セゾンカードを騙る「3Dセキュア再認証」フィッシングメールに注意　SPF・DKIM・DMARCすべてPASS

2026年8月13日、セキュリティ対策Lab編集部で、セゾンカードを騙り「本人認証サービス（3Dセキュア）の設定再確認」を求めるフィッシングメールを確認しました。

件名は「【SAISON】本人認証サービス（3Dセキュア）設定再確認のお願い」と読める内容で、「本日中」に再認証しなければカード利用を制限する可能性があるとして、外部サイトへ誘導する構成です。

今回のメールで特に注意したいのは、SPF・DKIM・DMARCがすべてPASSしている点です。しかし、認証が成立しているのはクレディセゾンの公式ドメインではなく、tmorx.czhmzxyy[.]comという別のドメインです。送信ドメイン認証がPASSしていることは、そのメールがセゾンカードから送信されたことを意味しません。

さらに、差出人名には文字の表示方向を反転させるUnicode制御文字が使われ、メールヘッダー内部では「DRAC NOSIAS」と記録された文字列が「SAISON CARD」のように見える仕組みになっていました。件名の「SAISON」にも複数のゼロ幅文字が挿入されています。

クレディセゾンは公式サイトで、自社を騙るフィッシングメール・SMSへの注意を呼びかけています。メールに記載されたURLから手続きせず、NetアンサーやセゾンPortalなど公式サービスから確認してください。

セゾンカードを騙るフィッシングメールのサマリー

• 2026年8月13日、セキュリティ対策Lab編集部でセゾンカードを騙るフィッシングメールを受信しました。
• 件名は「本人認証サービス（3Dセキュア）設定再確認のお願い」を装っています。
• 「本日中」に再認証しなければカード利用を制限する可能性があるとして、対応を急がせています。
• メール本文では「3Dセキュア再認証・登録更新」を要求しています。
• 誘導先はクレディセゾンとは無関係なjstzctjx[.]comドメインでした。
• 差出人メールアドレスは[email protected][.]comで、クレディセゾン公式の送信ドメインではありません。
• 差出人表示名にはUnicodeの「RIGHT-TO-LEFT OVERRIDE（U+202E）」が使われています。
• メール内部では「DRAC NOSIAS」と記述することで、表示上「SAISON CARD」のように見せる仕組みが使われています。
• 件名の「SAISON」などにはZERO WIDTH SPACE、ZERO WIDTH NON-JOINER、ZERO WIDTH JOINERなどの不可視Unicode文字が挿入されています。
• SPF・DKIM・DMARCはすべてPASSしていました。
• ただし認証されているのはセゾンカードのドメインではなく、送信に使われた別ドメインです。
• クレディセゾンが案内するメール送信ドメインは@mail.saisoncard.co.jp、@mail2.saisoncard.co.jp、@cs.saisoncard.co.jp、@saisonid.comです。
• クレディセゾンは、送信元アドレスが正規に見える場合でも本文中のURLを確認するよう注意喚起しています。
• 3Dセキュアに関する確認や登録情報の変更は、メール内リンクではなくNetアンサーやセゾンPortalなど公式サービスから行うことが安全です。

項目	確認した内容
受信日時	2026年8月13日11時24分頃
騙られたブランド	セゾンカード
件名	「【SAISON】本人認証サービス（3Dセキュア）設定再確認のお願い」を装う
差出人表示	「SAISON CARD」のように見える表示
実際のFrom	[email protected][.]com
誘導内容	3Dセキュアの再認証・登録更新
対応期限	「本日中（2026年8月13日）」
誘導先	jstzctjx[.]com
SPF	PASS
DKIM	PASS
DMARC	PASS
Unicode偽装	差出人名にU+202E、件名などに複数のゼロ幅文字
正規メールとの差異	送信元・リンク先ともクレディセゾン公式ドメインではない
推奨対応	メール内リンクを開かず、公式サイト・Netアンサー・セゾンPortalから確認

「3Dセキュアの再認証が必要」として本日中の対応を要求

今回確認したメールでは、セゾンカードの本人認証サービス（3Dセキュア）を装い、カードのセキュリティ強化を理由に再認証が必要だと説明しています。

本文には次のような内容が記載されていました。

現在、お客様のカードご利用に関して、セキュリティ強化のための再認証が必要な状況が検出されました。

さらに「3Dセキュア再認証・登録更新」という手続き項目を示し、対応期限を「本日中（2026年08月13日）」としています。

期限内に確認しなければ「安全上の観点から一時的にカード利用を制限する場合がある」として、利用者の不安を煽り、メール内のボタンを押させる構成です。

フィッシングでは、「アカウント停止」「カード利用制限」「本人確認が必要」などの理由で緊急性を演出し、利用者がURLを十分確認しないまま操作するよう誘導する手法が繰り返し使われています。

誘導先はセゾンカードとは無関係なドメイン

メールの「認証手続きページへ進む」というボタンに設定されていたリンク先は、次のドメインでした。

jstzctjx[.]com

安全のため、この記事ではドメインを無効化して表記しています。

クレディセゾンの公式サイトはsaisoncard.co.jp配下などで提供されています。今回のリンク先はこれとは一致しません。

クレディセゾンも公式のフィッシング注意喚起で、メールやSMSに記載されたリンク先が偽装されている可能性があるとして、URLの確認を呼びかけています。

また、同社はリアルタイムフィッシングについても注意を呼びかけており、正規に送られてきたワンタイムパスコードであっても、偽サイトへ入力すると第三者に窃取され、多要素認証を突破される可能性があると説明しています。

「ワンタイムパスコードが届いたから正規サイト」という判断も危険です。

差出人名を「SAISON CARD」に見せるUnicode制御文字

今回のメールには、一般利用者からは気付きにくいUnicode文字による表示操作も確認できました。

メールヘッダー上の差出人名は、内部的には次のようになっています。

U+202E + DRAC NOSIAS

U+202Eは「RIGHT-TO-LEFT OVERRIDE」と呼ばれるUnicode制御文字です。

この文字以降を右から左へ表示するようソフトウェアへ指示するため、「DRAC NOSIAS」という文字列がメールクライアント上では「SAISON CARD」のように見える場合があります。

つまり、攻撃者は差出人名として普通に「SAISON CARD」と記載するのではなく、文字方向を制御する特殊文字と逆順の文字列を組み合わせています。

メールサービスやセキュリティ製品によって表示方法は異なりますが、画面上の差出人名だけを確認してメールの真偽を判断するのは危険です。

件名の「SAISON」に複数のゼロ幅文字を挿入

件名にも特殊なUnicode文字が使われています。

見た目では、

【SAISON】本人認証サービス（3Dセキュア）設定再確認のお願い

と読めますが、実際の文字列では「S」「A」「I」「S」「O」「N」の間などに次の不可視文字が挿入されていました。

• ZERO WIDTH SPACE（U+200B）
• ZERO WIDTH NON-JOINER（U+200C）
• ZERO WIDTH JOINER（U+200D）
• ZERO WIDTH NO-BREAK SPACE（U+FEFF）
• WORD JOINER（U+2060）

これらは画面上ではほぼ見えません。

そのため、人間には「SAISON」「本人認証」と普通に見えても、メールシステムが処理する内部文字列は「SAISON」や「本人認証」と完全には一致しません。

同様のゼロ幅文字は、迷惑メール対策や単純なキーワード判定をすり抜ける目的で悪用されるケースがあります。

セキュリティ対策Labでは、Amazonの返金処理を装いSPF・DKIM・DMARCをすべてPASSしたフィッシングメールでも、ブランド名に複数のゼロ幅文字を挿入する手口を確認しています。

SPF・DKIM・DMARCがすべてPASSしていても正規メールとは限らない

今回のメールで特に注意したいのが、メールヘッダー上でSPF・DKIM・DMARCがすべてPASSしていることです。

受信メールでは、送信に使用されたtmorx.czhmzxyy[.]comについてDKIM署名が正常に検証され、SPFとDMARCについても認証成功の記録が確認できます。

しかし、これは「セゾンカードから送られたメールである」と証明しているわけではありません。

SPF・DKIM・DMARCは、簡単に言えば「そのメールが名乗っているドメインと、実際の送信経路・署名が整合しているか」を確認する技術です。

今回の場合、認証が成立しているのは、

tmorx.czhmzxyy[.]com

というドメインです。

正規のセゾンカードドメインに対する認証がPASSしているわけではありません。

そのため、攻撃者側が自ら管理できるドメインにSPF・DKIM・DMARCを正しく設定すれば、そのドメインから送信するフィッシングメールでも認証結果をPASSさせることができます。

セキュリティ対策Labでは、Amazonを装ったフィッシングメールでSPF・DKIM・DMARCがすべてPASSした事例や、国税庁を騙りDKIM認証を通過したフィッシングメールも確認しています。

メール認証の「PASS」と、表示されているブランドの正当性は分けて確認する必要があります。

クレディセゾン公式のメール送信ドメインとは一致せず

クレディセゾンは公式FAQで、同社から送信するメールのドメインとして次の4種類を案内しています。

• @mail.saisoncard.co.jp
• @mail2.saisoncard.co.jp
• @cs.saisoncard.co.jp
• @saisonid.com

今回受信したメールのFromは、

[email protected][.]com

であり、公式が案内するドメインとは一致しません。

ただし、クレディセゾン自身も「送信元のアドレスが公式ドメインに一致している場合でも注意するように」と案内しています。

表示上のFromアドレスは偽装される場合があるため、送信元だけではなく、本文の内容やリンク先URLも確認する必要があります。

正規の3Dセキュアとは

セゾンカードの本人認証サービス（3Dセキュア）は、インターネットショッピングなどで第三者によるカードの不正利用を防止するための仕組みです。

クレディセゾンによると、認証にはSMSやメールによるワンタイムパスコード入力、またはセゾンPortalによるアプリ認証が利用されます。

登録情報などを確認する場合も、メールから届いた未知のURLを利用するのではなく、クレディセゾン公式サイト、Netアンサー、セゾンPortalからアクセスしてください。

公式ページでは、登録情報を最新化する場合もNetアンサーやセゾンPortalを利用するよう案内しています。

今回のように「3Dセキュアの設定再確認」を理由として外部ドメインへ誘導された場合は、そのメールから手続きを行わないことが重要です。

過去にもセゾンカードを騙るフィッシングメールを確認

セキュリティ対策Labでは、2025年6月にもセゾンカードを騙るフィッシングメールの実例を紹介しています。

セゾンカードはクレジットカード情報や会員アカウントを扱うため、フィッシングで繰り返し悪用されるブランドの一つです。

フィッシング対策協議会も過去にセゾンNetアンサーやセゾンカードを騙るフィッシングについて緊急情報を公開しており、偽サイトへログインID、パスワード、カード番号、有効期限、セキュリティコード、認証コード、ワンタイムパスワードなどを入力しないよう注意を呼びかけています。

メールを受信した場合の対応

今回と同様のメールを受信した場合は、本文内のボタンやURLをクリックしないでください。

カードの状態が気になる場合は、検索広告やメールのリンクからではなく、自分で登録したブックマーク、公式アプリのセゾンPortal、クレディセゾン公式サイトからNetアンサーへアクセスして確認してください。

メールに記載された電話番号がある場合も、その番号へ直接電話するのではなく、カード裏面や公式サイトに掲載された問い合わせ先を利用する方が安全です。

すでにフィッシングサイトへカード番号、セキュリティコード、ログイン情報などを入力してしまった場合は、速やかにクレディセゾンへ連絡し、カードの利用停止や必要な手続きを確認してください。

また、入力したパスワードを他サービスでも使い回している場合は、他のサービスでも変更が必要です。

情報システム部門への示唆

今回のメールは、「SPF・DKIM・DMARCがPASSしているメールなら安全」という運用が危険であることを改めて示しています。

メールゲートウェイやSOCでは、送信ドメイン認証の成功・失敗だけでなく、「表示されているブランドと認証されたドメインが一致しているか」という観点も必要です。

例えば、本文や表示名に「SAISON CARD」「Amazon」「国税庁」など著名な組織名が含まれている一方、FromやDKIMのドメインが無関係な新規・低評価ドメインである場合は、追加のリスクスコアを付与する方法が考えられます。

また、今回のようなUnicode制御文字やゼロ幅文字についても、メールの正規化処理を行った上で検査することが有効です。

表示方向を変更するBidi制御文字、ゼロ幅文字、Unicodeタグ文字などがブランド名やURL周辺に多数含まれるメールは、通常の業務メールでは多くありません。ユーザーへ表示する前に除去・可視化したり、検知ルールへ利用したりすることが考えられます。

URLについても、メール本文に表示されているブランドと実際のリンク先ドメインの不一致を確認することが重要です。

利用者教育では「日本語がおかしいメールだけがフィッシング」という説明から更新する必要があります。今回のメールはデザインや文章が比較的自然で、SPF・DKIM・DMARCもPASSしています。

そのため、「メールの見た目」ではなく、

• メールから直接ログインしない
• 公式アプリやブックマークからアクセスする
• URLの登録ドメインを確認する
• 「本日中」「利用停止」など緊急性を煽るメールほど一度確認する

といった行動ベースのルールを周知することが重要です。

 

出典

 

• セゾンカードを騙る不審なメール・SMSにご注意ください – クレディセゾン
• クレディセゾンから届くメールのドメインを教えてください – クレディセゾン
• 本人認証サービス（3Dセキュア） – クレディセゾン
• セゾンカードを騙る「ご利用確認のお願い」といった内容の偽メールが増えています – クレディセゾン
• セゾンNetアンサーをかたるフィッシング – フィッシング対策協議会
• セゾンカードを騙るフィッシングメール（迷惑メール）の実例 – セキュリティ対策Lab
• Amazonの「返金処理に関する確認のお願い」を装うフィッシングメールの実例 – セキュリティ対策Lab
• 国税庁を騙るフィッシングメールの実例-DKIM認証を通過 – セキュリティ対策Lab