最近、ホームページ制作でお付き合いのあるお客さまから、こんなご相談をいただきました。
「最近、ロリポップから『容量が…』『同期できません』といったメールが届くようになった。どう対応したらいいか分からない」
添付されたメールを確認すると、差出人は support@lolipop.jp、件名は「【重要】メール同期エラーのお知らせ」。一見すると、本物のロリポップから届いたサポートメールのように見えました。今回は、このメールを実際に調査した過程をそのままご紹介します。
メール本文を確認する
本文には、次のような表示がありました。
- メール受信：正常
- メール送信：確認が必要
- 同期エラーを検出
最後には「メール同期を修復」という大きな青いボタンが設置されており、ここまでは、よくあるサポートメールの体裁です。
HTMLを確認して見つけた違和感
メールのHTMLソースを確認すると、ボタンのリンク先は次のようになっていました。
https://link.mail.beehiiv.com/...
ここで最初の違和感です。ロリポップから届いたはずのメールなのに、リンク先が lolipop.jp ではありません。
Beehiivとは何か
調べてみると、Beehiivはアメリカのニュースレター配信サービスでした。つまり、リンクは「ロリポップ → Beehiiv」という経由になっています。
Beehiiv自体は正規のサービスです。ただし、メール同期エラーの修復案内を、あえてBeehiiv経由のクリック計測リンクにする理由は見当たりません。この時点で不自然さが強まりました。
差出人は本物と言えるのか
差出人は support@lolipop.jp でした。しかし、メールの差出人（Fromアドレス）は、比較的簡単に偽装できます。
現在はSPF・DKIM・DMARCといった送信ドメイン認証の仕組みが普及していますが、それでも「表示上だけ本物に見せる」手口は珍しくありません。差出人が本物っぽく見える＝本物とは限らない、という前提で見る必要があります。
URLScanでさらに調査する
次に、リンク先をURLScan（URLを安全に解析できる調査ツール）で調べました。すると、最終的にアクセスされるサイトは次のドメインでした。
568fe0733df32240a4e83a1545f9e747568fe0733df32240a4e83a1545.pages.dev
pages.devとは何か
pages.dev は、Cloudflare Pagesというサービスのドメインです。これは誰でも無料で静的サイトを公開できるサービスで、abc.pages.dev のようなサイトを数分で作成できます。
つまり、「pages.devだから危険」というわけではありません。多くの正規サービスもCloudflare Pagesを利用しています。
ドメイン名そのものが不自然
問題は、今回のドメインが意味を持たないランダムな文字列だったことです。
企業が利用者向けの案内で、このようなURLを使うことはまずありません。通常であれば、mail.lolipop.jp や support.lolipop.jp、secure.lolipop.jp のような、サービス名を含む分かりやすいURLになるはずです。
URLScanの調査結果
さらに確認すると、次のことが分かりました。
- このpages.devドメインは、今回が初観測だった
- Google Safe Browsingでは、まだ未分類だった
- Cloudflareの証明書を利用していた
これだけでは「悪性」と断定はできません。ただし、今回のために新しく作られたと考えられるランダムなCloudflare Pagesサイトという点は、非常に不自然です。
想定される流れ
ここまでの調査を整理すると、次のような流れになっている可能性が高いと考えられます。
support@lolipop.jp（表示のみ・実際の送信者ではない）- Beehiivのクリック計測リンクを経由
- Cloudflare Pages上のランダムなドメインへ誘導
- おそらく偽のログインページが表示される
最終判断
現時点で100％の断定はできません。ただし、以下の点が重なっています。
- ロリポップを装っている
- Beehiiv経由で誘導している
- Cloudflare Pages上の、意味を持たないランダムなドメインを使っている
- そのドメインは今回が初観測だった
- 「同期エラー」「今すぐ修復してください」と不安を煽る文面
これらを総合し、フィッシングメールの可能性が極めて高い（95％以上）と判断しました。
こうしたメールから身を守るために
今回のような「サービスを装ったメール」は、レンタルサーバー会社に限らず、日常的に届きます。判断に迷ったときは、次の点を確認すると安全です。
- メール本文のボタンは押さず、普段使っているブックマークやブラウザの検索からサービスへアクセスする
- リンク先のURLを長押し（またはマウスオーバー）して、本来のドメインと一致するかを確認する
- 「今すぐ」「重要」「エラー」など、不安を煽る文言には一度立ち止まる
- 判断に迷ったら、契約しているサーバー会社の公式サポートへ、メールとは別の窓口（電話・公式サイトのお問い合わせ）で直接確認する
ご自身での判断が難しい場合は、スクリーンショットやメールのソースを送っていただければ、こちらで確認することもできます。「なんとなく怪しいけど分からない」という段階でも、遠慮なくご相談ください。
