フィッシング

【検証】Pairsを装ったメール「【Pairs公式】年間感謝祭 特 別プレゼントNo.xxxxx」はフィッシング詐欺か？

【検証】Pairsを装ったメール「【Pairs公式】年間感謝祭 特 別プレゼントNo.92197」はフィッシング詐欺か検証する

※この記事は、実際に届いたメール（.eml）をもとに、技術的観点から真偽を検証したものです。

受信したメールの概要

  • 件名：【Pairs公式】年間感謝祭 特 別プレゼントNo.92197
  • 受信日時（ヘッダ）：Sun, 04 Jan 2026 16:45:46 +0800
  • 表示上の差出人：Pairs サービス運営チーム <helpo@pawmosa.com>

メール本文（原文）

まずは送信元を確認します（From / Return-Path）

  • From：Pairs サービス運営チーム <helpo@pawmosa.com>
  • Return-Path：<helpo@pawmosa.com>

表示名は公式に見せかけられますが、実際のドメインが公式と一致するかが重要です。

送信元サーバーIP（メール送信経路：Received/SPF）

  • 163.44.89.68

ここに 公式の配信基盤と無関係なIP が含まれる場合、なりすましの可能性が高まります。

メール内リンクの遷移先を確認します（URL抽出）

  • hxxps://weitehli[.]com/PUKAiQNHOP

※安全のため、この記事ではリンク先へアクセスせず、文字列としてのURLのみ検証対象とします。

リダイレクト解析（入口→最終）

※危険回避のため、URLは hxxp(s)・[.]・[@] で難読化して掲載しています。

入口URL

hxxps://weitehli[.]com/PUKAiQNHOP

最終URL（サーバ観測）

hxxps://pairs[.]jpdeakei[.]com/

調査対象候補（最終の一つ前）

hxxps://weitehli[.]com/PUKAiQNHOP

チェーン
  • hxxps://weitehli[.]com/PUKAiQNHOP
  • hxxps://pairs[.]jpdeakei[.]com/

注記：evasive_redirect_to_safe

遷移先サイトのIP（URLの名前解決）

※ここに出るIPは「メール内リンクのアクセス先サーバ（遷移先）」を示します。

  • weitehli[.]com → 43[.]133[.]200[.]33

IOC（危険指標）一覧

※危険回避のため、IOCは hxxp(s)・[.]・[@] で難読化して掲載しています。

メールアドレス

  • Pairs サービス運営チーム <helpo[@]pawmosa[.]com>
  • <helpo[@]pawmosa[.]com>

URL

  • hxxps://weitehli[.]com/PUKAiQNHOP

送信元サーバーIP（RDAP）

  • 163[.]44[.]89[.]68

TLS証明書の整合性（引用）

※危険回避のため、ドメインは [.] 形式で難読化して掲載しています。

weitehli[.]com

RDAP証拠（whois相当：引用）

※この証拠が示す意味：登録日が直近・海外レジストラ・NSが無関係などが重なるほど、なりすまし（フィッシング）である蓋然性が上がります。

※以下はRDAPレスポンスから 再現性のある要点 を固定形式で抜粋したものです。

ドメイン

送信元サーバーIP（RDAP）

（IPのRDAP情報は取得できませんでした）

実際の画面（スクリーンショット）

総合判断

上記の要素（送信元・送信経路・リンク先・RDAP証拠）を総合すると、フィッシング詐欺の可能性が高いと判断できます。

対処方法

  • メール内リンクはクリックしない
  • 公式アプリ／ブックマークから直接ログインして状況確認
  • ID・パスワードを入力した場合は、直ちにパスワード変更（使い回しも含めて）
  • カード情報を入力した場合は、カード会社へ連絡し利用停止・調査

※解析メモ：.emlのSHA-256 = ec5971ba08faf89b68b95ffb801319f8adaa0e83711dc3e1ea9d295a670de4db

関連記事

著者紹介：CCSIセキュリティメディア編集部

CCSIセキュリティメディア編集部 サイバーセキュリティメディア、CCSI編集部です。


カテゴリ：,
タグ：