「物品配送異常超過通知」は詐欺！千葉県・京都府庁を騙る偽装中継サーバー名と、韓国・南アフリカ・シンガポールをまたぐ送信網を解析

■ メールヘッダー解析（送信者情報）

件名：[spam] 物品配送異常超過通知

送信者名：Amazon（表示名を偽装）

送信元アドレス：autoconfig@autoconfig.haofenqi.net

受信日時：2026年8月12日 8:53

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 送信ルート及び偽装判定
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際の見た目は下の画像をご参照ください。

注文履歴　アカウントサービス　再購入

お荷物のお届けに関するお知らせ。

注文済み ✓ － 発送済み ✓ － 配送トラブル ✕ － 確認待ち

お荷物のお届けが完了できませんでした
配送先または受け取り方法の確認が必要です。

現在、お荷物の配送手続きにおいて問題が確認されております。お手数をおかけ
いたしますが、詳細をご確認のうえご対応をお願いいたします。

［配送状況を確認する］

上記のボタンより詳細ページへアクセスし、配送状況をご確認ください。ご不明な点がございましたら、カスタマーサービスまでお問い合わせください。

このEメールは配信専用です。返信しないようお願いいたします。

■ Receivedヘッダー解析（サーバー通過証明）

送信元IP（Received-SPFより確定）：
client-ip=40.89.192.207; helo=autoconfig.haofenqi.net

【偽装判定】：
正規のAmazonからのメールは「amazon.co.jp」ドメインから送信されます。本メールは「haofenqi.net」という無関係のドメインから送られており、Amazonの公式サーバーとは一切関係がありません。

【実在自治体を騙る偽装中継サーバー名】：
ヘッダー内部には「smtp.stream-component.pref.chiba.jp」「smtp.sender-community.pref.kyoto.jp」という、実在の千葉県・京都府の公式ドメイン（.pref.〇〇.jp）を連想させるホスト名が記載されていました。しかし、この記載の直後にある実際の認証済み接続元IP（105.210.2.186）を調べると、南アフリカの通信キャリア「MTN」の法人回線であることが判明し、日本の自治体とは一切関係がないことが分かりました。実在しそうな公的機関名を経由サーバー名に紛れ込ませることで、メールの経路に信頼性があるかのように見せかける偽装と考えられます。

発信元ロケーション解析：
IPアドレス：40.89.192.207
ホスティング：Microsoft Corporation（Azure、AS8075）
ロケーション：韓国・釜山広域市

中継の認証接続元：
IPアドレス：105.210.2.186
プロバイダ：MTN SA（AS16637、法人回線）
ロケーション：南アフリカ・ハウテン州・ヨハネスブルグ都市圏

💡ここで！「実在しそうな組織名」を騙る手口について

今回のメールのように、メールヘッダーの経由サーバー欄に実在の自治体・大学・企業を連想させるドメイン名を紛れ込ませる手口は、しばしば見られます（過去記事でも九州大学・立教大学を騙る例をご紹介しました）。これはヘッダーを覗いた人に「公的な経路を通っているから安心」と誤認させる狙いがあると考えられます。

見分けるポイントは、そのホスト名の直後に記載されている実際の接続元IPアドレスです。今回のように、堂々と「pref.chiba.jp」を名乗っていても、接続元IPを地理情報サービスで調べると全く無関係の国・組織であることが多く、ここに矛盾が生じます。

■ フィッシングサイト詳細解析

誘導URL（伏せ字）：hxxps://ookbuy[.]net/UoudFXSoYe.or.jp

リンクドメイン：ookbuy.net

サーバーIP：43.165.172.150

ホスティング：Aceville Pte. Ltd.（AS139341、シンガポール）

ロケーション：シンガポール
プロキシ検出：あり（データセンター／CDN系のホスティングプロキシ）

【URLの見た目を騙す仕掛け】：
誘導URLの末尾は「.or.jp」で終わっていますが、これは実際のドメイン（ookbuy.net）の後ろに続くパスの一部にすぎません。「.or.jp」という日本の公的・非営利団体系ドメインで終わっているように見せかけ、URLを流し見しただけの人に「安全そう」と誤認させる典型的な偽装です（本サイトで過去にご紹介したAmazon再配達詐欺メールでも同じ手口が使われていました）。

【サイトの状態】：Heartの調査時点で、パソコン・スマートフォンいずれからアクセスしても、動画サイト「YouTube」へリダイレクトされる状態でした。詐欺サイト自体がすでに閉鎖・無効化されたか、別の用途に転用された可能性があります。

■ 注意点と対処法

1. メール内のリンクは絶対にクリックしないでください。現在は無効化されているようですが、いつ別の詐欺サイトへ転用されるか分かりません。
2. 配送状況を確認する：実際に荷物を待っている場合は、Amazonの公式アプリまたは配送業者の公式サイトから追跡番号で直接確認してください。
3. URLの末尾だけで安心しない：「.or.jp」等の見慣れた文字列で終わっていても、実際のドメインが別にある場合があります。URL全体をよく確認する習慣をつけましょう。
4. 公式注意喚起の参照：Amazonを装ったフィッシング詐欺メールによる被害を防ぐ3つのポイント（About Amazon Japan公式）

本レポートの結論

実在の自治体名を騙る中継表記や、韓国・南アフリカ・シンガポールをまたぐ分散インフラなど、手の込んだ構成の詐欺メールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。