【調査報告】Amazonを装った「ローソン1,500円クーポン」フィッシング詐欺──「zh-」系ドメインの正体を解析

2026年6月20日

【調査報告】Amazonを装った「ローソン1,500円クーポン」フィッシング詐欺の正体

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

今回ご紹介するのは「Amazon」を名乗り、「ローソン1,500円分クーポンを進呈する」と通知してくるフィッシングメールです。実はこの「Amazon×ローソン」という組み合わせ、当ラボでも以前5,000円分クーポン版を取り上げたことがあり、読者の皆さんからの反応も非常に多かった手口です。今回は金額が1,500円に変わった新バージョンとして届きました。Amazon・ローソンともに利用者が多いだけに、ぜひ最後まで読んでみてください。

※重要：HTMLメールとして配信されており、開封するだけでアクティブなアドレスとして攻撃者のリストに登録されるリスクがあります。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★★☆ (4/5)
同一犯シリーズ度	★★★★★ (5/5)

ご覧の通り、このメールは公式サイトを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

「Amazon」と「ローソン」という、二つの異なる有名ブランドを組み合わせるのが、この手口の狡猾なポイントです。Amazonからのメールだと油断してフィルターをすり抜けさせつつ、ローソンという身近な実店舗で使えるクーポンを餌にすることで、受け取った人の財布的な実感を刺激してきます。

■ メールヘッダー解析（送信者情報）

件名：[spam] ローソンお買い物クーポン 1,500円分付与のお知らせ

送信者名：“自動配信”

送信元アドレス：die@die.official-mk-sports.com

送信元IPアドレス：20.48.62.218（Microsoft Azure）

受信日時：2026年6月20日 12:34頃

※メールヘッダー詳細は個人情報保護のため非掲載

送信元ドメインの「official-mk-sports.com」も気になるポイントです。文字列だけ見ると某スポーツ用品メーカーを連想させますが、実際にはAmazonともローソンともスポーツ用品とも無関係の、攻撃者が用意した使い捨てドメインに過ぎません。差出人名が「自動配信」という、いかにも事務的な名称になっているのも、本物の企業らしさを演出するための小細工です。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

amazon.co.jp

ローソン1,500円クーポンのご案内

Amazonをご利用いただき、誠にありがとうございます。

このたび、対象のお客さまに向けてローソン1,500円分クーポンを進呈するご案内をお送りしています。

本メールの受信者様は該当者にあたりますので、以下より受け取り手続きを完了してください。

進呈内容

ローソンクーポン（1,500円分）

全国のローソン店舗で利用可能／1会計1,500円以上で使用可

クーポンを受領する

ご確認事項

・キャンペーン期間：2026年6月1日〜8月31日
・1会計1,500円以上の購入で使用可能
・他のクーポンとの併用不可／現金引換不可

※このメールはお知らせ設定をオンにされたお客さまへお届けしております。ご返信いただいても対応できません。

このメールは送信専用です。

本文だけ見ると、Amazonらしいシンプルなデザインで、変な誤字や不自然な日本語表現も見当たりません。この手口の怖さは「文面の粗さ」ではなく「組み合わせの巧妙さ」にあると言えます。キャンペーン期間が「2026年6月1日〜8月31日」と約3ヶ月にわたる長期に設定されているのも、受け取った人に「まだ時間がある、後で見ればいいか」と思わせて、警戒心を緩めたまま放置させる狙いがあるのかもしれません。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass (sender SPF authorized) identity=mailfrom; client-ip=20.48.62.218; helo=die.official-mk-sports.com

【偽装判定】：
SPF・DKIMともにPassと表示されていますが、これは攻撃者自身が用意したクラウドインフラからの送信として正規に見えるだけです。送信元IPはMicrosoft Azure上のサーバーで、Amazonの正規ドメイン（amazon.co.jp）とは一切関係がありません。

発信元ロケーション解析：
IPアドレス20.48.62.218の地理的情報は【ip-sc.netで確認する】からご覧いただけます。ロケーションデータは日々変化する可能性がありますので、あくまで調査時点の参考情報としてご覧ください。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://zh-official-jiebo.com/ (一部伏字)

リンクドメイン：zh-official-jiebo.com

サイトサーバーIP：43.167.5.173（Tencent Cloud）

【サイトの状態】：調査時点でアクセスを試みたところ、「404 Not Found（The page never existed on the site.）」というエラーが表示されました。サーバー自体は稼働していますが、該当のページは既に削除・移動されているようです。

※解析データに基づき、攻撃者は短期間でページ・ドメインを使い捨てていることが確認されています。

ここで注目していただきたいのが、誘導先ドメインの命名パターンです。「zh-official-jiebo.com」というドメイン名、最初の「zh-」という部分に見覚えはありませんか。当ラボが以前解析した高級ブランド品の偽通販詐欺（ロレックス・シャネル・パテックフィリップ）でも、誘導先ドメインに「zh-official-28laps.com」「zhplay-ayxsports.com」など、同じ「zh-」というプレフィックスが共通して使われていました。「zh-」はおそらく中国語圏でよく使われる命名規則の名残で、同じ攻撃者または同じツールセットを使うグループが、ブランドを変えながら複数の詐欺キャンペーンを並行して運用している可能性が高いと考えられます。

■ 注意点と対処法

URLをクリックしない：「クーポンを受領する」ボタンの先は情報を盗むための偽サイトです。
Amazonがメールでクーポンを配ることは稀：不特定多数に向けた「対象のお客さまへ」という曖昧な宛名のメールは、まず疑ってかかってください。
公式アプリで直接確認：Amazonの本当のキャンペーン情報は、必ず公式アプリやブックマークしたサイトから確認してください。
不審なメールはAmazonへ転送：怪しいメールはstop-spoofing@amazon.comに転送することで、Amazon側の対策に役立てられます。
公式注意喚起の参照：Amazon公式「Amazonを装った不正行為に対する取り組みについて」

本レポートの結論

今回のメールは、Amazonとローソンという二つの有名ブランドを組み合わせ、フィルターをすり抜けながら受け取った人の財布的な実感を刺激する手口でした。誘導先ドメインの「zh-」プレフィックスは、過去に解析した高級ブランド品詐欺とも共通しており、同じ攻撃グループが複数のキャンペーンを並行運用している可能性があります。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 この記事をLINEで家族・友人に共有する

Data Provided by Heartland-Lab Security Research Unit
関連記事：ローソンで使える5,000円分クーポンを騙る詐欺メール（過去記事）　|　「zh-」系ドメインを使った高級ブランド品詐欺の解析（過去記事）
根拠データ参照元：ip-sc.net