フィッシング

2026/1/9

「【ファミリーマート公式】ご愛顧感謝3 ,000ポイント進呈のお知らせ」はフィッシング詐欺か検証する

フィッシングメール（詐欺メール）が届きました。

このメールは、受信者を偽のウェブサイトに誘導し、個人情報やクレジットカード情報を盗み取ることを目的としています。

※この記事は、実際に届いたメール（.eml）をもとに、技術的観点から内容を検証し、証拠（ヘッダ／RDAP／TLS／リダイレクト結果）を整理したものです。

※危険回避のため、URL/ドメイン/メールアドレス/IPは hxxp(s)・[.]・[@] で難読化しています。

このメールの怪しいポイント

見出し

1 このメールの怪しいポイント
2 このフィッシングの手口
- 2.1 今回のメールの特徴
- 2.2 【技術解説】URL偽装の仕組み
3 もし情報を入力してしまうと…
4 技術的な検証結果
- 4.1 受信したメールの概要
- 4.2 メール本文（原文：難読化）
5 メール認証結果（SPF/DKIM/DMARC）
6 送信元ドメインの検査
- 6.1 cciag[.]com（From / Return-Path）
7 インフラ情報（ホスティング・国）
- 7.1 送信元サーバー
- 7.2 フィッシングサイト
8 送信元サーバを確認します（Receivedヘッダ → 送信経路IP）
9 メール内リンクの遷移先を確認します（URL抽出＋リダイレクト追跡）
10 フィッシングサイト稼働状況
11 PhishTank照合結果
12 RDAP証拠（whois相当：引用）
- 12.1 ドメイン（登録情報）
- 12.2 IPアドレス（割り当て/組織/国）
13 TLS証明書の整合性（引用）
14 フィッシングメールの見分け方
- 14.1 今回のメールで確認できる不審点
- 14.2 被害に遭った場合の相談窓口
15 対処方法

メール認証に失敗：SPF/DMARC が pass ではありません。正規の送信元ではない可能性が高いです
フィッシングサイトが運用中：リンク先のサイトが現在も稼働しています。絶対にアクセスしないでください
URL偽装（userinfo詐称）を検出：見た目は「nfnappup[.]com」に見えますが、実際の接続先は「dnhsad[.]cn」です。URLの@より前の部分（userinfo）は無視されます
Cloudflareで実サーバーを隠蔽：フィッシングサイトはCloudflareを使用しており、実際のサーバーIPが特定できません

判定：複数の重大な警告があります。このメールはほぼ確実にフィッシング詐欺です。

このフィッシングの手口

偽装メールの送信：「FamilyMart」を名乗り、もっともらしい件名でメールを送信します。
緊急性を演出：「期間中に限りポイント進呈」など、焦らせる文言を使います。
偽サイトへ誘導：メール内のリンクをクリックさせ、本物そっくりの偽ログインページへ誘導します。
情報の窃取：ID・パスワード・クレジットカード情報などを入力させ、盗み取ります。
悪用：盗んだ情報で不正ログイン、不正購入、個人情報の転売などを行います。

今回のメールの特徴

メール内のリンク先は「dnhsad[.]cn」など、正規のドメインではありません。
メール認証（SPF）に失敗しており、正規の送信元ではないことが技術的に証明されています。
URL偽装（userinfo詐称）：リンクは「nfnappup[.]com」に見えますが、実際の接続先は「dnhsad[.]cn」です。URLの@より前は無視される仕組みを悪用しています。

【技術解説】URL偽装の仕組み

URLはRFC 3986で定義されており、以下の構造を持っています：

scheme://[userinfo@]host/path?query#fragment

1	scheme://[userinfo@]host/path?query#fragment

@ より左側は「ユーザー情報（userinfo）」→ ブラウザは認証情報として扱い、接続先には影響しない
@ より右側が「ホスト名」→ 実際の接続先

例：

https://www.example.jp@malicious.cn/path

1	https://www.example.jp@malicious.cn/path

見た目：「www.example.jp」のサイトに見える
実際の接続先：malicious.cn（攻撃者のサーバー）

さらに巧妙な手口として、通常のスラッシュ「/」(U+002F) の代わりに、見た目がよく似た別のUnicode文字を使うことがあります：

∕ DIVISION SLASH (U+2215)
⁄ FRACTION SLASH (U+2044)
／ FULLWIDTH SOLIDUS (U+FF0F)

これにより、URLがパス区切りを含む通常のURLに見えますが、実際にはすべて userinfo の一部として扱われ、無視されます。

もし情報を入力してしまうと…

このフィッシングサイトで情報を入力してしまった場合、以下のような被害が想定されます。

アカウントが乗っ取られる
個人情報が流出する
金銭的な被害を受ける

もし入力してしまった場合は：

すぐにパスワードを変更してください（使い回している他サービスも含めて）
クレジットカード情報を入力した場合は、カード会社に連絡して利用停止してください
不正利用がないか、明細を確認してください

技術的な検証結果

以下では、実際に届いたメールのヘッダ情報・認証結果・リンク先の調査結果など、技術的な証拠を詳しく解説します。

受信したメールの概要

件名：【ファミリーマート公式】ご愛顧感謝3 ,000ポイント進呈のお知らせ
受信日時（ヘッダ）：Fri, 09 Jan 2026 12:40:38 +0900
表示上の差出人：FamilyMart <amakawadaichinakano[@]cciag[.]com>
Return-Path：<amakawadaichinakano[@]cciag[.]com>

メール本文（原文：難読化）

クリックで本文を表示

ファミリーマートキャンペーン









ファミリーマート ご愛顧感謝キャンペーン

いつもファミリーマートをご利用いただきありがとうございます。
下記の通り、特別キャンペーンのご案内です。
【特典内容】期間中にご参加いただいた方へ3,000ファミペイポイントを進呈いたします。 

参加手順 

  下記リンクをタップ 
  ログインページに遷移 
  手続き完了後、ポイント付与 

▶ 
ポイントを受け取る 
※お客様の登録情報に誤りがある場合、ポイントが反映されないことがございます。 
プライバシーポリシー｜ 利用規約｜ お問い合わせ 
本メールは送信専用です。返信には対応できません。© FamilyMart Co., Ltd. All rights 
reserved.

ファミリーマートキャンペーン

ファミリーマートご愛顧感謝キャンペーン

いつもファミリーマートをご利用いただきありがとうございます。

下記の通り、特別キャンペーンのご案内です。

【特典内容】期間中にご参加いただいた方へ3,000ファミペイポイントを進呈いたします。

参加手順

下記リンクをタップ

ログインページに遷移

手続き完了後、ポイント付与

▶

ポイントを受け取る

※お客様の登録情報に誤りがある場合、ポイントが反映されないことがございます。

プライバシーポリシー｜利用規約｜お問い合わせ

本メールは送信専用です。返信には対応できません。© FamilyMart Co., Ltd. All rights

reserved.

メール認証結果（SPF/DKIM/DMARC）

認証方式	結果	意味
SPF	NONE	送信元IPがドメインの許可リストに含まれていません（偽装の可能性）
DMARC	FAIL	ドメインポリシーに違反しています（なりすましの可能性）

smtp.mailfrom: amakawadaichinakano
header.from: cciag

受信側の補足：mx.google.com; spf=none (google.com: amakawadaichinakano@cciag.com does not designate permitted sender hosts) smtp.mailfrom=amakawadaichinak…

認証結果の判定：メール認証に失敗しているため、このメールは正規の送信元から送られたものではない可能性が高いです。

送信元ドメインの検査

メールの送信に使用されたドメイン（From / Return-Path）を調査しました。

cciag[.]com（From / Return-Path）

登録日	2007-09-28（6677日前）
ネームサーバー	`DOCKS02[.]RZONE[.]DE, SHADES13[.]RZONE[.]DE`
ステータス	`active`

インフラ情報（ホスティング・国）

送信元サーバー

IP	国	事業者	備考
`163[.]44[.]89[.]88`	日本	Japan Network Information Center

フィッシングサイト

IP	国	事業者	備考
`172[.]67[.]215[.]134`	不明	Cloudflare	Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
`104[.]21[.]35[.]71`	不明	Cloudflare	Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
`2606:4700:3034::6815:2347`	不明	Cloudflare	Cloudflareを使用しており、実際のサーバーIPが隠蔽されています
`2606:4700:3034::ac43:d786`	不明	Cloudflare	Cloudflareを使用しており、実際のサーバーIPが隠蔽されています

送信元サーバを確認します（Receivedヘッダ → 送信経路IP）

送信元候補IP: 163[.]44[.]89[.]88 / 国: 日本

163[.]44[.]89[.]88 （送信元候補）
119[.]132[.]40[.]89

※ここは「メールの送信経路上で観測されたIP」です。リンク先サーバのIPとは別です。

メール内リンクの遷移先を確認します（URL抽出＋リダイレクト追跡）

リンク

抽出URL：hxxps://nfnappup[.]com[/]CBSmTgYht[/]xDcuqZu[/]FaTiOfgnVo[@]dnhsad[.]cn

⚠ URL偽装を検出： 見た目は「nfnappup[.]com」ですが、実際の接続先は「dnhsad[.]cn」です。

実際の接続先URL：hxxps://dnhsad[.]cn

最終URL：hxxps://nfnappup[.]com[/]CBSmTgYht[/]xDcuqZu[/]FaTiOfgnVo[@]dnhsad[.]cn

調査対象URL（フィッシングサイト）：hxxps://dnhsad[.]cn

注記：userinfo_spoofing

遷移先サイトの解決IP（DNS）

172[.]67[.]215[.]134
104[.]21[.]35[.]71
2606:4700:3034::6815:2347
2606:4700:3034::ac43:d786

リンク

抽出URL：hxxps://qeyesk[.]com/wEHntGN/inbox/fcNraRqv2SI/Kav_LoF/wishlist/zo-UvxMij6woU6/ROWvmLi7/history/JLJQFdQNtq-XS/ap9Ana/app/hRZxg/offers/wQ1XiB/settings?user_agent=1HH2w8gw8b&category=II_Yl&session=wREA9XRSsF&cart_id=Pr9nqDheUT

最終URL：hxxps://qeyesk[.]com/wEHntGN/inbox/fcNraRqv2SI/Kav_LoF/wishlist/zo-UvxMij6woU6/ROWvmLi7/history/JLJQFdQNtq-XS/ap9Ana/app/hRZxg/offers/wQ1XiB/settings?user_agent=1HH2w8gw8b&category=II_Yl&session=wREA9XRSsF&cart_id=Pr9nqDheUT

注記：http_error

リンク

抽出URL：hxxps://fzgvoh[.]com/cp0z0/billing/ezexNvcQrl/DDRfOs/wishlist/GYEFxBwr1iOc/fYAOWrls/transactions/XdjDyKk-wGQY/H1VnfX49/coupons/8MevBPU/inbox/IntFIz/reviews?locale=ja-JP&token=rU4z71--JAiUbONM&utm_source=newsletter

最終URL：hxxps://fzgvoh[.]com/cp0z0/billing/ezexNvcQrl/DDRfOs/wishlist/GYEFxBwr1iOc/fYAOWrls/transactions/XdjDyKk-wGQY/H1VnfX49/coupons/8MevBPU/inbox/IntFIz/reviews?locale=ja-JP&token=rU4z71--JAiUbONM&utm_source=newsletter

注記：http_error

リンク

抽出URL：hxxps://ypwjttdqfr[.]com/ZGW8mf0/payment/YHKCyE/app/CsvyYESr/inbox/QqnrAI/history/-YFQSjZWKD3TD/OcGyb/tracking/FBjdcHgFNy/KYcg_/reviews?ref=l5tV7vDA&utm_source=newsletter&user_agent=putrOfpAl9&product=puZJN8Uc&clickid=nmodso_4HW6X&category=yTem1

最終URL：hxxps://ypwjttdqfr[.]com/ZGW8mf0/payment/YHKCyE/app/CsvyYESr/inbox/QqnrAI/history/-YFQSjZWKD3TD/OcGyb/tracking/FBjdcHgFNy/KYcg_/reviews?ref=l5tV7vDA&utm_source=newsletter&user_agent=putrOfpAl9&product=puZJN8Uc&clickid=nmodso_4HW6X&category=yTem1

注記：http_error

※ここは「メール内リンクの遷移先（サイト側）」の情報です。送信元IP（Received）とは別です。

フィッシングサイト稼働状況

※解析時点でのステータスです。フィッシングサイトは短期間でテイクダウンされることがあります。

URL	ステータス	詳細
`dnhsad[.]cn`	運用中 (HTTP 200)	運用中（要注意：フィッシングサイトが稼働しています）
`qeyesk[.]com/wEHntGN/inbox/fcNraRqv2SI/Kav_LoF/wishlist/z...`	テイクダウン済み	DNS解決失敗（ドメインが存在しないか、テイクダウン済み）
`fzgvoh[.]com/cp0z0/billing/ezexNvcQrl/DDRfOs/wishlist/GYE...`	テイクダウン済み	DNS解決失敗（ドメインが存在しないか、テイクダウン済み）
`ypwjttdqfr[.]com/ZGW8mf0/payment/YHKCyE/app/CsvyYESr/inbo...`	テイクダウン済み	DNS解決失敗（ドメインが存在しないか、テイクダウン済み）
`dnhsad[.]cn`	運用中 (HTTP 200)	運用中（要注意：フィッシングサイトが稼働しています）

警告：フィッシングサイトが現在も運用中です。絶対にアクセスしないでください。

PhishTank照合結果

PhishTankは、Cisco Talos Intelligence Groupが運営するフィッシングサイトの報告・検証データベースです。メール内のURLをPhishTankと照合した結果を表示します。

PhishTankに未登録

照合したURLはPhishTankに登録されていませんでした。ただし、未登録であってもフィッシングサイトである可能性は否定できません。新しいフィッシングサイトは登録されるまでに時間がかかることがあります。

照合URL	結果	報告状況
`hxxps://dnhsad[.]cn`	未登録	✓ CCSIで報告済み
`hxxps://qeyesk[.]com/wEHntGN/inbox/fcNraRqv2SI/Kav_LoF/wishlist/zo-UvxMij6woU6/ROWvmLi7/history/JLJQFdQNtq-XS/ap9Ana/app/hRZxg/offers/wQ1XiB/settings?user_agent=1HH2w8gw8b&category=II_Yl&session=wREA9XRSsF&cart_id=Pr9nqDheUT`	未登録	✓ CCSIで報告済み
`hxxps://fzgvoh[.]com/cp0z0/billing/ezexNvcQrl/DDRfOs/wishlist/GYEFxBwr1iOc/fYAOWrls/transactions/XdjDyKk-wGQY/H1VnfX49/coupons/8MevBPU/inbox/IntFIz/reviews?locale=ja-JP&token=rU4z71--JAiUbONM&utm_source=newsletter`	未登録	✓ CCSIで報告済み
`hxxps://ypwjttdqfr[.]com/ZGW8mf0/payment/YHKCyE/app/CsvyYESr/inbox/QqnrAI/history/-YFQSjZWKD3TD/OcGyb/tracking/FBjdcHgFNy/KYcg_/reviews?ref=l5tV7vDA&utm_source=newsletter&user_agent=putrOfpAl9&product=puZJN8Uc&clickid=nmodso_4HW6X&category=yTem1`	未登録	✓ CCSIで報告済み
`hxxps://nfnappup[.]com[/]CBSmTgYht[/]xDcuqZu[/]FaTiOfgnVo[@]dnhsad[.]cn`	未登録	✓ CCSIで報告済み

✓ PhishTankへの報告

このフィッシングURLは、CCSIからPhishTankに報告済みです。コミュニティによる検証後、データベースに登録されます。

照合日時: 2026-01-09T06:51:34+00:00 (UTC)

RDAP証拠（whois相当：引用）

※この証拠が示す意味：登録日が直近・海外レジストラ・NSが無関係などが重なるほど、なりすまし（フィッシング）である蓋然性が上がります。

※以下はRDAPレスポンスから 再現性のある要点 を固定形式で抜粋したものです。

ドメイン（登録情報）

（ドメインのRDAP情報は取得できませんでした）

IPアドレス（割り当て/組織/国）

RDAP証拠（IP）対象: 163[.]44[.]89[.]88 RDAP: https://rdap.apnic.net/ip/163.44.89.88 取得日時(UTC): 2026-01-09T06:51:28+00:00 org/name: Japan Network Information Center / country: 日本 range: 163.44.89.0 - 163.44.89.255 events: last changed=2025-07-23T02:44:05Z

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 163[.]44[.]89[.]88
RDAP: https://rdap.apnic.net/ip/163.44.89.88
取得日時(UTC): 2026-01-09T06:51:28+00:00
org/name: Japan Network Information Center / country: 日本
range: 163.44.89.0 - 163.44.89.255
events: last changed=2025-07-23T02:44:05Z

RDAP証拠（IP）対象: 119[.]132[.]40[.]89 RDAP: https://rdap.apnic.net/ip/119.132.40.89 取得日時(UTC): 2026-01-09T06:51:29+00:00 org/name: Chinanet Hostmaster / country: 中国 range: 119.128.0.0 - 119.143.255.255 events: registration=2008-09-04T07:21:30Z / last changed=2021-06-15T08:06:14Z

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 119[.]132[.]40[.]89
RDAP: https://rdap.apnic.net/ip/119.132.40.89
取得日時(UTC): 2026-01-09T06:51:29+00:00
org/name: Chinanet Hostmaster / country: 中国
range: 119.128.0.0 - 119.143.255.255
events: registration=2008-09-04T07:21:30Z / last changed=2021-06-15T08:06:14Z

RDAP証拠（IP）対象: 172[.]67[.]215[.]134 RDAP: https://rdap.arin.net/registry/ip/172.67.215.134 取得日時(UTC): 2026-01-09T06:51:29+00:00 org/name: Cloudflare, Inc. / country: range: 172.64.0.0 - 172.71.255.255 events: last changed=2024-09-04T07:54:28-04:00 / registration=2015-02-25T20:57:09-05:00

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 172[.]67[.]215[.]134
RDAP: https://rdap.arin.net/registry/ip/172.67.215.134
取得日時(UTC): 2026-01-09T06:51:29+00:00
org/name: Cloudflare, Inc. / country:
range: 172.64.0.0 - 172.71.255.255
events: last changed=2024-09-04T07:54:28-04:00 / registration=2015-02-25T20:57:09-05:00

RDAP証拠（IP）対象: 104[.]21[.]35[.]71 RDAP: https://rdap.arin.net/registry/ip/104.21.35.71 取得日時(UTC): 2026-01-09T06:51:30+00:00 org/name: Cloudflare, Inc. / country: range: 104.16.0.0 - 104.31.255.255 events: last changed=2024-09-04T06:51:26-04:00 / registration=2014-03-28T11:30:55-04:00

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 104[.]21[.]35[.]71
RDAP: https://rdap.arin.net/registry/ip/104.21.35.71
取得日時(UTC): 2026-01-09T06:51:30+00:00
org/name: Cloudflare, Inc. / country:
range: 104.16.0.0 - 104.31.255.255
events: last changed=2024-09-04T06:51:26-04:00 / registration=2014-03-28T11:30:55-04:00

RDAP証拠（IP）対象: 2606:4700:3034::6815:2347 RDAP: https://rdap.arin.net/registry/ip/2606%3A4700%3A3034%3A%3A6815%3A2347 取得日時(UTC): 2026-01-09T06:51:30+00:00 org/name: Cloudflare, Inc. / country: range: 2606:4700:: - 2606:4700:ffff:ffff:ffff:ffff:ffff:ffff events: last changed=2024-09-04T07:55:39-04:00 / registration=2011-11-01T15:59:58-04:00

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 2606:4700:3034::6815:2347
RDAP: https://rdap.arin.net/registry/ip/2606%3A4700%3A3034%3A%3A6815%3A2347
取得日時(UTC): 2026-01-09T06:51:30+00:00
org/name: Cloudflare, Inc. / country:
range: 2606:4700:: - 2606:4700:ffff:ffff:ffff:ffff:ffff:ffff
events: last changed=2024-09-04T07:55:39-04:00 / registration=2011-11-01T15:59:58-04:00

RDAP証拠（IP）対象: 2606:4700:3034::ac43:d786 RDAP: https://rdap.arin.net/registry/ip/2606%3A4700%3A3034%3A%3Aac43%3Ad786 取得日時(UTC): 2026-01-09T06:51:31+00:00 org/name: Cloudflare, Inc. / country: range: 2606:4700:: - 2606:4700:ffff:ffff:ffff:ffff:ffff:ffff events: last changed=2024-09-04T07:55:39-04:00 / registration=2011-11-01T15:59:58-04:00

1
2
3
4
5
6
7

RDAP証拠（IP）
対象: 2606:4700:3034::ac43:d786
RDAP: https://rdap.arin.net/registry/ip/2606%3A4700%3A3034%3A%3Aac43%3Ad786
取得日時(UTC): 2026-01-09T06:51:31+00:00
org/name: Cloudflare, Inc. / country:
range: 2606:4700:: - 2606:4700:ffff:ffff:ffff:ffff:ffff:ffff
events: last changed=2024-09-04T07:55:39-04:00 / registration=2011-11-01T15:59:58-04:00

TLS証明書の整合性（引用）

※危険回避のため、ドメイン/IPは [.] 形式で難読化して掲載しています。

TLS証拠対象ホスト: dnhsad[.]cn 解決IP: 172[.]67[.]215[.]134 SNIあり CN: dnhsad[.]cn SNIあり SAN: DNS:dnhsad.cn, DNS:*.dnhsad.cn SNIあり一致判定: match SNIなし: 取得失敗

1
2
3
4
5
6
7

TLS証拠
対象ホスト: dnhsad[.]cn
解決IP: 172[.]67[.]215[.]134
SNIあり CN: dnhsad[.]cn
SNIあり SAN: DNS:dnhsad.cn, DNS:*.dnhsad.cn
SNIあり一致判定: match
SNIなし: 取得失敗

TLS証拠対象ホスト: qeyesk[.]com SNIあり: 取得失敗 SNIなし: 取得失敗

1
2
3
4

TLS証拠
対象ホスト: qeyesk[.]com
SNIあり: 取得失敗
SNIなし: 取得失敗

TLS証拠対象ホスト: fzgvoh[.]com SNIあり: 取得失敗 SNIなし: 取得失敗

1
2
3
4

TLS証拠
対象ホスト: fzgvoh[.]com
SNIあり: 取得失敗
SNIなし: 取得失敗

TLS証拠対象ホスト: ypwjttdqfr[.]com SNIあり: 取得失敗 SNIなし: 取得失敗

1
2
3
4

TLS証拠
対象ホスト: ypwjttdqfr[.]com
SNIあり: 取得失敗
SNIなし: 取得失敗

フィッシングメールの見分け方

以下のポイントをチェックすることで、フィッシングメールを見分けることができます。

チェックポイント	正規メール	フィッシング
送信元アドレス	公式ドメイン	似ているが違うドメイン
リンク先URL	公式サイト	全く違うドメイン
文面の日本語	自然な文章	機械翻訳のような不自然さ
緊急性の演出	冷静な案内	「24時間以内」など焦らせる
宛名	氏名で呼びかけ	「お客様」など汎用的