件名: 【重要なお知らせ】三井住友カード ご利用確認のお願い
送信元 : info@vpass.ne.jp
Cc :
Bcc :
添付 :
日付 : 2021/11/15 6:34:36
【三井住友カード】利用いただき、ありがとうございます。
このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたので、誠に勝手ながら、カードのご利用を一部制限させていただき、ご連絡させていただきました。
つきましては、以下へアクセスの上、カードのご利用確認にご協力をお願い致します。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたくお願い申しあげます。
ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、予めご了承下さい。
■ご利用確認はこちら
ご不便とご心配をおかけしまして誠に申し訳ございませんが、
何とぞご理解賜りたくお願い申しあげます。
──────────────────────────────────
三井住友カード株式会社
━━━━━━━━━━━━━━━
■発行者■
三井住友カード株式会社
※本メールは送信専用です。
※本メールは「Vpass」にメールアドレスをご登録いただいた方にお送りしています。
━━━━━━━━━━━━━━━
本物のアドレスでも信じるな！ 「三井住友カード」になりすます完コピメール
【みぬ犬の独自分析メモ】
このメールは、送信元アドレスが info@vpass.ne.jp となっています。
驚くべきことに、これは三井住友カードが実際に使用している正規のドメインです。
しかし、だからといって本物だと判断するのは早計です。
- 【送信元偽装（Spoofing）の極致】メールの「差出人（From）」欄は、郵便物の差出人欄と同じで、送信者が自由に設定できます。詐欺師は、受信者を安心させるために、あえて正規のドメイン vpass.ne.jp を差出人に設定して送信しています。（※本来はセキュリティ技術で弾かれることが多いですが、サーバーの設定や受信側の環境によってはすり抜けて届くことがあります）。「アドレスが本物＝安全」という常識は、フィッシング詐欺においては通用しません。
- 【使い回された「魔のテンプレート」】本文を読んでみてください。
- 11月5日の「VISAカード」詐欺
- 11月12日の「JCBカード」詐欺これらと一字一句、完全に同じ文章です。「【三井住友カード】利用いただき、ありがとうございます。」の書き出し以外、改行位置まで全く一緒です。つまり、VISAもJCBも三井住友も、同じ詐欺グループが同じ台本を使って演じているだけなのです。
- 【宛名の不在】本物の三井住友カードからの重要なお知らせ（利用制限など）には、通常、カード所有者の氏名や、カード番号の下4桁などが記載されます。「お客様」だけで個人を特定しないメールは、不特定多数にばら撒かれたスパムの典型です。
【ひと目でわかるサマリーBOX】
| 項目 | 内容 | |
| :— | :— | |
| 危険度 | ★★★★★（非常に危険・送信元偽装） |
| 【手口】カテゴリー | カード利用制限偽装
送信元偽装（正規アドレスの悪用）
テンプレート使い回し（VISA/JCBと同一） |
| 【なりすまし先】 | 三井住友カード（Vpass） |
| 見抜くポイント | ①VISAやJCBの詐欺メールと本文が全く同じ
②宛名やカード番号の記載がない
③送信元が本物でも、リンク先が偽サイト |
| 主なターゲット | 三井住友カード（Vpass）利用者 |
【フィッシー団長の悪巧み】
フッフッフ…団長のフィッシーだ。
VISA、JCBときて、最後は三井住友カードだ！
今回は気合を入れて、送信元を本物の info@vpass.ne.jp に見えるように偽装したぞ。
これで「アドレス確認ヨシ！」なんて言ってる自称セキュリティ通もイチコロだ。
本文？ 新しく書くわけないだろ！
前のVISAのやつをコピペして、社名だけ書き換えれば完成だ。
「利用制限」の恐怖と、「本物のアドレス」の安心感。このギャップで釣るのがプロの技よ！ガッハッハ！
【探偵たちの捜査会議】
🐰ペコン：
「うわあああ！先輩！三井住友カードから『重要なお知らせ』です！
見てください！ 送信元が『vpass.ne.jp』です！
これ、僕がいつも見てる本物のVpassのアドレスですよ！
ついに本物が来ました！
『誠に勝手ながら利用を制限』されちゃったみたいです。
ごめんなさい～！」
🐱カワミ：
「ペコン君、そのアドレスは『自称』だニャ！ 中身は使い古しのボロ雑巾だニャ！
証拠①：三つ子の魂百まで
この文章、先週のVISAと先々週のJCBのメールと完全に一致してるニャ。
同じ犯人が、宛名だけ変えて送ってるのがバレバレだニャン！
証拠②：名札は偽造できる
『vpass.ne.jp』って書いてあるけど、メールの送信元なんて簡単に偽装できるニャ。
『私は警察官です』って書いた手紙を、泥棒がポストに入れるようなもんだニャン！
証拠③：名前がない
本当に利用制限するなら、『ペコン様』とか『カード番号****』って書くはずだニャ。
誰にでも当てはまる定型文なのは、君が誰か分かってないからだニャン！」
🐶みぬ犬：
「その通りだ！完璧な推理だ、カワミ君！
犯人はな、**「正規アドレスへのなりすまし」という強力な武器を使っているが、「手抜きのコピペ本文」で正体が露呈している！
VISA、JCB、そして三井住友。この「三大カード詐欺コピペ」**のパターンをデータベース化した意義は大きいぞ！
鉄則を忘れるな！
『送信元が本物のアドレスでも、リンクを踏ませるメールは絶対に信用するな！』
『カード会社からの“重要なお知らせ”に、自分の名前がなかったら即削除！』
こんな外見だけ取り繕ったなりすましメール、自信を持ってゴミ箱にシュートだぜ！」
【みぬ犬の総括】
今回の事例で、11月のクレジットカード系フィッシングメールの「三部作（VISA、JCB、三井住友）」が出揃ったことになる。
これらは全て同じ犯行グループによるものと推測できる。
「アドレスは偽装できるが、手口（本文の癖）は隠せない」。
これが、メール分析における最大の教訓だ。
【この事件から学べる防衛術】
教訓：Vpassの確認は、Vpassアプリで。
今すぐできる対策：
✅ 送信元「だけ」で判断しない：
vpass.ne.jp から来たメールでも、それが本物とは限りません。特に「緊急」「制限」といった内容の場合は、偽装を疑ってください。
✅ Vpassアプリの活用：
三井住友カード利用者は、必ず公式の「Vpassアプリ」を入れているはずです。
カードが利用制限されたり、不審な利用があったりした場合、アプリのプッシュ通知や、アプリ内の「お知らせ」に必ず表示されます。メールのリンクを触る必要はありません。
✅ リンク先の確認：
もしリンクをクリックしてしまった場合でも、URLが smbc-card.com や vpass.ne.jp 以外のドメイン（例：smbc-login.xyz など）になっていたら、絶対に情報を入力しないでください。
この記事は役に立ちましたか？
もし参考になりましたら、下記のボタンで教えてください。
コメント