JCB を詐称するフィッシング詐欺の記録。
Received: from r9t1y3u5.zhcn-vip-mgm.com ([158.101.129.12])
From: MyJCB <noreply@r9t1y3u5.zhcn-vip-mgm.com>
Subject: 【MyJCB】セキュリティシステム更新に伴う再認証の手続き
【重要】3Dセキュア認証 再確認のお願い
平素よりJCBカードをご利用いただき、誠にありがとうございます。
お客様のカードに紐づく3Dセキュア認証（本人認証サービス・JCB Secure）の有効期限が切れております。
セキュリティ向上の観点から、再認証をお願いしております。
再認証が行われない場合、一部のインターネット決済サービス（オンラインショッピング等）がご利用いただけなくなる可能性がございます。
要対応期限：2026-06-08
対応内容：3Dセキュア認証（本人認証サービス）の再登録・認証手続き
認証手続きは下記の専用ボタンより認証画面へお進みください。
（※セキュリティ保護のため、必ずご自身でブラウザを開き直接アクセスするか、JCB公式アプリからお手続きください）
3Dセキュア認証を実行する (https://myjcb.zh-news-one.com/)
⚠️ 本メールに心当たりがない場合や、不審な点がある場合は直ちにJCBカードコールセンターまでご連絡ください。
※ 本メールは送信専用アドレスより配信されています。返信いただいてもご回答できませんのでご了承ください。
🔒 セキュリティ対策の観点から、不審なメールのリンクを直接クリックせず、JCB公式サイトのブックマークまたはJCB公式アプリからアクセスすることを推奨いたします。
株式会社ジェーシービー
東京都港区南青山5丁目1番22号 青山JCBビル
JCBインフォメーションセンター（案内窓口）：0570-00-3333（有料）
* 紛失・盗難のご連絡は、24時間年中無休で承っております。
Copyright © JCB Co., Ltd. All Rights Reserved.
ドメイン名の冒頭に「zh」が見えた時点でほぼピンイン、中国なんだよな。
- フィッシングサイト:
myjcb.zh-news-one.com - フィッシングサイト:
josiahsnest.com - 送信元: Oracle Cloud
myjcb.zh-news-one.com から JavaScript window.location.href でリダイレクト。
いずれも GNAME 登録、Cloudflare DNS。前者は Cloudflare、後者は ColoCrossing 収容。
From の zhcn-vip-mgm.com はフィッシング詐欺メイル送信用ドメインと見て差し支えないように思われる。
SPF pass、DKIM はセレクターが違って (s=default) 検証失敗。これも GNAME 登録、Cloudflare DNS。
r9t1y3u5.zhcn-vip-mgm.com. 300 IN TXT "v=spf1 a mx ip4:158.101.129.0/24 ~all"
r9t1y3u5.zhcn-vip-mgm.com. 300 IN MX 10 r9t1y3u5.zhcn-vip-mgm.com.
r9t1y3u5.zhcn-vip-mgm.com. 300 IN A 158.101.129.12
r9t1y3u5._domainkey.r9t1y3u5.zhcn-vip-mgm.com. 300 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEApaBtTMCrwcrU5AO9SHA2tWe6xuu+3z1YBO2aR4vdHkPAwEUlNLSBYmOhsMdq626a+42gmMgbwnR0jDZAVYUYbSUlUWVkKx4sl3vGcITBPCQggA/aYVzgVIsT4VG9Ib5WDj60wv8eeSyxAbAtGvgZO3V0CE4xQcpSvaTMpAZSwYxptuy96dgbX9G0rBb1+v3i+" "ilk7fwrzMkrCw5OLVw10CVIfgtsybBQv2aGMkaljtwGchDxFpMDk8EP/zoHVdiU07GJNYA6cNyIGIALlOHT6mHRxKaVp/b23oN+VAW2qbuMszmvt7RJU3Vq1l3qz8Jijjv7OTBSjwp8WHPk/rXrUQIDAQAB"