フィッシング

Appleを装ったメール「お支払い情報の更新が必要です」はフィッシングか検証する


Apple」を装ったフィッシングメールが届きました。

IT企業や通信サービスを装ったフィッシングです。アカウント乗っ取りによる二次被害のリスクがあります。

 

このメールは「サブスクリプション」のパターンに該当します。「サブスクリプションの更新が必要です」などと偽り、クレジットカード情報の入力を求めます。

※この記事は、実際に届いたメール(.eml)をもとに、技術的観点から内容を検証し、証拠(ヘッダ/RDAP/TLS/リダイレクト結果)を整理したものです。

※危険回避のため、URL/ドメイン/メールアドレス/IPは hxxp(s)[.][@] で難読化しています。

このメールの怪しいポイント

  • メール認証に失敗:SPF/DMARC が pass ではありません。正規の送信元ではない可能性が高いです
  • ブランド偽装を検出:Appleを偽装していますが、メール内のリンク先は正規ドメインではありません
  • 検知回避リダイレクト:セキュリティスキャンを検知すると、正規サイトにリダイレクトして逃れる手法が使われています
  • フィッシングサイトが運用中:リンク先のサイトが現在も稼働しています。絶対にアクセスしないでください
  • 海外サーバーで運用:フィッシングサイトはシンガポールのサーバー(8[.]216[.]0[.]246)で運用されています。日本のサービスを装ったサイトが海外サーバーにあるのは不自然です
  • 遅延リダイレクトの可能性:フィッシングサイトのHTML内に別の不審なURL(www[.]apple[.]com[.]cn)が含まれています。JavaScriptで数秒後に自動転送される可能性があります

判定:複数の重大な警告があります。このメールはほぼ確実にフィッシング詐欺です。

このフィッシングの手口

このメールは「サブスクリプション」型の一般的な手口です。

  1. 偽装メールの送信:「Apple」を名乗り、もっともらしい件名でメールを送信します。
  2. 緊急性を演出:「すぐに対応しないとアカウントが停止される」など、焦らせる文言を使います。
  3. 偽サイトへ誘導:メール内のリンクをクリックさせ、本物そっくりの偽ログインページへ誘導します。
  4. 情報の窃取:ID・パスワード・クレジットカード情報などを入力させ、盗み取ります。
  5. 悪用:盗んだ情報で不正ログイン、不正購入、個人情報の転売などを行います。

今回のメールの特徴

  • メール内のリンク先は「hgbzc[.]cn」など、正規のドメインではありません。
  • メール認証(SPF)に失敗しており、正規の送信元ではないことが技術的に証明されています。
  • 海外サーバー:リンク先のサイトはシンガポールのサーバーで運用されています。日本のサービスを装ったサイトとしては不自然な立地です。

もし情報を入力してしまうと…

このフィッシングサイトで情報を入力してしまった場合、以下のような被害が想定されます。

  • アカウントが乗っ取られ、個人データが流出する
  • クラウドに保存した写真・ファイルが盗まれる
  • 乗っ取ったアカウントで知人に詐欺メッセージが送られる
  • 二段階認証を解除され、他のサービスにも被害が広がる
もし入力してしまった場合は:

  • すぐにパスワードを変更してください(使い回している他サービスも含めて)
  • クレジットカード情報を入力した場合は、カード会社に連絡して利用停止してください
  • 不正利用がないか、明細を確認してください

技術的な検証結果

以下では、実際に届いたメールのヘッダ情報・認証結果・リンク先の調査結果など、技術的な証拠を詳しく解説します。

受信したメールの概要

  • 件名:お支払い情報の更新が必要です
  • 受信日時(ヘッダ):Tue, 27 Jan 2026 13:57:10 +0800
  • 表示上の差出人:“Apple” <no_reply[@]email[.]apple[.]com>
  • Return-Path:<no_reply[@]email[.]apple[.]com>

メール本文(原文:難読化)

クリックで本文を表示

メール認証結果(SPF/DKIM/DMARC)

認証方式 結果 意味
SPF SOFTFAIL 送信元IPがドメインの許可リストに含まれていません(偽装の可能性)
DMARC FAIL ドメインポリシーに違反しています(なりすましの可能性)
  • smtp.mailfrom: no_reply
  • header.from: email

受信側の補足:mx.google.com; spf=softfail (google.com: domain of transitioning no_reply@email.apple.com does not designate 163.44.89.81 as permitted sende…

認証結果の判定:メール認証に失敗しているため、このメールは正規の送信元から送られたものではない可能性が高いです。

送信元ドメインの検査

メールの送信に使用されたドメイン(From / Return-Path)を調査しました。

email[.]apple[.]com(From / Return-Path)

登録日 1987-02-19(14222日前)
ネームサーバー A[.]NS[.]APPLE[.]COM, B[.]NS[.]APPLE[.]COM, C[.]NS[.]APPLE[.]COM
ステータス client delete prohibited, client transfer prohibited, client update prohibited, server delete prohibited, server transfer prohibited
注意:正規の Apple のドメインではありません。

ドメイン登録日

ドメイン 登録日 経過日数 判定
support[.]apple[.]com 1987-02-19 14222日
www[.]apple[.]com 1987-02-19 14222日

インフラ情報(ホスティング・国)

送信元サーバー

IP 事業者 備考
163[.]44[.]89[.]81 日本 Japan Network Information Center

フィッシングサイト

IP 事業者 備考
23[.]42[.]69[.]47 不明 Akamai Technologies, Inc.
184[.]31[.]228[.]249 不明 Akamai Technologies, Inc.
2600:140b:1a00:d9d::1aca 不明 Akamai Technologies, Inc.
2600:140b:1a00:d9f::1aca 不明 Akamai Technologies, Inc.
2600:140b:1a00:da0::1aca 不明 Akamai Technologies, Inc.

送信元サーバを確認します(Receivedヘッダ → 送信経路IP)

送信元候補IP: 163[.]44[.]89[.]81 / 国: 日本

  • 163[.]44[.]89[.]81 (送信元候補)
  • 114[.]231[.]216[.]77

※ここは「メールの送信経路上で観測されたIP」です。リンク先サーバのIPとは別です。

メール内リンクの遷移先を確認します(URL抽出+リダイレクト追跡)

リンク

抽出URL:hxxps://support[.]apple[.]com/jp

遷移先サイトの解決IP(DNS)

  • 23[.]42[.]69[.]47

リンク

抽出URL:hxxps://www[.]apple[.]com/jp/legal/internet-services/terms/site.html

遷移先サイトの解決IP(DNS)

  • 184[.]31[.]228[.]249
  • 2600:140b:1a00:d9d::1aca
  • 2600:140b:1a00:d9f::1aca
  • 2600:140b:1a00:da0::1aca
  • 2600:140b:1a00:d9a::1aca
  • 2600:140b:1a00:d9b::1aca
⚠ 潜在的な遅延リダイレクト先を検出:

このページには、JavaScriptによる遅延リダイレクト(数秒後に自動転送)が仕込まれている可能性があります。以下のURLへ転送される恐れがあります:

  • hxxps://www[.]apple[.]com[.]cn/legal/internet-services/terms/site.html

リンク

抽出URL:hxxps://www[.]apple[.]com/jp/legal/intellectual-property/

遷移先サイトの解決IP(DNS)

  • 184[.]31[.]228[.]249
  • 2600:140b:1a00:d9a::1aca
  • 2600:140b:1a00:da0::1aca
  • 2600:140b:1a00:d9f::1aca
  • 2600:140b:1a00:d9d::1aca
  • 2600:140b:1a00:d9b::1aca
⚠ 潜在的な遅延リダイレクト先を検出:

このページには、JavaScriptによる遅延リダイレクト(数秒後に自動転送)が仕込まれている可能性があります。以下のURLへ転送される恐れがあります:

  • hxxps://www[.]apple[.]com[.]cn/legal/intellectual-property/

リンク

抽出URL:hxxps://hgbzc[.]cn/zaksd

チェーン

  1. hxxps://hgbzc[.]cn/zaksd
  2. hxxps://hgbzc[.]cn/zaksd/

最終URL:hxxps://hgbzc[.]cn/zaksd/

遷移先サイトの解決IP(DNS)

  • 8[.]216[.]0[.]246

リンク

抽出URL:hxxp://www[.]apple[.]com

チェーン

  1. hxxp://www[.]apple[.]com
  2. hxxps://www[.]apple[.]com/

注記:evasive_redirect_to_safe

遷移先サイトの解決IP(DNS)

  • 184[.]31[.]228[.]249
  • 2600:140b:1a00:d9d::1aca
  • 2600:140b:1a00:d9a::1aca
  • 2600:140b:1a00:d9b::1aca
  • 2600:140b:1a00:d9f::1aca
  • 2600:140b:1a00:da0::1aca

※ここは「メール内リンクの遷移先(サイト側)」の情報です。送信元IP(Received)とは別です。

フィッシングサイト稼働状況

※解析時点でのステータスです。フィッシングサイトは短期間でテイクダウンされることがあります。

URL ステータス 詳細
hgbzc[.]cn/zaksd/ 運用中 (HTTP 200) 運用中(要注意:フィッシングサイトが稼働しています)
hgbzc[.]cn/zaksd 運用中 (HTTP 200) 運用中(要注意:フィッシングサイトが稼働しています)
警告:フィッシングサイトが現在も運用中です。絶対にアクセスしないでください。

PhishTank照合結果

PhishTankは、Cisco Talos Intelligence Groupが運営するフィッシングサイトの報告・検証データベースです。メール内のURLをPhishTankと照合した結果を表示します。

PhishTankに未登録

照合したURLはPhishTankに登録されていませんでした。ただし、未登録であってもフィッシングサイトである可能性は否定できません。新しいフィッシングサイトは登録されるまでに時間がかかることがあります。

照合URL 結果 報告状況
hxxps://hgbzc[.]cn/zaksd/ 未登録 ✓ CCSIで報告済み
hxxps://hgbzc[.]cn/zaksd 未登録 ✓ CCSIで報告済み
✓ PhishTankへの報告

このフィッシングURLは、CCSIからPhishTankに報告済みです。 コミュニティによる検証後、データベースに登録されます。

照合日時: 2026-01-27T09:16:13+00:00 (UTC)

RDAP証拠(whois相当:引用)

※この証拠が示す意味:登録日が直近・海外レジストラ・NSが無関係などが重なるほど、なりすまし(フィッシング)である蓋然性が上がります。

※以下はRDAPレスポンスから 再現性のある要点 を固定形式で抜粋したものです。

ドメイン(登録情報)

IPアドレス(割り当て/組織/国)

TLS証明書の整合性(引用)

※危険回避のため、ドメイン/IPは [.] 形式で難読化して掲載しています。

フィッシングメールの見分け方

以下のポイントをチェックすることで、フィッシングメールを見分けることができます。

チェックポイント 正規メール フィッシング
送信元アドレス 公式ドメイン 似ているが違うドメイン
リンク先URL 公式サイト 全く違うドメイン
文面の日本語 自然な文章 機械翻訳のような不自然さ
緊急性の演出 冷静な案内 「24時間以内」など焦らせる
宛名 氏名で呼びかけ 「お客様」など汎用的

今回のメールで確認できる不審点

  • 不審なリンク先:「hgbzc[.]cn」は正規のドメインではありません
  • メール認証の失敗:SPF認証に失敗しており、正規の送信サーバーからではありません

公式情報の確認

このメールに関して不安がある場合は、メール内のリンクではなく、以下の公式サイトから直接確認してください。

被害に遭った場合の相談窓口

  • 警察庁 サイバー犯罪相談窓口:各都道府県警察のサイバー犯罪相談窓口へ
  • 消費者ホットライン:188(いやや)
  • フィッシング対策協議会https://www.antiphishing.jp/

対処方法

  • メール内リンクはクリックしない
  • 公式アプリ/公式サイト(ブックマーク)から直接ログインして状況確認
  • ID・パスワードを入力した場合は、直ちにパスワード変更(使い回しも含めて)
  • カード情報を入力した場合は、カード会社へ連絡し利用停止・調査
  • 不安なら、同様の連絡が公式にも出ているか(公式お知らせ/サポート)を確認

※解析メモ:.emlのSHA-256 = 8f57885bdb4df04ebb4e9ce477f316730f49fc4c117d5d7559846e4064c8d2d5

関連記事

著者紹介:CCSIセキュリティメディア編集部

CCSIセキュリティメディア編集部 サイバーセキュリティメディア、CCSI編集部です。



カテゴリ:
タグ:,