Amazon「返金申請の本人確認のご案内」は詐欺！ゼロ幅文字と非表示ダミー文字列の二重難読化、Tencent Cloudへ誘導する手口
当サイトでは7月23日に、Amazonを騙り「返金処理に関する確認のお願い」と称する詐欺メールをご紹介しました。本文末尾に無意味な英数字を付加してフィルターをすり抜け、アクセスするとYouTubeへ強制的にリダイレクトされる、手の込んだキットでした。それから12日、同じ特徴を持つキットが装いを新たに再来しました。今回は難読化の手法がさらに一段階増えています。
ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです（見えない特殊文字は表示の都合上、除去しています）。
Amazon.co.jp 公式メールです 返金申請の本人確認のご案内 いつもAmazon.co.jpをご利用いただき、誠にありがとうございます。 このたび、お客様のご注文に伴う返金申請につきまして、通常と異なる環境からの操作と判断されたため、 セキュリティ保護の観点から処理を一時停止させていただきました。 不正利用の可能性を確認するため、本人様確認を実施させていただいております。 返金処理を進めるにあたり、本人様確認の手続きをお願いしております。 下記の手続きボタンからマイページにログインの上、内容の正確性をご確認ください。 期日までにご確認がない場合、返金完了が遅れる可能性がございますのでご注意ください。 ［手続きを進める］ 手続き期限：2026年8月5日 (水) 何卒よろしくお願い申し上げます。 このメールは自動配信されております。返信には対応できかねますのでご了承ください。
実際に受信した詐欺メールの画面。上部の緑帯に「Amazon.co.jp 公式メールです」と表示している
💡 ここで！ 二重に仕込まれた「文字化けのタネ」
このメールの表示方式をHTMLからテキスト表示に切り替えると、以下のような姿になりました。
テキスト表示に切り替えると、本文の随所に「r1ejynnrwjyl」「ig0jd1ahdzw3」「ghifm25b2gq」といった意味不明な英数字の羅列が現れる
この英数字の羅列は、HTML内でdisplay:none指定された、画面には表示されない部分に仕込まれたダミー文字列です。7月23日にご紹介した同型キットでは、この手法（本文末尾に一括で付加するタイプ）だけが使われていましたが、今回はさらに文章の随所にゼロ幅文字（画面には一切表示されない特殊な見えない文字）まで埋め込まれていました。件名や本文をテキストエディタに貼り付けたり、HTMLソースを表示したりすると、こうした見えない文字がエスケープシーケンスとして可視化され、発見できます。同じ文面を大量に送っていることをスパムフィルターの完全一致検知に気づかれにくくするため、メール1通ごとにわずかに「指紋」を変える目的とみられ、7月の時点から難読化の手法が一段と強化されている点が今回の見どころです。
■ 送信ルートおよび偽装判定
送信元IP（Received-SPFヘッダーより特定）：
20.78.149.31（helo=ranch.lbitfi.com）
回線情報（ip-sc.net確認）：
プロバイダ：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／利用形式：hosting
所在地：日本 大阪府大阪市
SPFの認証結果が「Pass」でも、それは「本物」を意味しません。
今回もAzure上に攻撃者が用意した「ranch.lbitfi.com」というドメイン自体のSPFレコードが認証に通っているだけです。正規のAmazonからのメールがこのドメインから送信されることはありません。
中継チェーン（参考情報）：
ヘッダーを遡ると、認証送信元とみられる180.235.236.36（KDDI Web Communications、東京都千代田区）から、中継サーバー209.132.51.114（Miva Merchant, Inc.、米国カリフォルニア州）を経由し、最終的に上記のAzureサーバーから当方へ着信するという、複数ホップのリレー構成になっていました。
DKIM署名の不一致（攻撃者側のほころび）：
このメールにはDKIM署名が2つ含まれていましたが、1つは送信ドメイン「ranch.lbitfi.com」と一致している一方、もう1つはd=hanmail.netという、Amazonともranch.lbitfi.comとも無関係な韓国系メールサービスのドメインを名乗っていました。おそらく別のスパムキャンペーンで使っていたテンプレートをそのまま使い回した痕跡とみられ、細部の詰めが甘い一面がうかがえます。
■ フィッシングサイト詳細解析——PCとスマホで挙動が分かれるクローキング
誘導先URL（伏せ字）：
hxxps://moshu88[.]com/QbptzkKX9i.toyohashi.jp
URLのパス部分に「toyohashi.jp」という実在の地名を含む文字列を混ぜており、一見すると公的機関や地域サイトのURLであるかのように見せかける小細工が施されています。実際には単なるURLパスの一部であり、公式ドメインとは何の関係もありません。
回線情報（ip-sc.net確認）：
プロバイダ：Shenzhen Tencent Computer Systems／AS132203（TENCENT-NET-AP-CN）／利用形式：hosting
※表示上は「東京都渋谷区」となっていますが、Tencent Cloud上のサーバーであるため、この住所をそのまま実際の運営拠点と断定することはできません。
パソコンから本文中のリンクにアクセスしたところ、以下のような404エラーページが表示されました。
パソコンからアクセスした際に表示された404エラーページ。「The page never existed on the site.」と表示される
一方、スマートフォンから同じリンクにアクセスすると挙動が異なり、「セキュリティチェック」を装う画面を経由したのち、最終的にYouTubeへ強制的にリダイレクトされました。パソコンでは意図的に空振りさせ、実際に被害が出やすいスマートフォンにだけ本来の誘導を行っている（もしくは既にキャンペーンが停止し、痕跡を消すために無害なサイトへ転送している）とみられます。「パソコンで確認したらエラーだったから安全」という判断は禁物です。
なお、送信インフラ（Azure）・誘導先（Tencent Cloud）・クローキングでYouTubeへ転送するという一連の挙動は、7月23日にご紹介したAmazon「返金処理に関する確認のお願い」を装う詐欺メールと完全に一致する特徴です。件名・本文の文言や難読化の手法だけを変えながら、同じ攻撃基盤が約2週間にわたって稼働を続けている実態がうかがえます。
■ 注意点と対処法
- メール内のボタン・リンクは絶対にクリックしない：誘導先は接続環境によって表示を変える巧妙な仕組みです。
- 返金・アカウント状況の確認は公式アプリ・ブックマークから：メール内のリンク経由でのログインは絶対に避けてください。
- 「宛名がない」メールは要注意：正規のAmazonからの通知には、通常お客様のお名前が記載されます。
- PCで安全に見えても油断しない：スマートフォンでは別の挙動をする可能性を常に念頭に置いてください。
本レポートの結論
7月23日にご紹介したAmazon返金詐欺と同一の攻撃基盤（Azure送信・Tencent Cloud誘導・YouTube強制リダイレクト）が、ゼロ幅文字による難読化を新たに追加して再来しました。手口が少しずつ進化しながら繰り返し届いている実態が分かります。身近な人が慌てて手続きしてしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Navy
今、拡散中の詐欺メール
