「全国信用組合」を騙るフィッシングメールのフォレンジック分析

I. エグゼクティブサマリー：判定と主要な分析結果

• 判定: 当該メールは、悪意のあるフィッシング攻撃であると断定します。これは「全国信用組合」に関連するいかなる金融機関からの正規の通知でもありません。メール内に記載されている全てのリンクおよび連絡先情報は、敵対的かつ詐欺的なものと見なすべきです。
• 主要な分析結果の要約:

• 送信者のなりすまし: メールは「全国信用組合」という表示名を使用していますが、実際の送信元は日本の金融機関とは一切関係のないドメイン XXXXXXXXXXX.com です。
• 偽装された連絡先情報: 記載されている問い合わせ先電話番号 (0120-XXX–XXX) は、信用組合ではなく「GMOあおぞらネット銀行」のものであることが確認されています。これは意図的な誤誘導を狙った手口です 1。
• 不正なインフラストラクチャ: メールは、サイバー犯罪で頻繁に利用される汎用的なGoogle Cloudサーバー (XXX.XXX.XXX.XXX) から送信されており、これは確立された金融機関が利用するインフラではありません。
• 誤解を招く認証結果: メールの認証情報 (SPF/DKIM/DMARC) が「pass (成功)」となっている点は、技術的には正しいものの、受信者を欺くためのものです。これは攻撃者が管理するドメイン (XXXXXXXXXXX.com) の正当性を証明しているに過ぎず、騙っているブランドの正当性を証明するものではありません。この事実は、多くの利用者が抱える認証技術への誤解を巧みに利用しています。
• 悪意のある誘導先: メール内のリンク先URL (XXXXXXXX04.com) は、認証情報や個人情報を窃取するために設計された、フィッシングキャンペーンに典型的な使い捨てドメインです。

II. フィッシングメールの解体：ソーシャルエンジニアリングと欺瞞の手口

本セクションでは、メールの受信者を操作し、攻撃者の要求に従わせるために用いられた心理的戦術に焦点を当て、その内容を詳細に分析します。

分析1：送信者アイデンティティの偽装

メールの表示名は「全国信用組合」とされていますが、実際のFrom:アドレスはno-reply@XXXXXXXXXXX.comです。また、Return-Pathも同様のアドレスに設定されています。多くのメールクライアントが表示名を強調し、実際のアドレスを目立たなくする仕様を、攻撃者は巧みに悪用します。これにより、受信者は一見しただけで誤った信頼感を抱いてしまいます。

XXXXXXXXXXX.comというドメインの選択は、「バーナードメイン（使い捨てドメイン）」を用いた戦略的な判断を示唆しています。攻撃者は、安価で取得が容易、かつ特定のブランドとの関連性がなくセキュリティシステムのアラートを即座にトリガーしない、このような汎用ドメインをキャンペーンに利用します。これは、ブランド名に似せたドメイン（例：shinkumi-bank.comなど）を使用するタイポスクワッティング攻撃とは対照的です。タイポスクワッティングはセキュリティチームによって検知・閉鎖されやすいため、攻撃者はより発見されにくい汎用ドメインを選択し、運用の俊敏性を確保しています。攻撃者は、受信者が送信元メールアドレスに注意を払わないという、ごく一般的な人間の脆弱性を前提に攻撃を組み立てているのです。

分析2：メッセージ内容の心理分析

件名には「【至急】」という言葉が用いられ、本文では「※確認がお済みでない場合は、一部のお手続きに影響が生じる場合がございます」と警告しています。これは、受信者にパニック状態を引き起こすために設計された典型的な文言です 3。金融サービスへのアクセスを失うという脅威は、ユーザーに冷静な検証を怠らせ、性急な行動を促す強力な動機付けとなります。

この脅威は意図的に曖昧に表現されています。「一部のお手続き」という包括的な言葉は、具体的で検証可能な詳細を一切提供しないまま、受信者の不安を煽ります。この曖昧さにより、受信者は「昨日口座を使ったから大丈夫なはずだ」といった具体的な理由で脅威を簡単には否定できません。むしろ、誰にでも当てはまりうる脅威だと感じさせ、キャンペーンの成功率を広範な受信者層に対して高める効果があります。もしメールが「先日行われた5万円の送金が保留されています」といった具体的な内容であれば、そのような取引に心当たりのないユーザーは即座に詐詐だと見抜くでしょう。しかし、脅威を一般化することで、あらゆるユーザーが「念のためログインして確認しよう」と考え、結果的に認証情報を渡してしまう可能性を高めているのです。

分析3：偽の連絡先情報による誤誘導

メールにはカスタマーセンターの電話番号として 0120-XXX–XXX が記載されています。この番号を公的な情報源と照合した結果、この番号は「GMOあおぞらネット銀行」のものであり、信用組合とは無関係であることが判明しました 1。全国信用組合中央協会の正規の連絡先は異なる番号です 9。これは、このメールが疑いようもなく詐欺であることを示す決定的な証拠です。

無関係な別の金融機関の正規の電話番号を使用する手口は、単なる間違いではなく、攻撃者にとって複数の利点を持つ高度な戦術です。

1. 正当性の補強: 番号を検索すると実在の銀行のものであることがわかるため、受信者の疑念を一時的に和らげる効果があります。
2. 単純な検証の妨害: 偽の番号や不通の番号とは異なり、実際に繋がるため、注意深くないユーザーを騙すことができます。
3. 調査リソースの浪費: 公式な調査機関や懸念を抱いたユーザーを、無関係なGMOあおぞらネット銀行への問い合わせへと誘導します。これにより、攻撃者は自身のインフラが特定・閉鎖されるまでの貴重な時間を稼ぐことができます。

初歩的な攻撃者であれば偽の番号を使うかもしれませんが、より洗練された攻撃者は誤誘導の価値を理解しています。別の銀行の正規情報を混ぜ込むことで混乱と遅延を生み出し、ユーザーが電話をかけた場合、GMOあおぞらネット銀行のコールセンターは困惑し、ユーザーは単純な詐欺ではなく複雑なシステムエラーが起きているのではないかと誤解し、結果として再度悪意のあるリンクへアクセスしてしまう可能性すらあります。

III. 技術的な詳細分析：デジタルの痕跡

本セクションでは、メールの技術的な構成要素をフォレンジック分析し、その送信元、インフラ、そして誤解を招く認証結果の背景を解明します。

送信元の追跡：ドメインとIPインフラの特定

メールヘッダーのReceived:情報から、このメールがmail1.XXXXXXXXXXX.com（IPアドレスXXX.XXX.XXX.XXX）から送信されたことがわかります。このIPアドレスの逆引きDNSはXXX.XXX.XXX.XXX.bc.googleusercontent.comであり、Googleのクラウドプラットフォーム（GCP）に属するIPアドレスであることを示しています 10。正規の金融機関は、自社で運用するメールサーバーか、専用IPアドレスとブランド名が付与された逆引きDNSレコード（例：

mail.bank-name.co.jp）を持つエンタープライズ向けメールサービスを利用するのが一般的です。

GCPのようなクラウドサービスの利用は、現代的で俊敏なサイバー犯罪組織の典型的な特徴です。クラウドプラットフォームは、攻撃者に対して安価で拡張性が高く、数分で構築・破棄が可能な使い捨てのインフラを提供します。これにより、攻撃者はIPアドレスを頻繁に変更する「IPローテーション」を行い、ブラックリストやレピュテーション（評判）ベースのセキュリティフィルターを回避することができます。

また、X-Spam-Statusヘッダーには、複数のURIブラックリスト（URIBL_ABUSE_SURBL, URIBL_BLOCKEDなど）に登録されていることが示されています 2。これは、メール本文に含まれるドメインが、セキュリティサービスによって既に悪意のあるものとして識別されていることを意味します。最終的なスパムスコア（2.7）は受信サーバーの閾値（5.0）を下回っていますが、これらのフラグの存在は、この攻撃キャンペーンのインフラが不正利用に関連していると認知され始めていることを示しています。

認証のパラドックス：SPF, DKIM, DMARCの解説

Authentication-Results:ヘッダーには、ドメインXXXXXXXXXXX.comに対してdkim=pass、spf=pass、dmarc=passと明確に示されています。これは、受信者が混乱する最も技術的な点であり、現代のフィッシング攻撃で一般的に見られる要素です。これらのプロトコルは設計通りに正しく機能しています。

• SPF (Sender Policy Framework): XXXXXXXXXXX.comの所有者（攻撃者）が、自身のDNSレコードに「IPアドレス XXX.XXX.XXX.XXX はこのドメインからメールを送信することを許可する」と設定しました。メールはこのIPから送信されたため、認証は成功しました。
• DKIM (DomainKeys Identified Mail): 攻撃者は秘密鍵でメールに電子署名を行い、その検証に必要な公開鍵をXXXXXXXXXXX.comのDNSに公開しました。受信サーバーがこの署名を検証した結果、正当なものであったため認証は成功しました。
• DMARC (Domain-based Message Authentication, Reporting, and Conformance): このポリシーは、From:ヘッダーのドメインが、SPFやDKIMで認証されたドメインと一致しているかを確認します。全てXXXXXXXXXXX.comで統一されていたため、これも成功しました。

この事実は、フィッシング戦術の根本的な変化を示しています。攻撃者はもはや単なる「スプーフィング（送信元アドレスの偽造）」を行っているわけではありません。スプーフィングはDMARCによって大部分が阻止されるため、彼らは「なりすまし（インパーソネーション）」へと移行しています。つまり、攻撃者は自身が完全に管理するドメイン上で、技術的に正当なメール送信インフラを構築し、そのインフラを使ってメールの表示名や本文で信頼されたブランドになりすますのです。これにより、技術的なセキュリティ層を回避し、検知の責任を人間の受信者へと転嫁させます。これは、ドメインの認証とブランドの検証との間にあるギャップを悪用する手口です。セキュリティプロトコルは「その乗り物が本物であること」は確認できても、「運転手が名乗っている通りの人物であるか」までは確認できない、という状況を作り出しているのです。

悪意のある誘導先：フィッシングURLの分析

メール本文のリンクはhttps://XXXXXXXX04.com/…です。このドメインのWHOIS情報（登録者情報）を取得しようと試みましたが、アクセスできませんでした 15。WHOIS情報が取得できない場合、そのドメインが非常に新しく情報がまだインターネット全体に行き渡っていないか、あるいは既に不正ドメインとして登録機関によって停止されたかのいずれかであることが多く、どちらのシナリオもフィッシングドメインの典型的な特徴です。

このドメイン名の構造自体も、悪意のあるブランディングの一形態です。

• sh: 「信用」を連想させる可能性があります。
• lnk or ln: linkやloginの一般的な略語です。
• jp: 日本を標的としていることを示唆します。
• 04: キャンペーン番号やバージョンを示唆しており、これは大規模かつ組織的な攻撃の一環として、類似のドメイン（…jp01, …jp02など）が多数使用されている可能性を示しています。

攻撃者は、検知を避けるためにブランド名をドメインに含めず、しかし技術的でそれらしく聞こえる名称を構築しています。このような命名規則は、ドメインがバッチ処理で生成・展開される、組織化されプログラム化された攻撃管理体制を示唆しています。この誘導先ウェブサイトの主な目的は、本物のログインページを模倣した偽のページを表示させ、ユーザーのID、パスワード、その他の個人情報を窃取することです 3。

IV. 正規情報との照合・検証

本セクションでは、詐欺メールの内容と、それが騙る組織の検証済み正規情報とを直接比較し、その矛盾点を明確にします。

なりすまされた組織の概要：「全国信用組合」エコシステム

「全国信用組合」は、単一の銀行を指す名称ではありません。これは日本全国に存在する多数の個別の信用組合の総称です。これらの信用組合を支援・代表する中央機関として、全国信用組合中央協会（全信中協）と全国信用協同組合連合会（全信組連）が存在します 9。これらの正規組織は公式ウェブサイト（

shinyokumiai.or.jp、zenshinkumiren.jp）を持ち、フィッシング攻撃に関する注意喚起を積極的に行っています 9。

攻撃者が「全国信用組合」といった特定の名称ではなく、あえて「全国信用組合」という総称を用いたのは、攻撃の対象範囲を最大化するための計算された戦略です。これにより、日本全国に存在する数百万人の信用組合の組合員すべてを標的とすることが可能になります。これは、特定の標的を狙う「スナイパーライフル」型ではなく、広範囲を狙う「ショットガン」型のアプローチです。

比較分析：公式情報とフィッシングの試み

詐欺メールの属性と正規組織の検証済み詳細情報を直接比較すると、両者の間に一致点は全く存在しないことが明らかになります。以下の比較表は、この詐欺行為の決定的で分かりやすい証拠となります。

表1：矛盾点の分析：詐欺メール vs. 正規情報

この表が示すように、送信者の名称、技術的インフラ、連絡先、誘導先の全てにおいて、詐欺メールと正規の組織との間には埋めがたい乖離が存在します。これにより、当該メールが詐欺であることは疑う余地がありません。

V. 包括的な脅威評価と推奨事項

本セクションでは、この攻撃の被害に遭った場合の潜在的な影響を概説し、自己防衛のための明確かつ実行可能な手順を提示します。

リスク分析：情報漏洩がもたらす潜在的影響

フィッシング攻撃は、認証情報（ID、パスワード）、個人識別情報（PII）、そして金融情報（カード番号、暗証番号など）を窃取することを目的としています 3。もしユーザーがリンクをクリックし、情報を入力してしまった場合、以下のような深刻な結果を招く可能性があります。

• 直接的な金銭的被害: 銀行口座への不正アクセスと、預金の不正送金。
• アイデンティティ盗用（なりすまし）: 窃取された個人情報が悪用され、新たなクレジットカードの作成や、本人名義での詐欺行為に利用される。
• 他のアカウントへの侵害: ユーザーが複数のサービスでパスワードを使い回している場合、攻撃者は窃取した認証情報を用いて他のサービス（メール、SNS、ECサイトなど）への不正アクセスを試みます。これは「クレデンシャル・スタッフィング」として知られる攻撃手法です。

最初の情報漏洩は、しばしば被害の始まりに過ぎません。窃取されたデータはダークウェブ市場で頻繁に売買されます。これは、被害者の情報が犯罪エコシステムに組み込まれ、長期間にわたって様々な犯罪者によって繰り返し悪用される可能性があることを意味します。被害は単一のイベントではなく、将来にわたる継続的な監視を必要とする、長く尾を引く潜在的リスクとなるのです。

実行可能な緩和策と防御策

緊急措置

1. クリック・返信・転送をしない: メールやリンクには一切触れないでください。
2. メールの削除: 後日の誤クリックを防ぐため、メールを受信トレイおよびゴミ箱から完全に削除してください。
3. 送信者のブロック: no-reply@XXXXXXXXXXX.com をメールクライアントのブロックリストに追加してください。

予防措置

1. 独立した手段での確認: 金融機関からの通知に懸念がある場合は、メッセージ内のリンクや電話番号を絶対に使用しないでください。保存済みのブックマークや検索エンジンから公式サイトにアクセスするか、キャッシュカードの裏面に記載されている電話番号に連絡してください。
2. パスワードのセキュリティ: 銀行口座と同じ、あるいは類似のパスワードを他のウェブサイトで使用している場合は、全ての重要なアカウントで直ちに変更してください。パスワードマネージャーを活用し、サービスごとに固有で強力なパスワードを生成・管理することを推奨します。
3. 多要素認証（MFA/2FA）の有効化: 全ての金融機関およびメールアカウントで多要素認証を有効にしてください。これにより、仮にパスワードが盗まれても、それだけでは攻撃者がアカウントにアクセスできなくなるため、セキュリティが大幅に向上します。

日常的な注意点

1. 送信者詳細の確認: 表示名だけでなく、必ず送信元の実際のメールアドレスを精査する習慣をつけてください。
2. クリック前の確認: デスクトップPCでは、リンクの上にマウスカーソルを合わせると、実際のリンク先URLが表示されます。表示されたURLと本文の記述に相違がないか、不審なドメインでないかを確認してください。

インシデントの報告手順

日本の公的機関は、フィッシング報告のための専門窓口を設けています。今回の事案は、フィッシング対策協議会および警察庁の「フィッシング110番」へ報告することが推奨されます 3。

これらのインシデントを報告することは極めて重要です。報告された情報は、セキュリティ研究者や法執行機関が攻撃キャンペーンを追跡し、手口を分析し、悪意のあるインフラを閉鎖するための貴重なデータとなります。これにより、他の潜在的な被害者を保護することに繋がります。報告を行うことで、ユーザーは単なる受動的な標的から、サイバー空間の集団防衛に能動的に貢献する参加者へと変わることができるのです。

引用文献

1. GMOあおぞらネット銀行 – 一般社団法人 全国銀行協会, 9月 7, 2025にアクセス、 https://www.zenginkyo.or.jp/bankdb/bc0310/
2. Email Blacklist Check – IP Blacklist Check – See if your server is …, 9月 7, 2025にアクセス、 https://mxtoolbox.com/blacklists.aspx
3. フィッシング対策｜警察庁Webサイト, 9月 7, 2025にアクセス、 https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
4. フィッシング詐欺とは？ | 国民のためのサイバーセキュリティサイト, 9月 7, 2025にアクセス、 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/basic/risk/04/
5. 巧妙化するフィッシングから身を守るには – 政府広報オンライン, 9月 7, 2025にアクセス、 https://www.gov-online.go.jp/tokusyu/phishing/
6. 苦情・紛争解決機関 | 各種方針 | GMOあおぞらネット銀行, 9月 7, 2025にアクセス、 https://gmo-aozora.com/policy/resolve-complaints.html
7. GMOあおぞらネット銀行 | 銀行カード等の紛失・盗難 | 一般社団法人 全国銀行協会, 9月 7, 2025にアクセス、 https://www.zenginkyo.or.jp/abstract/loss/detail/bc0310/
8. コールバック予約について | お客さまサポート – GMOあおぞらネット銀行, 9月 7, 2025にアクセス、 https://gmo-aozora.com/support/callback.html
9. 全国信用組合中央協会(全信中協), 9月 7, 2025にアクセス、 https://www.shinyokumiai.or.jp/
10. IP WHOIS Lookup, 9月 7, 2025にアクセス、 https://iplocation.io/ip-whois-lookup
11. IP WHOIS Lookup – Instantly Fetch the WHOIS Info of an IP – DNS Checker, 9月 7, 2025にアクセス、 https://dnschecker.org/ip-whois-lookup.php
12. IP Whois Lookup – Show My IP, 9月 7, 2025にアクセス、 https://www.showmyip.com/ip-whois-lookup/
13. IP Blacklist & Email Blacklist Check – DNS Checker, 9月 7, 2025にアクセス、 https://dnschecker.org/ip-blacklist-checker.php
14. Blacklist Check – What Is My IP Address, 9月 7, 2025にアクセス、 https://whatismyipaddress.com/blacklist+check
15. 削除、 https://who.is/whois/XXXXXXXX04.com
16. 削除、 https://www.whois.com/whois/XXXXXXXXp04.com
17. 全国信用協同組合連合会, 9月 7, 2025にアクセス、 https://www.zenshinkumiren.jp/
18. 信用金庫と銀行・信用組合との違い | 一般社団法人全国信用金庫協会, 9月 7, 2025にアクセス、 https://www.shinkin.org/shinkin/difference/
19. 信用協同組合 – Wikipedia, 9月 7, 2025にアクセス、 https://ja.wikipedia.org/wiki/%E4%BF%A1%E7%94%A8%E5%8D%94%E5%90%8C%E7%B5%84%E5%90%88
20. ニュース | 緊急情報 – フィッシング対策協議会 Council of Anti-Phishing Japan, 9月 7, 2025にアクセス、 https://www.antiphishing.jp/news/alert/