【Amazon「ギフト券残高のお知らせ」は詐欺メール】￥マークが2個、最後はなぜかセゾンカード偽サイトへ

HL-META: date=2026-08-30 | brand=Amazon | sender_geo=日本 | site_geo=unknown | spf=pass | dkim=unknown | cloaking=no

Amazonから突然「ギフト券残高が追加されました」と届けば、ちょっと得した気分になるかもしれません。ところが今回のメール、調べれば調べるほど設定が崩れていきます。緑色の“安全そうな帯”、テキスト表示で現れる謎の文字列、そして「￥￥3,527」。最後にたどり着いた先は、なぜかセゾンカードの偽ログイン画面でした。

📧 実際に届いたメール

メールは「ギフト券残高のお知らせ」と題し、アカウントにギフト券残高が追加されたと案内します。ギフト券番号、追加日時、有効期限などを並べ、オレンジ色の「ギフト券残高を確認する」ボタンへ誘導する作りです。

実際に届いた「ギフト券残高のお知らせ」メール

件名：[spam] ギフト券残高のお知らせ

アマゾンが送信したメールです

ギフト券残高のお知らせ

お客様のアカウントにギフト券残高が追加されたことをお知らせいたします。

ギフト券番号：6475-289197-9218
追加日時：2026年08月30日
追加金額：￥￥3,527
有効期限：3日間

［ギフト券残高を確認する］

🟩 緑色の帯は「メールソフトのお墨付き」ではない

メール上部には緑色の帯で「アマゾンが送信したメールです」と表示されています。最近の同系統メールでよく見かけるデザインですが、これはメールソフト側が安全性を保証して表示したものではありません。

実際のHTMLを見ると、この緑色の帯はメール本文の中に通常のテーブルとして組み込まれており、背景色もHTML側で指定されています。つまり、攻撃者が自分で作った“安全そうに見せる飾り”です。

🪄 テキスト表示にすると現れる「怪しい呪文」

このメールをテキスト表示すると、本文末尾に通常の文章とは思えない長い文字列が現れます。HTMLソースには、普段の表示では見えにくい不可視文字や、非表示指定されたランダム文字列も含まれていました。

テキスト表示にすると末尾から現れた意味不明な文字列

メールを普通に読むだけでは気づきにくい部分ですが、ソース表示やテキスト表示に切り替えると、こうした仕込みが見える場合があります。いわば「怪しい呪文が召喚された」状態です（笑）。

📡 送信ルートを確認

受信ヘッダーでは、受信側へ接続してきた最終送信サーバーとして 20.89.246.104 が確認できます。その一段前には 3.180.121.113 が記録されていました。

役割	IP / 調査結果
上流で確認されたホスト	3.180.121.113 のIP調査結果を見る Amazon.com, Inc. / AS16509 / 米国・ニューヨーク州判定
受信側へ接続した最終送信サーバー	20.89.246.104 のIP調査結果を見る Microsoft Corporation / AS8075 / 日本・大阪府大阪市判定

※メールヘッダー詳細は個人情報保護のため非掲載

🌐 「ギフト券残高を確認する」の行き先

メール本文に設定されていた一次誘導先は次のURLです。

hxxps://jmcfkj[.]com/c/5KrBqxlfMG

アクセス確認では、ChromeのGoogle Safe Browsingが「危険なサイト」と警告し、最近フィッシングが検出されたサイトとしてアクセスを遮断しました。

Google Safe Browsingが誘導先を危険なサイトとして警告

💳 最大のオチ：Amazonのはずが、なぜかセゾンカード

そして警告の先で確認できたのが、セゾンカードのNetアンサーを模したログイン画面でした。最終確認URLは次の通りです。

hxxps://saison-card[.]rajyogconcepts[.]com/aqfk-point-login/

Amazonのギフト券確認から最終的に表示されたセゾンカード偽ログイン画面

偽サイト側で確認したIP

調査時に rajyogconcepts[.]com と関連して確認したIPは 172.65.237.18 でした。

IP調査	172.65.237.18 のIP調査結果を見る
事業者 / AS	Cloudflare, Inc. / AS13335
位置情報判定	カナダ・オンタリオ州トロント

ただし、このIPはCloudflareのエッジIPです。したがって、「偽サイト本体のサーバーがトロントにある」とは判断できません。Cloudflareの背後にあるオリジンサーバー所在地は今回の調査では確認できていないため、サイト所在地は不明として扱います。

📎 不審な添付ファイルも存在

このメールには K7WZ5d.ljyzf という不審な添付ファイルも付いていました。安全上、この添付ファイルは開いておらず、内容も解析していません。身に覚えのないメールに付属する未知の拡張子ファイルは開かないでください。

✅ 注意点と対処法

• 心当たりのないギフト券残高通知は、メール内リンクを押さない。
• Amazonの残高やアカウント状況は、公式アプリまたは自分で開いた公式サイトから確認する。
• 途中で別ブランドのログイン画面へ変わった場合は、その時点で入力を中止する。
• AmazonやカードサービスのID・パスワードを入力した場合は、公式サイトから速やかに変更する。
• カード番号などを入力した場合は、カード会社へ連絡して利用状況を確認する。
• 不審な添付ファイルは開かず、そのまま削除する。

まとめ

今回のメールは、Amazonのギフト券残高追加を装って一次誘導先へアクセスさせ、最終的にはセゾンカードのNetアンサー風ログイン画面へ誘導するフィッシングでした。

緑色の帯、テキスト表示で現れる謎の文字列、二重の円マーク「￥￥3,527」、そしてAmazonからセゾンカードへ突然変わるブランドのねじれ。ひとつひとつを見ると小さな違和感ですが、重ねて見るとかなり分かりやすい偽物です。

「メールのボタンから確認しない」ことが最も簡単で効果的な対策です。気になる通知が届いたときほど、メールを閉じて公式アプリやブックマーク済みの公式サイトから確認してください。

Data Provided by Heartland-Lab Security Research Unit
IP調査参考：ip-sc.net