差出人もドメインもGoogleなのに偽物。sites.google.com とDKIMの使い回しで作られたフィッシングの見分け方

• Google を装うフィッシングが X で報告された。差出人の表示は「Google no-reply@accounts.google.com」、メールの署名元もaccounts.google.comで、Gmail の警告も出なかったという
• 誘導先は、Google のサイト作成サービスのsites.google.com。CAPTCHA の確認画面まで表示され、パスワード管理ツールが入力候補を出したという
• 投稿者が偽物と見抜いたのは、メールの詳細の「mailed-by」が Google のものではなかったから。「ドメインを確かめる」だけでは防げない手口がある

何が報告されたのか

＠ITによると、X で「Vincent」氏が、Google アカウントに第三者がアクセスしたように見せかけたメールを受け取ったと報告した。

誘導先には、メールアドレスとパスワードを入れさせるページが用意されていた。入力すれば、Google アカウントへの不正アクセスにつながるおそれがある。投稿者は Google に報告したという。

なぜ「本物」に見えるのか

署名が本物：DKIMの使い回し

メールには、送った組織が「このメールは確かにうちが送った」と電子署名を付けるしくみ（DKIM）がある。今回のメールは、その署名が本当に Google のものだった。

同じ型の手口は、2025年4月にも、開発者の Nick Johnson 氏が報告している。攻撃者は Google の正規の機能を使って、Google 自身に警告メールを送らせる。そのとき、自分で付けられる名前の欄（アプリの名前など）に、だましの文章をまるごと入れておく。Google が署名した本物のメールが攻撃者に届くので、それを中身を変えずに転送する。署名が確かめる部分は変わっていないので、受け取った側では署名が正しいと判定される。これを「DKIMリプレイ（再送）」と呼ぶ。

今回のメールの「mailed-by」が Google ではなく別の転送サービスだったのは、このように別の場所から送り直されていることを示している。

ドメインが本物：sites.google.com

Google Sites は、誰でも無料でWebサイトを作れる Google のサービスだ。作ったページのアドレスは sites.google.com から始まる。つまり、Google のドメインの上に、誰でも偽のページを置ける。

「リンク先のドメインが本物か確かめよう」というのはフィッシング対策の基本だが、このように正規のサービスの上に置かれた偽ページは、ドメインだけでは見分けられない。

CAPTCHA とパスワード管理ツール

CAPTCHA は「操作しているのが人間か」を確かめるしくみで、サイトが本物かどうかとは関係がない。偽のページが CAPTCHA を置けば、かえって本物らしく見える。

パスワード管理ツールが入力候補を出したことも、安全の証明にはならない。ツールによっては、細かなアドレスが違っても、同じドメイン（この場合は google.com）なら候補を出す設定になっていることがある。普段の「候補が出ない＝怪しい」という感覚が、今回は働かなかったことになる。

それでも見分けられたポイント

• Google のログイン画面は accounts.google.com：Google のアカウントのパスワードを、sites.google.com のページで入力することはない。アドレスの先頭まで読むと気づける
• メールの詳細の「mailed-by」：Gmail ならメールの右上の「︙」から「メッセージのソースを表示」、または差出人の下の詳細の矢印で見られる。署名元と配送元がちぐはぐなら疑う
• いつもと違う見た目：正規の警告メールは大きな青いボタン、今回はただのリンクだった

身を守るためにやること

1. アカウントの警告メールが来ても、メールのリンクからは進まない。ブラウザで自分で myaccount.google.com を開いて、セキュリティの状態を確かめる
2. Google のパスワードを入れる画面のアドレスがaccounts.google.com かどうかを必ず見る。sites.google.com、docs.google.com などで求められたら入れない
3. パスキーを使う。パスキーは、登録した本物のサイトでしか使えないしくみなので、偽のページでは働かない。二段階認証も必ず有効にする
4. パスワード管理ツールの候補が出ても安心しない。候補が出た場所のアドレスを確かめてから使う
5. 怪しいと思ったら、Gmail の「フィッシングを報告」で Google に知らせる

届いたメールのリンクを開かずに確かめたいときは、このサイトの怪しいURLの見分けも使える。ただし今回のように正規のサービスの上に置かれたページは、URLの文字列だけでは判断しきれないことがある。

まとめ

• 差出人も署名も Google、誘導先も sites.google.com という、正規の仕組みを使い回したフィッシングが報告された
• 署名は、Google 自身に作らせた本物のメールを転送する「DKIMリプレイ」。2025年にも同じ型が報告されている
• 見分けるポイントは、ログイン画面がaccounts.google.comでないこと、メールのmailed-byのずれ
• リンクから進まず、自分で myaccount.google.com を開く。パスキーなら偽のページでは使えない

出典

• ＠IT「Googleの正規ドメインなのに偽Webサイト パスワード管理ツールまで反応したフィッシングの正体」（2026年11月10日）
• Malwarebytes「All Gmail users at risk from clever replay attack」（2025年4月、Nick Johnson 氏の報告について）

本記事は2026年11月10日時点の情報に基づく。「なぜ『本物』に見えるのか」の後半と、パスワード管理ツールについての説明は筆者の見方を含む。