「12,890ポイントが8月30日に失効」は詐欺メール！Amazon公式を装う”見せかけDKIM”と、リンク偽装の手口を解析

ご覧の通り、これはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

お客様各位

平素よりAmazonをご利用いただき、誠にありがとうございます。

━━━━━━━━━━━━━━━━━━━━
　大切なポイントが消える前に
━━━━━━━━━━━━━━━━━━━━

お客様がお持ちの 12,890ポイント の一部が、2026年8月30日 をもって失効いたします。
このまま何もしないと、せっかくのポイントがすべて無効になります。

━━━━━━━━━━━━━━━━━━━━
　12,890ポイントで今すぐできること
━━━━━━━━━━━━━━━━━━━━

Prime会員（12ヶ月）→ 12,000ポイント
お急ぎ便・Prime Video・Prime Music が楽しめます

Amazonギフト券 5,000円分 → 5,000ポイント
すぐに買い物に使えて、残り7,890ポイントもそのまま貯まります

Amazon Music Unlimited（6ヶ月）→ 8,400ポイント
9,000万曲以上が聴き放題

Kindle Unlimited（3ヶ月）→ 2,700ポイント
200万冊以上の電子書籍が読み放題

━━━━━━━━━━━━━━━━━━━━
今すぐポイントを交換する
https://www.amazon.co.jp/update/　（表示のみ／実際の遷移先は本文で解説）

※ログイン後、ポイント交換ページでお手続きください（所要時間約2分）
━━━━━━━━━━━━━━━━━━━━

このメールはAmazonポイントサービスセンターよりお送りしています。
本メールは送信専用アドレスから配信されております。
ご返信いただいてもお答えできませんので、あらかじめご了承ください。

受信設定の変更はこちらから行えます。
https://www.amazon.co.jp/
802HLBO4

■ 見どころ①：Amazon公式を騙る”見せかけ”のDKIM署名

メールヘッダーには次のような記載がありました。

DKIM-Signature: ... d=amazon.co.jp ... i=info@amazon.co.jp

DKIM（ディーキム）とは、送信ドメインが本当にそのメールを送ったことを暗号技術で証明する仕組みです。正しく機能していれば、「d=amazon.co.jp」と書かれた署名は、Amazon自身が管理する秘密鍵で作られたものでなければ検証を通りません。しかし本メールの実際の送信元は「iqipan.com」という無関係なドメインであり、Amazon本物の鍵を持っているはずがないため、この署名を検証すれば確実に失敗します。つまり、ヘッダーをざっと見ただけで「DKIM署名がある＝Amazon公式」と誤解させることだけを狙った、見せかけの記載だったというわけです。DKIM-Signatureヘッダーが存在すること自体は、何の安全の証明にもなりません。

■ 見どころ②：表示リンクと実際の行き先が異なる偽装

メール本文では、リンクの表示文字列としてhttps://www.amazon.co.jp/update/という、いかにも公式らしいURLが表示されていました。しかし実際にクリックした際の遷移先（href属性）は、まったく別の次のURLでした。

hxxps://qianshengzixun[.]com/content/kknqqpxxgy

パソコン利用時にリンクへマウスカーソルを重ねると、画面下に実際の遷移先URLが表示されます。この一手間を惜しまないことが、被害を防ぐ第一歩になります。

■ フィッシングサイト詳細解析

誘導先のqianshengzixun.com（IP: 43.167.208.189）にアクセスすると、Chromeのセーフブラウジング機能により「危険なサイト」として警告・ブロックされました。

別途確認されたkkkce.top/jp（IP: 43.133.23.167）では、警告を経ずにAmazonの偽ログイン画面が表示されましたが、Amazonのロゴやオレンジ色のブランドカラーが一切なく、素っ気ない白背景のフォームだけという、これまで見てきたAmazon詐欺サイトの中でも異例なほど簡素な作りでした。手抜き、あるいは検知回避のためにあえてブランド要素を排除した可能性が考えられます。

ip-sc.netで両IPを調査したところ、いずれもTencent Cloud（AS132203・TENCENT-NET-AP-CN）と判明しました。GeoLite2の国別判定では日本と表示されますが、Tencent Cloudは中国・深センに本社を置く企業のクラウド基盤であり、住所情報は実際の攻撃者の所在地を示すものではありません。

■ 本日すでに確認しているAzure基盤との共通点

本メールの送信元IP（Microsoft Azure・AS8075）は、本日すでに解析したAmazon Prime会費詐欺メールおよびApple／iCloud+詐欺メールと同じクラウド基盤・同じASでした。個別のIPアドレス自体は異なるものの、同日中に3件連続でAzure基盤からの詐欺メールが確認されていることになり、同一の攻撃者、または共有された配信インフラが使われている可能性が高まっています。また、「Azure送信・Tencent Cloud着地」という組み合わせは、当ブログで過去にも確認している既知のパターンでもあります。

■ 注意点と対処法

1. リンクの実際の行き先を確認する：パソコンではリンクにマウスを重ねる、スマートフォンでは長押しすることで、実際の遷移先URLを事前に確認できます。
2. 「DKIM署名がある」だけで信用しない：署名の存在自体は安全の証明にはなりません。判断基準にはしないでください。
3. 公式サイト・公式アプリから確認：ポイント残高の確認は、必ずご自身でブックマークした公式サイトまたは公式アプリから行ってください。
4. 公式注意喚起の参照：Amazonを装ったフィッシング詐欺メールによる被害を防ぐ3つのポイント（Amazon Japan公式）

本レポートの結論

今回のメールは、DKIM署名にAmazon公式ドメインを騙る見せかけの記載と、表示リンクと実際の遷移先が異なる偽装を組み合わせた、なりすましメールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。