【続報】Amazon「返金申請に対するセキュリティ確認実施」詐欺、ゼロ幅文字で文言を偽装——盾アイコン型の新クローキングとAzure送信×Tencent東京着地の同型キット
8/2にご紹介したAmazon「返金処理」偽装メールの記事、覚えていらっしゃるでしょうか。あれからわずか1日で、同じ緑帯デザインの「返金申請」メールが届きました。今回は文字の偽装手口もクローキングの演出も新しくなっていて、飽きさせません。
| 緊急性レベル | ★★★★☆ (4/5) |
| 偽装工作精度 | ★★★★★ (5/5) |
| 受信日時 | 2026年8月3日 |
Amazon公式を騙り「返金申請の本人確認」を求めるフィッシングメールです。件名・本文の随所に目に見えない文字（ゼロ幅文字）が大量に埋め込まれており、スパムフィルターの回避を狙ったとみられます。誘導先ではスマートフォン限定で新しいタイプの偽セキュリティ確認画面も確認しました。※メールヘッダー詳細は個人情報保護のため非掲載です。
⚠️ このメールはAmazon公式ではありません。詐欺メールです。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
アマゾンより送信されたメールです 返金申請の本人確認のご案内 日頃よりアマゾンサービスをご信頼いただき、心よりお礼申し上げます。 このたび、お客様のご注文に伴う返金申請につきまして、通常と異なる環境からの操作と判断されたため、セキュリティ保護の観点から処理を一時停止させていただきました。不正利用の可能性を確認するため、本人様確認を実施させていただいております。 返金手続きを再開するためには、お客様ご自身によるご確認が必要となります。 以下の「返金の確認」ボタンよりサインインいただき、内容に誤りがないかご確認をお願いいたします。 お早めにご対応いただけますと幸いです。ご確認が遅れますと、返金処理によりお時間をいただく場合がございます。 ［手続きを進める］ 手続き期限：2026年8月5日（水） 何卒よろしくお願い申し上げます。 このEメールは配信専用です。返信しないようお願いいたします。
実際に受信した詐欺メールの画面。冒頭の緑帯で「アマゾンより送信されたメールです」と強調している
■ 目に見えない文字で文言を偽装する手口
件名と差出人名のUnicode文字コードを1文字ずつ確認したところ、「ゼロ幅文字（ZERO WIDTH JOINER・ZERO WIDTH NON-JOINER・WORD JOINERなど）」が随所に挿入されていることが分かりました。件名は正しくは「返金申請に対するセキュリティ確認実施のご案内」、差出人名は「【自動送信】Amazonカスタマーサービス」ですが、見た目には影響しない不可視の文字を単語の間に挟み込むことで、文字列としての一致度をわざと下げ、フィルターの検出を回避しようとしています。
こうした見えない文字は、メールソフトの画面を見ているだけでは気づけません。今回は、メール本文をコピーしてテキストエディタに貼り付けたところ、本来見えないはずの文字が「xh3zizvb」「yaawgmsg6zfd」「hxvss」「iutk8i」のような不規則な英数字の断片として可視化されました。
本文をテキストエディタに貼り付けた画面。文中の随所に不規則な文字列が現れ、ゼロ幅文字の挿入箇所が可視化されている
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
20.118.188.92（helo=tower.jbcsccj.com）
回線情報（ip-sc.net確認）：
プロバイダ：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／利用形式：hosting
所在地：アメリカ アリゾナ州フェニックス
今回のヘッダーには、当サイトの受信サーバーに届く手前に少なくとも2段階の中継サーバーが記録されていました。1段階目は「smtp.tool-encryption.tech」という中継サーバーで、その手前で接続してきたクライアントは自らを「smtp.form-monitoring.pref.aichi.jp」と名乗っていました。愛知県庁を思わせる名称ですが、これはあくまで接続時にクライアント側が自己申告するホスト名（HELO文字列）であり、正規の認証・検証を経たものではありません。実際にこのIPアドレスを調べたところ、所在地はフランスでした。Receivedヘッダーに記録されたホスト名は誰でも自由に名乗れる文字列であり、公的機関らしい名前が出てきても鵜呑みにしてはいけません。
なお、その先の中継サーバー（171.161.1.242）を調べたところ、IPアドレスの登録組織名として大手米銀行の名前が表示されました。これは銀行のネットワークが乗っ取られたと断定できる材料ではなく、古いIPアドレス割り当て情報が更新されずに残っている、あるいは別の事業者へ再割当てされている可能性も考えられます。詐欺グループが複数の中継サーバーを経由させることで、追跡を難しくしている様子がうかがえます。
■ フィッシングサイト詳細解析
誘導先URL（伏せ字）：
hxxps://thecodyhayesband[.]com/
「Amazon」とは何の関係もない、海外のバンド名らしきドメインが使われていました。おそらく本来は実在のバンドの公式サイトか何かで、それが乗っ取られて詐欺の踏み台にされているとみられます。Amazonが海外のバンドのウェブサイトからログイン画面を提供することは絶対にありません。詐欺グループも、まさか自分たちのインフラがバンドのファンサイトだとは思っていなかったかもしれません（笑）。
回線情報（ip-sc.net確認）：
プロバイダ：Shenzhen Tencent Computer Systems Company Limited／AS132203（TENCENT-NET-AP-CN）／利用形式：hosting
所在地：日本 東京都渋谷区（Tencent Cloudの東京リージョンとみられます）
【クローキングの挙動】：
パソコンからのアクセスでは「404 Not Found（ページが存在しない）」という表示になり、スマートフォンからのアクセスでは新しいタイプの偽セキュリティ確認画面が表示されました。「盾のアイコンを4つタップしてください」という指示で、CAPTCHA（ロボット判定）のように見せかけていますが、これも本物のセキュリティチェックではなく、詐欺サイトの一部として作られた演出です。
パソコンからアクセスした際の画面。ページが存在しない表示になっている
スマートフォンでアクセスした際の画面。「盾アイコンを4つ選択」という新しいタイプの偽セキュリティ確認
■ 続報：8月2日の類似キットとの関係
本サイトでは2026年8月2日にも、同じ緑帯デザインのAmazon返金確認メールを解析しています。その際は件名に双方向テキスト制御文字（RLO）が使われていましたが、今回はゼロ幅文字という別の手法に切り替わっていました。クローキングの着地点がTencent Cloud東京リージョンである点は共通しており、同じ「型」のキットが手口を少しずつ変えながら使い回されているとみられます。さらに2週間ほど前にも類似テーマの「返金処理に関する確認のお願い」記事を公開しており、Amazonの返金確認を騙る手口は継続的に観測されています。
■ 注意点と対処法
- 件名や本文の見た目が不自然でなくても、コピー＆ペーストした際に不規則な文字列が現れる場合は、見えない文字が仕込まれている証拠です。
- 「返金処理」を装う連絡が届いた場合、メール内のリンクではなく、Amazon公式アプリまたはブックマークから直接サインインして注文履歴・返金状況を確認してください。
- 「盾アイコンをタップ」のようなセキュリティ確認画面が表示されても、それが本物のCAPTCHAとは限りません。不審なリンクはそもそも開かないことが一番の対策です。
- Receivedヘッダーに公的機関らしい名前が出てきても、それだけで信頼せず、実際のIPアドレスの所在地まで確認する習慣をつけましょう。
手口は次々と変わりますが、見分け方の基本は同じです。この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Navy
今、拡散中の詐欺メール
