【詐欺メール】「Amazonアカウントの全面機能停止」は偽物！ゼロ幅文字で解析を妨害する最新フィッシング

こんにちは、Heartland-Lab（ハートランド・ラボ）です。今回は「アカウント停止予告：24時間以内の本人確認が必要です」という件名で届いた、Amazonを装うフィッシングメールを解析します。

このメールは、差出人表示をAmazon.co.jp風に偽装するだけでなく、本文へゼロ幅文字やHTML文字参照を大量に混入させ、テキスト解析を妨害しています。リンク先では複数の不審ドメインが確認され、Chromeとウイルスバスターの双方が危険なサイトとして警告しました。

※メールヘッダー詳細は個人情報保護のため非掲載

届いたAmazon偽装メール

本文では「不正アクセスの形跡を検知」「今日中に対応しなければ永久凍結」「残高・ポイントもすべて失効」といった強い表現を使い、冷静に確認する時間を与えないようにしています。

テキスト表示ではゼロ幅文字が大量に混入

テキスト表示に切り替えると、「​」「‌」「‍」「」などの文字参照が単語の間へ大量に挿入されています。これらは画面上では見えない、または極めて見えにくい文字です。

人間には「Amazon」「アカウント」「本人確認」と読める一方、単純な文字列照合では語句が分断されます。迷惑メールフィルターや自動解析をすり抜ける目的で施された難読化と考えられます。

表示名がAmazonでも送信経路はAmazonではない

差出人欄にはAmazon.co.jp風の表示がありますが、Return-PathとDKIM署名で使われているのは mdxzi.chinashengjiangji[.]com です。Amazonの正規ドメインとして認証されたメールではありません。

SPFとDKIMがPassでも、それは「表示された企業が正規送信した」という意味ではなく、攻撃者側が用意したドメインとサーバーの組み合わせが整合しているだけの場合があります。

送信元IPアドレスの解析

送信にMicrosoft系のクラウドIPが使われていても、MicrosoftやAmazonがメールを送信したことを意味しません。クラウド上に第三者が構築したメールサーバーが悪用された、または攻撃用に用意された可能性があります。

また、ヘッダーには認証済み接続元として223.158.79.186が記録されています。ただし、IP位置情報はデータベースごとに差があるため、記事では都市単位まで断定せず、送信経路の一部として扱います。

リンク先ドメインの解析

ひとつのドメインで完結せず、役割の異なる複数ドメインへ遷移しています。最初の入口を停止されても別のドメインへ切り替えやすく、解析や遮断を難しくする構成です。

最終ページがForbiddenだったことだけでサイトが消滅したとは判断できません。アクセス元、端末、ブラウザ、時刻、参照元などの条件によって表示を切り替えるクローキング、または調査時点で配信を停止していた可能性があります。

セキュリティソフトとChromeが危険判定

ウイルスバスターは接続先をフィッシングとして遮断し、Chromeも「危険なサイト」と警告しました。このような警告が出た場合は、詳細表示や例外登録をせず、そのままページを閉じてください。

中間画面とForbidden表示

途中では「接続環境を確認しております」「画面をタップまたはクリックしてください」という中間画面も確認されました。利用者の操作を要求し、次段階へ進ませるためのゲート画面と考えられます。

このメールを受け取ったときの対処

1. メール内の「本人確認」リンクを押さない
2. Amazon公式アプリまたは自分のブックマークからアカウント状況を確認する
3. ブラウザやセキュリティソフトの警告を無視しない
4. メールへ返信せず、迷惑メールとして削除する
5. 社内端末の場合は管理者へ報告する

情報を入力してしまった場合

• Amazon公式サイトからパスワードを直ちに変更する
• 同じパスワードを使用している他サービスも変更する
• 注文履歴、支払い方法、配送先、ギフトカード残高を確認する
• カード情報を入力した場合はカード会社へ連絡する
• 不審なアプリを入れた場合は端末をネットワークから切り離して検査する

この記事は、2026年7月31日に確認したメール、メールヘッダー、PC・スマートフォンでの接続結果をもとに作成しています。詐欺サイトは短期間でURL、IPアドレス、表示内容を変更することがあります。IP位置情報は概算であり、送信者本人の所在地を示すものではありません。