.167.152」に着地することが判明しました。

着地サーバーの組織：Shenzhen Tencent Computer Systems Company Limited（中国・深セン、Tencent Cloud）

ロケーション表示について：調査ツール上の地図では「東京都渋谷区」と表示されましたが、回線を提供する組織名は深セン（中国）のTencent Cloudです。クラウドサービス特有の位置情報のズレと考えられ、表示上の東京都渋谷区という住所は実際の運営拠点を示していない可能性が高いため、本記事ではGoogleマップの掲載を見送ります。

クローキングの確認：PCブラウザでアクセスすると真っ白なページが表示されるのに対し、スマートフォンでアクセスすると精巧な偽サイトが表示されました。さらに、接続開始から画面表示までに約30秒の遅延があったことも確認しています。この遅延は、サーバー側がアクセス元の環境を判定する処理に時間を要している可能性を示唆しており、単純な静的ページの表示速度としては不自然です。

▲ スマートフォンでのみ表示される偽の「配達依頼」画面。荷物番号は固定表示の作り物です

▲「配達情報を更新」を押すと表示される、氏名・電話番号・住所を要求する入力フォーム

▲ トレンドマイクロ社のウイルスバスターが1通目のリンク先をフィッシングとしてブロック

▲ 2通目のリンク先も同様にブロック。ドメインは違えど挙動は完全に同一でした

1. URLを絶対にクリックしない：リンク先は個人情報を盗むための精巧な偽サイトです。
2. 不在連絡は公式アプリで確認：本当に荷物が保管されているか気になる場合は、メール内のリンクではなく、公式アプリやヤマト運輸の公式サイトをブックマークからご自身でアクセスして確認してください。
3. 「送信元が違うから大丈夫」は通用しない：送信元のドメインや国がバラバラでも、文面が同じであれば同一グループ・同一キットによる詐欺の可能性が高いです。
4. 個人情報を入力しない：氏名・電話番号・住所を求めるフォームには絶対に入力しないでください。
5. 公式注意喚起の参照：ヤマト運輸 公式サイト（お客様サポート）

本レポートの結論

「送信元は毎回変わるのに、詐欺サイトの着地先はいつも同じ」——今回の調査で見えてきたのは、フィッシング業界における分業の実態でした。メールをばらまく係と、実際に情報を盗み取るサイトを運営する係が、別々に動いている可能性が高いのです。だからこそ「送信元が変わった」「デザインが違う」といった表面的な違いに惑わされず、リンクを踏まないという基本を徹底することが一番の防御になります。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。