Amazon「ご注文の配達遅延に関するお知らせ」は詐欺！SPF・DKIM両Pass達成の巧妙な罠と「はちげつかじゅん」に見る詰めの甘さ
お盆前の時期は宅配便の混雑も気になりますが、「配達遅延」という言葉に思わずドキッとしてしまう方も多いのではないでしょうか。今回はそんな心理を突いた、なかなか作り込まれたAmazon偽装メールをご紹介します。
📋 調査レポート：概要
| 件名 | [spam] ご注文の配達遅延に関するお知らせ |
| 表示上の送信者 | “Amazon” <mail16@mail16.cchaideneng.com> |
| SPF判定 | Pass |
| DKIM判定 | Pass（※後述の理由により「安全」を意味しません） |
| 送信元IP | 20.188.25.99（Microsoft Azure、東京） |
★★★☆☆
（誘導リンクは調査時点で既に機能停止）
⚠️ 本文中のリンクは絶対にクリックしないでください。「SPF・DKIM Pass」の表示があっても、正規のAmazonメールとは無関係です。
届いたメールの内容
実際に届いたメールの画面です。
実際に届いたAmazon偽装メールの表示画面
一見するとロゴ・配色・レイアウトともに本物そっくりですが、よく読むと気になる点がいくつかあります。まず本文の書き出しが「客様の」となっており、本来「お客様の」となるべき箇所の「お」が抜け落ちています。これはテンプレートに宛名や敬称を自動で差し込む仕組みが、何らかの理由で正しく動作しなかった痕跡と考えられます。
さらに面白いのが「最新の配達予定日」の欄です。本来「8月下旬」のような表記が入るはずのところに、「はちげつかじゅん」とひらがなのまま表示されていました。おそらく、漢字表記とふりがな（読み仮名）を切り替える変数の紐付けを間違え、ふりがなの方だけが本文に流れ込んでしまった不具合と思われます。精巧に作られたメールであるだけに、こうした「詰めの甘さ」がかえって見破るヒントになりますね。
送信ルートと偽装の判定
今回、最も注意していただきたいのがこの点です。ヘッダーを確認したところ、送信元の認証はSPF・DKIMともに「Pass」という結果でした。
💡 用語をやさしく解説
SPF・DKIM：どちらも「メールがそのドメインの正規サーバーから送られたか」を確認するための仕組みです。「Pass」は認証成功を意味しますが、これはあくまで攻撃者が用意した独自ドメイン（今回の場合 mail16.cchaideneng.com）に対して、そのドメイン自身が正しく認証されているというだけです。「Amazonの正規ドメインから送られた」という証明には一切なりません。
つまり「SPF・DKIMがPassだから安全」という判断基準は、フィッシング対策としては通用しないケースがあるということです。送信者の実際のメールアドレス（@mail16.cchaideneng.com）そのものを確認することが重要です。
送信元IPアドレス（20.188.25.99）をip-sc.netで確認したところ、Microsoft Corporation（Azure）が提供する東京リージョンのホスティング環境であることが分かりました。攻撃者は正規のクラウドサービスを借りて、その上に独自のメール配信基盤を構築し、大量送信を行っていると考えられます。
誘導リンクの現況
メール本文には2つのリンク（配達状況の追跡・配送状況の最新情報を確認する）が設置されていましたが、いずれも記号の混じった不審なパス構造の中間ドメインを経由するものでした。実際にアクセス状況を確認したところ、以下の通りでした。
1つ目のリンク：Chromeのセーフブラウジング機能により「危険なサイト」としてブロック
2つ目のリンク：既にドメインが失効し「このサイトにアクセスできません（NXDOMAIN）」
2つのうち1つは既にブラウザ側でブロック対象として認識されており、もう1つはドメイン自体が消滅していました。フィッシングサイトはブラックリスト入りや摘発を避けるため、短期間でドメインを使い捨てる傾向があり、今回も同様のパターンと考えられます。
注意点と対処法
- メール内のリンクは絶対にクリックしないでください。配達状況を確認したい場合は、Amazon公式アプリまたはブックマーク済みの公式サイトから直接ご確認ください。
- 送信者のメールアドレス（@より後ろ）を必ず確認しましょう。表示名が「Amazon」でも、実際のアドレスが正規ドメインと異なっていれば偽物です。
- 「SPF・DKIM Pass」の表示があっても、それだけでは正規メールの証明にはなりません。
- 不自然な日本語表現（今回のような「客様の」「はちげつかじゅん」等）が見られたら、詐欺メールを疑う手がかりにしてください。
- 身に覚えのない注文番号が記載されていても、慌てて確認しようとせず、まずはAmazon公式サイトの注文履歴で照合してください。
精巧に作られたメールほど、細部の不自然さに気づく目が大切です。「はちげつかじゅん」を見逃さない観察力が、被害を防ぐ一番の武器になります。
Data Provided by Heartland-Lab Security Research Unit
送信元IPの詳細情報はip-sc.netの公開データを参照しています。
使用配色テーマ：Burgundy
今、拡散中の詐欺メール
