「FedEx – Your Package Is On Hold」は詐欺メール｜支払い先は本物のPayPalページでした
⚠ これはFedExからのメールではありません
支払いを求める詐欺メールです
届いたメールの内容
メールは、すべて英語で書かれていました。文面の再現と、実際の画面です。リンクの行き先は、クリックできないよう書き換えています。
件名：FedEx – Your Package Is On Hold (Ref: KA78FW) 送信者名：FedEx Delivery Services Shipment awaiting payment Your FedEx shipment has been placed on hold. A small balance is due before the package can be released for delivery. Please review and complete the payment below. Tracking ID: 7805 4392 1128 FX Service: FedEx Ground Economy Due date: Nov 11, 2026 Balance due: $69 USD Package on hold — Payment required [ Complete Payment ] → hxxps://www.paypal.com/ncp/payment/VW8E4YCNBWHBS FedEx Payment Protection This secure link redirects to our verified payment portal. Your details are encrypted and never shared. Amount due: $69 USD. If in doubt, verify through FedEx tracking. Need help? Contact support | Secure transaction ID: FP-3B9K2 (c) 2026 FedEx Corporation. All rights reserved. Privacy Terms Secure Payment This is an automated invoice notification from FedEx. If you didn't request this payment, please ignore or contact fraud prevention. Amount due: $69 USD.
▲ 実際に届いたメールの画面（件名の［spam］は受信側のフィルターが付けた印です）※メールヘッダー詳細は個人情報保護のため非掲載
本物のPayPalでも、安心できない理由
メールにあるボタンやリンクは、全部で5か所ありました。ところが、どれも同じ行き先です。
| メール内の表示 | 実際の飛び先 |
| Complete Payment／Contact support／Privacy／Terms／Secure Payment | hxxps://www.paypal.com/ncp/payment/VW8E4YCNBWHBS（5つとも同じ） |
「お問い合わせ」「プライバシー」「利用規約」まで、すべて同じ支払いページへつながっていました。本物の配送会社のメールなら、こんな作りにはなりません。
飛び先は、本物のPayPalの決済ページです。PayPalには、誰でもアカウントを作れば、支払いを受け取るためのリンクを発行できる仕組みがあるようです。メールのURLが本物のPayPalだったとしても、支払ったお金の行き先はFedExではないとみられます。URLのドメインが本物かどうかだけでは、見抜けない手口です。
▲ リンクを開いて表示された決済画面（支払いや入力は一切していません）
ほかにも、おかしな点がありました
- 金額が食い違う：メールには「$69 USD」とありますが、開いた決済画面は「$59.00 USD」でした。画面の参照番号も、メールの番号とは別物です。
- 支払い期限が過ぎている：期限は「Nov 11, 2026」ですが、メールが届いたのは11月13日です。届いた時点で、すでに2日過ぎています。
- 配送会社が、メールで支払いを求めている：荷物の詳細は追跡番号だけで、受取人の名前も届け先もありません。
- 英語だけで書かれている：日本向けの案内なのに、日本語が一切ありません。
- 画面のロゴが表示されない：ロゴが、外部のサーバーから読み込まれる作りでした。
送信ルートと偽装判定
メールを最初に受け取った記録（Receivedの一番古い行）にあった送信元のIPアドレスは、34.55.97.74 でした。Googleのクラウド（貸しサーバー）のもので、調査サービスの推定では場所はアメリカのアイオワ州です。ただしこれはデータセンターの所在地で、攻撃者本人の居場所とは限りません。Google自身が送っているわけではなく、借りられるサーバーが悪用されているとみられます。
送信元の確認（SPF）は「失敗」でした。fedex.com は、許可していないサーバーからのメールを認めない、厳しい設定にしています（SPFは「不許可は拒否」、DMARCは「拒否」）。つまり、本物のFedExの設定が、このメールを偽物だと示しています。以上から、FedExとは無関係の、送信元を偽ったメールと判定しました。
同じ日に、別の件名でも届いていた
迷惑メール一覧には、同じ日付で別の件名のFedEx偽メールも並んでいました。件名の末尾の参照番号が、メールごとに違います。同じ仕組みで、件名と番号を変えながら送られているようです。
▲ 迷惑メール一覧の一部。件名の違う2通が並んでいます
📖 用語解説
SPF：「このドメインからメールを送ってよいサーバー」を、ドメインの持ち主が登録しておく仕組みです。登録にないサーバーから届くと「失敗」になります。
DMARC：SPFなどに失敗したメールを、どう扱うかを決めるルールです。「拒否」にしている場合、本来は届かないよう弾かれるべきメールです。
HELO：メールを送るサーバーが、受け取る側に名乗る「自己紹介」です。自称なので、偽ることもできます。
注意点と対処法
届いたときは
- メール内のボタンやリンクは押さない。行き先が本物のPayPalに見えても同じです。
- 荷物が心配なときは、FedExの公式サイトを自分で開き、追跡番号から確認しましょう。心当たりのない荷物なら、そのまま無視して大丈夫です。
- 配送の手数料などを、メールのリンクから支払う必要はありません。支払いが必要かどうかは、公式の窓口に直接問い合わせると確実です。
- 不審なメールは、FedExが案内している報告先
abuse@fedex.comへ転送して削除できます。返信はしないでください。
もし支払ってしまったら
- 落ち込まなくて大丈夫です。本物のPayPalの画面なので、迷うのは当然です。
- クレジットカードで払った場合は、すぐにカード会社へ連絡して、請求の停止や不正利用の相談をしてください。
- PayPalで払った場合は、PayPalのアプリや公式サイトにログインして、PayPalのサポートへ相談しましょう。
- 困ったときは、消費者ホットライン（188）や、警察の相談窓口（#9110）でも相談できます。
決済ページには「Report this link」というリンクがあり、PayPalへ通報できます。不審なメールやサイトは、PayPalが案内している phishing@paypal.com へ転送する方法もあります。くわしくは、PayPalの偽メール・偽サイトの報告方法（英語）で案内されています。
リンク先が本物のPayPalでも、
メールから荷物の支払いはしないで
通販が増える季節は、荷物の連絡を装う詐欺も増えがちです。
身近な方にも届いているかもしれません。この記事を共有してください。
Data Provided by Heartland-Lab Security Research Unit
IPアドレスの調査には IP調査兵団（ip-sc.net） の情報を参照しています。