Amazon「ご依頼事項品物の納品準備が整いました」は詐欺！一晩で54通確認、署名の「株式会社ディープゾーン」は乗っ取られた実在サーバーだった【続報】

みなさん、こんにちは。街のIT専門家、Heartland-Lab（ハートランド・ラボ）です。お盆明けで宅配便のやり取りが増える時期ですが、その裏でAmazonを騙る詐欺メールも負けじと数を増やしています。今回はその「増え方」自体が主役の記事です。

■ 代表例：メール本文の再現

54通の中から、語彙の珍妙さが際立つ1通を詳しく解析します。

件名：[spam] ご依頼事項品物の納品準備が整いました
送信者："アマゾン" <lzpqen@lzpqen.happymusichome.com>

お受け取り準備完了処理のご案内

平素より格別のご愛顧を賜り、厚く御礼申し上げます。

ご注文いただきました商材が、受け取り場所にてお届けの準備が整いました。ご訪問いただく前に、下記のご確認先にて受取場所と対応受取可能時間をご確認事項ください。

ご来場をご辛抱申し上げております。何卒よろしくお願いいたします。

［受取情報を確認する］

本メールは送信専用のため、返信いただいてもご対応いたしかねます。
ご不明な点は所定のお問い合わせ窓口までお願いいたします。
株式会社ディープゾーン

実際に届いたメールの画面

「商材」「ご確認事項ください」「ご来場をご辛抱申し上げております」など、これまでのシリーズと同じ系統の、辞書から硬い言葉を引いてきては場違いな場面に当てはめてしまう独特の言葉選びが今回も健在です。特に「ご来場をご辛抱申し上げております」は、「ご来場をお待ち申し上げております」と言いたかったのを、意味の異なる類語に置き換えてしまったための破綻とみられます。

■ 送信ルート及び偽装判定

※メールヘッダー詳細は個人情報保護のため非掲載です。受信者情報はすべて伏字処理しています。

送信元IPを調べたところ、逆引きDNSでgoogleusercontent.comというホスト名が確認でき、Googleクラウド基盤から送信されていることが分かりました。SPF・DKIMともに「Pass」と表示されますが、これは攻撃者が自分で用意したドメイン（happymusichome.com）に対して正しく設定をしているだけのことです。「本物のAmazonだから合格した」という意味では全くなく、むしろ「フィルターをすり抜けるための工作をきちんとやっている」ことの裏返しです。

また、この送信ドメインhappymusichome.comは、当ラボが今回の54通の中で繰り返し確認しているファミリーの一つで、送信のたびにサブドメインをランダムな文字列に変えながら（かつローカル部とサブドメイン名を一致させる作り方で）大量に使い捨てているパターンです。

■ フィッシングサイト詳細解析（2段階リダイレクト）

今回の代表例では、ボタンをタップした後に2段階のリダイレクトを経て偽のログイン画面へたどり着く構成になっていました。

▼ 第1段階：hxxps://admin-support-nz［.］com/bsdf/wibdx

ウイルスバスターがフィッシングと判定し、アクセスをブロックした画面（第1段階）

▼ 第2段階（タイポスクワッティング）：hxxps://xts6［.］com/Am2az-0ncO-jp-jp/

第2段階のタイポスクワッティングドメインも同様にブロックされた（ドメイン名の「Am2az」「0ncO」に注目）

最終的にたどり着くのは、本物そっくりに作られた偽のAmazonログイン画面です。

最終着地点の偽ログイン画面。デザインは精巧だが、URLはAmazonと無関係

■ 署名「株式会社ディープゾーン」の正体

今回の代表例には、これまでのシリーズでも度々登場していた「株式会社ディープゾーン」という、Amazonと無関係な署名が今回も入っていました。メールのソースを詳しく調べたところ、本文中のAmazonロゴ画像が、攻撃者が用意したものではなく、国内の実在するレンタルサーバー上にある第三者のドメイン（以下「D社」とします）から直接読み込まれていたことが分かりました。

つまり「株式会社ディープゾーン」は、生成AIによる作文ミスではなく、画像の間借り先ドメイン名をそのまま署名欄に転記してしまった痕跡だった可能性が高いということです。D社が自ら詐欺に加担しているのか、それとも契約しているサーバーアカウントが乗っ取られ、画像置き場として無断利用されているだけなのかは、現時点では判断できません。実在する事業者への影響を考慮し、当ラボでは具体的な社名・ドメイン名の公開は控えます。

■ 一晩で確認した件名のバリエーション（一部抜粋）

54通の中から、特に語彙の選び方が独特だったものを抜粋します。件名・送信者名を細かく変えているのは、スパムフィルターの学習・検知を回避するための工夫と考えられます。

• ごご用命の登録を完了しましたのでお知らせします
• ご要望内容をご査収ください
• 品物を間もなくおお引き取りいただけます
• お届け物の引取先をご照合ください
• 商品のおお引取りに関するお知らせ
• 引取番号をご用意のうえ店舗へお越しください

「ごご」や「おお」といった単純な二重打鍵ミスのような誤字から、「査収」「照合」など本来ビジネス文書で使う硬い言葉の場違いな流用まで、これまでのシリーズで確認してきた特徴がそのまま踏襲されています。

■ 前回の特集記事との関連

Amazon配送なりすまし詐欺は、当ラボが2026年7月31日時点で133通の亜種を確認して以降も収束せず、むしろ勢いを増しています。件名・送信者名のパターンは毎回変化していますが、「配送」「お届け」「受け取り」という日常的なテーマを装う手口の根っこは変わっていません。

■ 注意点と対処法

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Burgundy