AppleCare+「領収書および更新の通知」を装うフィッシングメールに注意　SPF・DKIM・DMARCがPASSでもApple公式とは限らず

2026年8月22日、セキュリティ対策LabでAppleCare+の「領収書および更新の通知」を装ったフィッシングメールを確認しました。

確認したメールは、AppleのロゴやAppleCare+のアイコンを使用し、月額料金1,100円、次回請求日、注文番号、契約番号などを記載した領収書風のデザインになっています。見た目だけでは、Appleから届く請求・更新通知と誤認する可能性があります。

しかし、メールの差出人表示は「Apple」である一方、実際のFromアドレスはAppleとは無関係なドメインでした。さらに、本文中央の「請求とお支払い」ボタンをHTMLから確認すると、Appleのサイトではない xef999[.]com へ誘導する設定になっていました。

今回のメールで特に注意したいのは、SPF、DKIM、DMARCの認証結果がPASSになっている点です。メール認証がPASSしていても、「Appleが送ったメール」であることを意味するわけではありません。今回DKIM・DMARCで認証されているのはAppleのドメインではなく、送信者が使用した別ドメインです。

また、メール本文にはApple公式サイトへの正規リンクも複数含まれており、不正なリンクだけを正規URLの中へ混在させています。「メール内にapple.comのリンクがあるから本物」と判断しないよう注意が必要です。

AppleCare+を装うフィッシングメールのサマリー

• 【確認済み】2026年8月22日、AppleCare+の領収書・更新通知を装ったメールをセキュリティ対策Labで確認しました。
• 【確認済み】件名は「AppleCare+ 領収書および更新の通知No.8042897」でした。
• 【確認済み】差出人の表示名は「Apple」でしたが、実際のFromアドレスは admin@bjaz[.]wwwph888a[.]com でした。
• 【確認済み】メール本文にはAppleCare+の月額料金として1,100円が記載されていました。
• 【確認済み】注文番号、書類番号、契約番号、次回請求日などを表示し、正規の領収書に見える構成でした。
• 【確認済み】中心となる「請求とお支払い」ボタンのリンク先は xef999[.]com で、Appleのドメインではありませんでした。
• 【確認済み】一方、利用規約、購入履歴、Appleサポートなど、本文中の別リンクには実際のApple公式URLが使われていました。
• 【確認済み】AppleロゴやAppleCare+の画像は、HTML上でApple関連の画像配信URLを直接参照する構成でした。
• 【確認済み】DKIMは bjaz.wwwph888a.com でPASSし、DMARCもPASSしていました。
• 【確認済み】SPFについてもメール転送経路を含めPASS表示が確認されています。
• 【重要】SPF・DKIM・DMARCのPASSは、表示名「Apple」の真正性を保証するものではありません。
• 【確認できず】誘導先で最終的にどの情報を入力させる設計だったかについて、本記事では危険性を考慮してリンク先へのアクセスを行っていません。
• 【確認できず】同一メールがどの程度の範囲へ配信されているかは確認できていません。

項目	確認内容
確認日	2026年8月22日
件名	AppleCare+ 領収書および更新の通知No.8042897
表示名	Apple
実際のFrom	admin@bjaz[.]wwwph888a[.]com
本文の名目	AppleCare+の領収書・月額更新通知
表示金額	1,100円
次回請求日	2026年9月22日
主な誘導ボタン	「請求とお支払い」
誘導先ドメイン	xef999[.]com
DKIM	PASS。ただしAppleではなく bjaz.wwwph888a.com の署名
DMARC	PASS。ただしFromドメインは bjaz.wwwph888a.com
Apple公式リンク	本文中に複数混在
フィッシングサイトの入力項目	本記事ではアクセスしていないため確認していません

Appleの領収書に見える精巧なメール

確認したメールは、画面上部にAppleのロゴを配置し、「領収書および更新の通知」という大きな見出しを表示しています。

その下には、

• 注文番号
• 書類番号
• Apple Account
• AppleCare+の名称
• 契約番号
• 次の請求日
• 次回の契約更新日
• 1,100円という月額料金
• 消費税額

などが配置されていました。

本文には「この通知は、お客様のAppleCare+の月額料金のお支払いを確認するものです」「次回の請求日に定期月額料金がお支払い方法に請求されます」といった文章もあり、AppleCare+を実際に利用しているユーザーであれば違和感を持ちにくい構成です。

実際のApple Accountとして受信者のメールアドレスも表示されていました。

このように、フィッシングメールは「アカウントが停止されます」「今すぐ確認してください」といった露骨な緊急性だけを利用するとは限りません。

今回のメールは、通常の領収書・契約更新通知に見せることで警戒心を下げ、「請求とお支払い」ボタンを押させる構成になっています。

「請求とお支払い」だけAppleとは異なるドメイン

メールのHTMLを確認したところ、中央に配置された青色の「請求とお支払い」ボタンには、次のURLが設定されていました。

hxxps://xef999[.]com/5EmhiP1yHQS23

Appleの公式ドメインではありません。

Appleもフィッシング対策の公式案内で、メッセージ内のリンクが正規のリンクに見えても、実際のURLが正規企業のWebサイトと一致しない場合はフィッシングの兆候になると説明しています。

今回のようなメールでは、表示されているボタン名やAppleのロゴではなく、クリック前に実際のリンク先ドメインを確認することが重要です。

なお、本記事では安全上の理由から、このURLのリンク先にはアクセスしていません。そのため、偽のApple Accountログイン画面やクレジットカード入力画面など、リンク先で最終的に何を要求していたかは確認していません。

Apple公式URLを混在させて信頼性を高める手口

今回のメールが見分けにくい理由は、すべてのリンクが不審なドメインへ向いているわけではない点です。

HTMLを確認すると、次のようなリンクは実際のApple公式ドメインを指していました。

• AppleCare+利用規約
• AppleCare+のお知らせ
• デバイスの保証状況確認
• サブスクリプション管理
• 購入履歴
• 問題を報告
• Appleサポート
• Appleのプライバシーポリシー

さらにAppleロゴやAppleCare+の画像も、Apple関連の画像配信URLを直接読み込む構成になっていました。

つまり、

「メール内のリンクを1つ確認したらapple.comだった」
「Appleのロゴ画像が正しく表示されている」

という理由だけで正規メールと判断することはできません。

今回のメールでは、利用者に押させたい「請求とお支払い」ボタンだけが別ドメインへ向いていました。

攻撃者が正規サイトへのリンクや正規の画像を混在させることで、メール全体の信頼性を高める手法には注意が必要です。

SPF・DKIM・DMARCがすべてPASSでもフィッシングになり得る

今回のメールでは、メールヘッダー上でSPF、DKIM、DMARCのPASSが確認されています。

ここだけを見ると、「メール認証を通過しているためAppleからの正規メールではないか」と考えるかもしれません。

しかし、これはメール認証の意味を誤解した判断です。

Googleは、SPFについて「そのドメインからメールを送信できるホストか」を確認する仕組み、DKIMについて送信者が付与した電子署名を検証する仕組みと説明しています。

DMARCでは、Fromに表示されるドメインとSPFまたはDKIMで認証されたドメインとの整合性を確認します。

今回のメールでDKIM署名に使われていたドメインは、

bjaz.wwwph888a.com

です。

Appleの apple.com ではありません。

Fromアドレスも、

[email protected]

となっているため、このドメインを送信者自身が適切にSPF・DKIMで認証していれば、DMARCがPASSすること自体は不自然ではありません。

つまり今回のPASSは、

「Appleから送信されたことが認証された」

のではなく、

「bjaz.wwwph888a.comというドメインを名乗るメールとして認証条件を満たした」

という意味です。

画面上の表示名「Apple」は、Appleという企業の真正性を証明するものではありません。

SPFのPASS表示はメール転送経路にも注意

今回提供されたメールは、独自ドメインのメールアドレスで受信した後、Gmailへ転送された経路を含んでいました。

Gmail側の最終的なAuthentication-Resultsでは、転送元メールサーバーのIPアドレスと転送用Return-Pathに対するSPF PASSも表示されています。

一方、転送前のメール認証結果はARCヘッダーに保存されており、元メールでは bjaz.wwwph888a.com がSPF、DKIM、DMARCを通過したことを確認できます。

このため転送メールを調査する場合は、最終配送時のSPF結果だけを見ず、

• From
• Return-Path
• DKIM-Signatureの d=
• Authentication-Results
• ARC-Authentication-Results
• Received

などを合わせて確認する必要があります。

特にメールセキュリティ製品やSOCで調査する場合、「SPF=PASS」という1項目だけで安全判定しないことが重要です。

「Apple」という表示名だけでは判定できない

一般のメールアプリでは、

Apple

という表示名が大きく表示され、実際のメールアドレスは画面上で目立たない場合があります。

今回も表示名は「Apple」でしたが、実際にはAppleと無関係なドメインから送られていました。

Apple公式もフィッシングメールの兆候として、「送信者のメールアドレスや電話番号が正規の会社の名前と一致しない」ケースを挙げています。

Appleを名乗るメールを受信した場合は、表示名ではなくメールアドレスのドメインを確認してください。

ただし、メールアドレスが一見正しく見えても、それだけで安全と断定せず、リンク先やメール本文の要求内容も合わせて確認する必要があります。

AppleCare+の請求はメール内リンクからではなく購入履歴で確認

Appleは、購入内容について疑わしい通知メールを受信した場合、メールのリンクから確認するのではなく、Apple Accountの購入履歴を確認する方法を案内しています。

Appleの購入履歴には、アプリ、サブスクリプション、音楽などに加えAppleCare+も含まれます。

iPhoneではApp Storeから購入履歴を確認できるほか、Apple公式の「問題を報告」ページからも購入履歴を確認できます。

身に覚えのないAppleCare+の請求通知が届いた場合は、メール内の「請求」「確認」「キャンセル」などのリンクを押すのではなく、自分でApple公式サイトやiPhoneの設定・App Storeを開いて確認してください。

フィッシングメールを受け取った場合の対応

Appleは、Appleを装った疑わしいメールを受信した場合、本文内のリンクをクリックしたり、添付ファイルを開いたりしないよう案内しています。

Appleを装った疑わしいメールは、Appleのフィッシング報告窓口である [email protected] へ転送できます。

今回のようなメールを受信した場合は、次の対応が考えられます。

• メール本文のリンクをクリックしない
• メールへ返信しない
• Apple公式サイトや端末の設定から契約・購入状況を確認する
• メールをAppleへフィッシングとして報告する
• 組織のメールアドレスで受信した場合は情報システム部門やSOCへ報告する
• 同一件名・送信元・URLが他のユーザーにも届いていないか確認する
• メールゲートウェイで送信元ドメインや誘導先URLのブロックを検討する

Apple Accountやパスワードを入力した場合

Appleは、詐欺サイトにApple Accountのパスワードや個人情報を入力した可能性がある場合、直ちにApple Accountのパスワードを変更し、2ファクタ認証が有効になっていることを確認するよう案内しています。

組織で管理しているメールアドレスをApple Accountとして使用している場合は、Apple側の対応だけでなく、そのメールアカウント自体の侵害有無も確認してください。

同じパスワードを別サービスで使い回している場合は、該当サービスでもパスワード変更が必要です。

クレジットカード情報をフィッシングサイトへ入力した場合は、カード会社へ連絡し、利用停止や再発行、不正利用の確認について指示を受けてください。

リンクを開いただけの場合

今回確認したメールについては、誘導先サイトへ実際にアクセスしていないため、「リンクを開いただけでマルウェアに感染する」「開いただけなら絶対に安全」といった判断はできません。

誤ってリンクを開いた場合は、まずページを閉じ、表示されたフォームへ情報を入力しないでください。

ファイルのダウンロード、アプリのインストール、構成プロファイルの追加、ブラウザ通知の許可などを行った場合は、それぞれ追加の確認が必要です。

企業端末の場合は、リンクを開いた時刻とURLを情報システム部門へ報告し、EDR、DNS、プロキシ、ブラウザ履歴などで追加通信やダウンロードの有無を確認するとよいでしょう。

情報システム部門への示唆

今回のメールは、「日本語が不自然」「ロゴの画質が低い」「SPFに失敗している」といった従来型の見分け方だけでは判断しにくいフィッシングです。

Appleのデザインを模倣し、正規Appleサイトへのリンクを多数含め、送信者自身のドメインではSPF・DKIM・DMARCを正しく設定しています。

このため企業のフィッシング対策では、「認証PASS＝安全」という判定を避ける必要があります。

確認したい項目は次の通りです。

• 表示名と実際のFromドメインが一致する企業・ブランドか
• DKIM署名ドメインが正規ブランドのドメインか
• DMARC PASSの対象となっているドメインは何か
• 本文内の主要CTAがどのドメインへ向いているか
• 正規ドメインと外部ドメインが不自然に混在していないか
• 新規取得・低評価ドメインへのリンクを検知できるか
• メールURLをクリック前・クリック時に書き換え検査できるか
• ユーザーが不審メールをワンクリックで報告できるか
• 報告されたURL・件名・送信元を全社で迅速に検索・隔離できるか

セキュリティ対策Labでは過去にも、Appleを騙るフィッシングメール（迷惑メール）の実例【注意喚起】を掲載しています。

また、SPF・DKIM・DMARCを通過したフィッシングの実例については、国税庁を騙るフィッシングメールの実例-DKIM認証を通過しスパムフィルター通過でも実メールのヘッダーを分析しています。

今回の事例も同様に、送信ドメイン認証のPASSだけではブランドの真正性を判断できないことを示しています。

メール認証は重要な対策ですが、受信側では「どのドメインが認証されたのか」と「本文のリンク先がどこか」を合わせて確認する必要があります。

出典

• フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する – Apple
• App StoreやほかのAppleメディアサービスの購入履歴を確認する – Apple
• App StoreやiTunes Storeからの正規のメールを識別する – Apple
• Gmailのメールが認証されているかどうかを確認する – Google
• メール送信者のガイドライン – Google
• Appleを騙るフィッシングメール（迷惑メール）の実例【注意喚起】 – セキュリティ対策Lab
• 国税庁を騙るフィッシングメールの実例-DKIM認証を通過しスパムフィルター通過 – セキュリティ対策Lab