【続報】Amazon「返金処理に関する確認のお願い」詐欺、件名に双方向テキスト制御文字（RLO）で文字順を偽装——Google Cloud送信×Tencent Cloud東京着地の同型キット
8月に入り、夏休みの荷物や旅行の予約確認メールに紛れて詐欺メールも増えてくる時期です。今回は、Amazonを騙る「返金処理」の確認メールに、これまでとは違う仕掛けが施されていたのでじっくり解析していきます。
| 緊急性レベル | ★★★★☆ (4/5) |
| 偽装工作精度 | ★★★★★ (5/5) |
| 受信日時 | 2026年8月2日 |
Amazon公式を騙り「返金処理に関する確認のお願い」というタイトルでサインインを求めるフィッシングメールです。件名と差出人名の両方に、見た目の文字順をわざと入れ替える特殊な制御文字が仕込まれており、スパムフィルターの回避を狙ったとみられます。※メールヘッダー詳細は個人情報保護のため非掲載です。
⚠️ このメールはAmazon公式ではありません。詐欺メールです。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
アマゾンより送信されたメールです 返金処理に関する確認のお願い いつもアマゾンをご利用いただき、誠にありがとうございます。 お客様のアカウントに関連する最近のご注文について、返金処理の申請が通常とは異なる地域または端末から行われた可能性が確認されました。アマゾンのセキュリティ基準に基づき、第三者による不正操作の疑いを排除するため、該当する返金処理を一時的に保留させていただいております。 返金手続きを再開するためには、お客様ご自身によるご確認が必要です。 以下の「返金の確認」ボタンよりサインインいただき、内容に誤りがないかご確認をお願いいたします。 お早めにご対応いただけますと幸いです。ご確認が遅れますと、返金処理によりお時間をいただく場合がございます。 ［返金の確認］ ※本メールは配信専用アドレスから送信されています。
実際に受信した詐欺メールの画面。冒頭の緑帯で「アマゾンより送信されたメールです」と強調している
■ 件名と差出人に仕込まれた「文字順の偽装」
今回のメール、受信ソフト上では件名も差出人名も一見すると文字が入り乱れた状態で表示されていました。件名をメールソースとして開き、実際のUnicode文字コードを1文字ずつ確認したところ、「双方向テキスト制御文字（RLO：右から左への強制上書き）」という仕組みが使われていることが分かりました。
本来、アラビア語やヘブライ語のように右から左に読む言語を正しく表示するための仕組みですが、これを日本語や英語の文章に紛れ込ませると、実際の文字の並び順（コード上の順序）とは違う見た目で表示させることができます。件名や添付ファイル名を使った悪用が知られている手口です。
見つけ方は難しくありません。メールソフトの表示だけでは分かりませんが、件名をテキストエディタに貼り付けたり、メールのソースコード（HTMLソース）として表示したりすると、目に見えない制御文字がエスケープシーケンスとして可視化され、正体を確認できます。
実際に件名のコード順序を読み解くと、正しくは「返金処理に関する確認のお願い」という文章でした。ところが、この文章をいくつかの区切りに分け、それぞれをRLOで反転表示させることで、受信トレイの一覧では「理処金返 確すに関い 願おの認」のようにバラバラな見た目になっていたのです。差出人名も同じ手口で、実際は英字の「Amazon」という並びを2文字ずつ反転させ、「mA z a no」のように表示させていました。見た目の文字列だけで安全なメールかどうかを判断するのは危険です。
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
34.106.107.215（helo=t2djk01701.dubaoduoli.com）
回線情報（ip-sc.net確認）：
プロバイダ：Google LLC／AS396982（GOOGLE-CLOUD-PLATFORM）／利用形式：hosting
所在地：アメリカ ユタ州 ソルトレイクシティ
SPF：Pass（送信元ドメインt2djk01701.dubaoduoli.comとの整合のみを見た結果であり、Amazon公式であることの証明にはなりません）
DKIM：署名自体は存在しますが、検証結果を示すヘッダーが確認できなかったため合否は不明です。
正規のAmazonからのメールが、Google Cloud上の個人契約サーバーから送信されることはありません。「dubaoduoli.com」という送信元ドメインも、Amazonとは何の関係もない攻撃者取得ドメインです。SPFがPassしているからといって安心はできません。
■ フィッシングサイト詳細解析
誘導先URL（伏せ字）：
hxxps://jnquangang.com/entry/fupfzoU02U
回線情報（ip-sc.net確認）：
プロバイダ：Shenzhen Tencent Computer Systems Company Limited／AS132203（TENCENT-NET-AP-CN）／利用形式：hosting
所在地：日本 東京都渋谷区（Tencent Cloudの東京リージョンとみられます）
なお、この誘導先IPを国別データベースで単純に調べると「日本」とだけ表示されますが、実際にはTencent Cloudの東京リージョンを間借りしたホスティングでした。国名だけを見て「日本のサーバーだから安全」と判断するのは早計です。
【クローキングの挙動】：
実際にアクセス環境を変えて確認したところ、パソコンからのアクセスでは「404 Not Found（ページが存在しない）」という表示になり、スマートフォンからのアクセスでは無関係なYouTubeの動画へ転送される結果になりました。アクセスするタイミングや条件が揃った場合にのみ、本来の偽サイトへ通す仕組みになっているとみられます。
パソコンからアクセスした際の画面。ページが存在しない表示になっている
■ 続報：7月23日の類似キットとの関係
実は本サイトでは2026年7月23日にも、Amazonを騙る同じような「緑帯デザイン」の返金確認メールを解析しています。その際も送信元はGoogle Cloud、誘導先はTencent Cloud東京リージョンという組み合わせで、クローキングによってパソコンでは404、スマートフォンでは無関係なページへ転送される挙動が確認されていました。今回のメールは送信ドメイン・送信IP・誘導先ドメインがいずれも別物であり、同一犯とは断定できないものの、同じ「型」のキットが使い回されている可能性が高いと考えられます。件名への双方向テキスト制御文字の使用は、今回新たに確認された特徴です。
■ 注意点と対処法
- 件名や差出人名の見た目が多少崩れていても、それだけで「怪しいから安全」と早合点せず、本文中のリンクは絶対にクリックしないでください。
- 「返金処理」を装う連絡が届いた場合、メール内のリンクではなく、Amazon公式アプリまたはブックマークから直接サインインして注文履歴・返金状況を確認してください。
- SPFがPassしていても、それは送信元ドメインの認証設定が正しいというだけで、Amazon公式であることの証明にはなりません。
- アクセス環境によって表示が変わるサイトもあります。「今は繋がらないから大丈夫」と油断せず、そもそも不審なリンクは開かないことが一番の対策です。
件名の見た目に惑わされない、これが一番の防御策です。この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Teal
今、拡散中の詐欺メール
