【必読】「月費」という偽漢字の証拠を公開！Amazon装うスパムを解析

水色フッターに隠された模倣の罠と、認証偽装インフラの闇に迫る

ヘッダー解析において最も注目すべきは、SPF（Sender Policy Framework）およびDKIM（DomainKeys Identified Mail）が「Pass」している点です。

かつてのフィッシング詐欺は、送信元アドレス（From）を完全に偽装し、ドメイン認証の段階で「Fail（偽装確定）」として弾かれるケースが大半でした。しかし、今回の攻撃者は、使い捨てのドメイン「woynncn.shop」を自ら取得。そのドメインのDNSレコードに正規のSPFレコードを登録し、送信時には自前の秘密鍵で電子署名（DKIM）を付与しています。

これにより、受信側のメールサーバーは「『woynncn.shop』というドメインから、間違いなく本人が送った正しいメールである」と判断せざるを得なくなります。表示上の「Amazon.co.jp」というブランド名に惑わされず、「送信ドメインそのものが全く無関係の別物である」ことを見抜く力が必要です。

本検体のデザインにおける最大の特徴は、下部に配置された数行の「水色背景エリア」です。公式のAmazon.co.jpが配信する領収書や通知メールでは、フッター部分に薄いグレーや水色のブロックを配置することがあるため、攻撃者はその「公式っぽさ」を再現しようとしたと考えられます。

しかし、彼らの「言語インフラ」がボロを出しています。決定的な証拠となる違和感を以下にまとめました。

メール本文の「支払い方法を確認・更新する」というハイパーリンクに仕込まれていた実際のURLは以下の通りです。

リンクをたたくと即座にGoogleのセキュリティにてブロック

このURLに対して当ラボの安全な検証環境からアクセスを試みたところ、極めて興味深い2段階の防御・隠蔽挙動が確認されました。

① Google セーフブラウジングによる防御（上段画像）
アクセス直後、ブラウザは即座に大画面の赤い警告を表示しました。Googleのインデクサおよびセキュリティベンダーが、このURLを「アクティブなフィッシングサイト」として既にブラックリストに登録している証拠です。これにより、多くのユーザーが被害に遭う前に食い止められています。

② サーバー側による「HTTP 403 Forbidden」の怪（下段画像）
警告をバイパスしてサーバーへの直接接続を試みると、最終的に「moccerpro.topへのアクセスが拒否されました（403エラー）」という画面に叩き落とされます。この現象には、次の2つのシナリオが考えられます。

今回のAmazon偽装メールは、SPF/DKIM認証を突破し、フッターデザインを部分的に公式へ寄せるなど、一定の計算のもとに作られています。しかし、「ドメイン名がAmazonと一切無関係である点」、そして「言語表現（月費）の致命的な崩れ」という2つの防衛ラインを意識していれば、確実に看破できるレベルのものです。

このような「未払い」や「アカウント停止」を謳う警告メッセージを受け取った際は、メール内のリンクは絶対に触らず、必ず公式アプリや事前にブラウザへ登録したブックマークからログインしてステータスを確認する癖を徹底してください。

信頼されるセキュリティ情報を、あなたに。 —— Supervised by Heartland-Lab