フィッシング

【検証】Appleを装ったメール「【重要】サブスクリプション更新のお知らせ」はフィッシングメールか？

【検証】Appleを装ったメール「【重要】サブスクリプション更新のお知らせ」はフィッシングメールか？

※この記事は、実際に届いたメール（.eml）をもとに、技術的観点から内容を検証し、証拠（ヘッダ／RDAP／TLS／リダイレクト結果）を整理したものです。

※危険回避のため、URL/ドメイン/メールアドレス/IPは hxxp(s)・[.]・[@] で難読化しています。

結論

本文の誘導URL・送信元/経路・認証結果・RDAP/TLS証拠の観点から、フィッシングの可能性が高いメールと判断できます。

このメールの怪しいポイント

  • FromとReturn-Pathが不一致：apple[.]comを名乗っていますが、実際の送信元は mail15[.]adhocwine-cac[.]com です
  • メール認証に失敗：SPF/DMARC が pass ではありません。正規の送信元ではない可能性が高いです
  • 怪しいTLDを使用：.cfd は詐欺サイトに多用されるTLDです（www[.]neonflare[.]cfd）
  • 非常に新しいドメイン：www[.]neonflare[.]cfd は登録からわずか0日（2026-01-05登録）
  • 非常に新しいドメイン：neonflare[.]cfd は登録からわずか0日（2026-01-05登録）
  • ブランド偽装を検出：Appleを偽装していますが、メール内のリンク先は正規ドメインではありません
  • 検知回避リダイレクト：セキュリティスキャンを検知すると、正規サイトにリダイレクトして逃れる手法が使われています
  • Cloudflareで実サーバーを隠蔽：フィッシングサイトはCloudflareを使用しており、実際のサーバーIPが特定できません

判定：複数の重大な警告があります。このメールはほぼ確実にフィッシング詐欺です。

受信したメールの概要

  • 件名：【重要】サ ブスクリプシ ョン更新のお 知らせ
  • 受信日時（ヘッダ）：Tue, 06 Jan 2026 10:39:48 +0930
  • 表示上の差出人：Appleサポート <no-reply[@]apple[.]com>
  • Return-Path：<mlbybil[@]mail15[.]adhocwine-cac[.]com>

メール本文（原文：難読化）

メール認証結果（SPF/DKIM/DMARC）

認証方式 結果 意味
SPF SOFTFAIL 送信元IPがドメインの許可リストに含まれていません（偽装の可能性）
DMARC FAIL ドメインポリシーに違反しています（なりすましの可能性）
  • smtp.mailfrom: mlbybil
  • header.from: apple

受信側の補足：mx.google.com; spf=softfail (google.com: domain of transitioning mlbybil@mail15.adhocwine-cac.com does not designate 163.44.89.63 as permitt…

認証結果の判定：メール認証に失敗しているため、このメールは正規の送信元から送られたものではない可能性が高いです。

ドメイン登録日

ドメイン 登録日 経過日数 判定
www[.]neonflare[.]cfd 2026-01-05 0日 非常に新しい（要注意）
support[.]apple[.]com 1987-02-19 14201日 —
www[.]apple[.]com 1987-02-19 14201日 —
neonflare[.]cfd 2026-01-05 0日 非常に新しい（要注意）

注意：登録から7日以内のドメインは、フィッシング目的で取得された可能性が非常に高いです。正規のサービスが突然新しいドメインを使うことは稀です。

インフラ情報（ホスティング・国）

送信元サーバー

IP 国 事業者 備考
163[.]44[.]89[.]63 日本 Japan Network Information Center

フィッシングサイト

IP 国 事業者 備考
104[.]21[.]29[.]95 不明 Cloudflare Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
172[.]67[.]148[.]186 不明 Cloudflare Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
2606:4700:3034::6815:1d5f 不明 Cloudflare Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
2606:4700:3036::ac43:94ba 不明 Cloudflare Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
23[.]42[.]69[.]47 不明 Akamai Technologies, Inc.

送信元サーバを確認します（Receivedヘッダ → 送信経路IP）

送信元候補IP: 163[.]44[.]89[.]63 / 国: 日本

  • 163[.]44[.]89[.]63 （送信元候補）
  • 34[.]97[.]79[.]11
  • 11[.]79[.]97[.]34

※ここは「メールの送信経路上で観測されたIP」です。リンク先サーバのIPとは別です。

メール内リンクの遷移先を確認します（URL抽出＋リダイレクト追跡）

リンク

抽出URL：hxxps://www[.]neonflare[.]cfd/hfldoljsdeqmMffvqtorxt

チェーン

  1. hxxps://www[.]neonflare[.]cfd/hfldoljsdeqmMffvqtorxt
  2. hxxps://www[.]neonflare[.]cfd/y1.html

最終URL：hxxps://www[.]neonflare[.]cfd/y1.html

注記：client_side_redirect

遷移先サイトの解決IP（DNS）

  • 104[.]21[.]29[.]95
  • 172[.]67[.]148[.]186
  • 2606:4700:3034::6815:1d5f
  • 2606:4700:3036::ac43:94ba

リンク

抽出URL：hxxps://support[.]apple[.]com/ja-jp

最終URL：hxxps://support[.]apple[.]com/ja-jp

遷移先サイトの解決IP（DNS）

  • 23[.]42[.]69[.]47

リンク

抽出URL：hxxps://www[.]apple[.]com/jp/legal/internet-services/itunes/renwal-notice.html

最終URL：hxxps://www[.]apple[.]com/jp/legal/internet-services/itunes/renwal-notice.html

遷移先サイトの解決IP（DNS）

  • 23[.]217[.]69[.]53
  • 2600:140b:1a00:79b::1aca
  • 2600:140b:1a00:78b::1aca

リンク

抽出URL：hxxps://www[.]apple[.]com/jp/privacy

チェーン

  1. hxxps://www[.]apple[.]com/jp/privacy
  2. hxxps://www[.]apple[.]com/jp/privacy/

最終URL：hxxps://www[.]apple[.]com/jp/privacy/

注記：evasive_redirect_to_safe

遷移先サイトの解決IP（DNS）

  • 23[.]217[.]69[.]53
  • 2600:140b:1a00:79b::1aca
  • 2600:140b:1a00:78b::1aca

リンク

抽出URL：hxxps://support[.]apple[.]com/ja-jp/contact

最終URL：hxxps://support[.]apple[.]com/ja-jp/contact

遷移先サイトの解決IP（DNS）

  • 23[.]42[.]69[.]47

※ここは「メール内リンクの遷移先（サイト側）」の情報です。送信元IP（Received）とは別です。

RDAP証拠（whois相当：引用）

※この証拠が示す意味：登録日が直近・海外レジストラ・NSが無関係などが重なるほど、なりすまし（フィッシング）である蓋然性が上がります。

※以下はRDAPレスポンスから 再現性のある要点 を固定形式で抜粋したものです。

ドメイン（登録情報）

IPアドレス（割り当て/組織/国）

TLS証明書の整合性（引用）

※危険回避のため、ドメイン/IPは [.] 形式で難読化して掲載しています。

対処方法

  • メール内リンクはクリックしない
  • 公式アプリ／公式サイト（ブックマーク）から直接ログインして状況確認
  • ID・パスワードを入力した場合は、直ちにパスワード変更（使い回しも含めて）
  • カード情報を入力した場合は、カード会社へ連絡し利用停止・調査
  • 不安なら、同様の連絡が公式にも出ているか（公式お知らせ/サポート）を確認

※解析メモ：.emlのSHA-256 = b20e0dc9d4d4ae75ed5afc44e9a0068a355e162d9576a59f2ab394e7bbf97843

関連記事

著者紹介：CCSIセキュリティメディア編集部

CCSIセキュリティメディア編集部 サイバーセキュリティメディア、CCSI編集部です。


カテゴリ：,
タグ：,