【注意】「本?日?のお?届けと配送指示の確?認?」Amazonを騙る続報詐欺メールを解析

※本件は、先ほど解析した「お受?取りの準備をお願いします。」という詐欺メールと同一犯による別パターンの攻撃です。

Amazonを騙る詐欺メールに、新たなバリエーションが出現しました。件名は「本?日?のお?届けと配送指示の確?認?」。今回も「？」を多用した難読化手口を継承しつつ、接続先の挙動にさらなる細工が施されています。

詐欺メールの再現

[spam] 本?日?のお?届けと配送指示の確?認?
"アマゾン?サポ?ート" <ewc@ewc.zwrwa.com>

お?客様

平素はAmazon.co.jpをご愛?顧?いただき、厚く御礼申し上げます。
本日、ご注文?いただきました商品を1点お届けする?予定でございます。

「置き配」の設定?内容は、配送状況の確認?画面より随時ご変更いただけます。また、配送担当ドライバーより、お電話 (050-3131-1231) またはショートメ?ッセージにて、直接ご連絡を差し?上げる場合がございます。なお、Amazonが配達する商品の配達時間は8時-21時の間となってお?ります。

配送業者?: Ama?zon

お?問い?合わせ伝?票番?号?: A?W075490915

[ 配送?状況? ]

※受信したメール画面。前回とそっくりですが、件名と伝票番号が異なります。

「本?日?」…届くのか届かないのか、詐欺師自身も迷っているのでしょうか。前回の攻撃と全く同じフォーマットの伝票番号を使用しており、同じスパム作成キットを使っていることが明白です。

送信ルートの解析

今回のメールヘッダーを解析した結果、以下の情報が判明しました。

※メールヘッダー詳細は個人情報保護のため非掲載

送信インフラは、前回同様にマイクロソフトのAzureが悪用されています。ドメインを次々と使い捨てる「ドメインホッピング」を行いながら、フィルターの規制を掻い潜って攻撃を継続しています。

進化したクローキングの謎

今回のフィッシングサイトは、接続する環境によって行き先が三変化する、より複雑な設定になっていました。

1. PC接続時の挙動

PCからメインドメイン（tie-a-tie-guides［.］com/）にアクセスすると、単なるガイドサイトのような無害なページ、あるいは何も表示されない状態になります。これはセキュリティ調査を避けるための基本工作です。

2. ボット・調査回避用パス

特定のパス（/NsYxOlOXmu.nishinomiya.jp）へ直接アクセスすると、ボット対策と称した中間ページが表示されることがあります。ここでも自治体ドメインを模した名前を使い、ユーザーを安心させようとします。

3. スマホ接続時の驚きの挙動

最も重要なターゲットであるはずのスマホからアクセスすると、なんと今回はYouTubeへ飛ばされることが確認されました。

これは「詐欺サイトが既に閉鎖された」場合や、「攻撃者がキャンペーンを一時休止し、追跡を逃れるために正規サイトへリダイレクトさせている」場合に多く見られる挙動です。しかし、数時間後には再び本物のフィッシングサイトへと切り替わる可能性が高いため、決して油断は禁物です。

注意点と対処法

• URL内の「.jp」に騙されない：URLの「一番右側にあるドメイン名」以外に .jp が入っていても、それは単なるパス（飾り）に過ぎません。
• 配送メールの「？」は100%詐欺：正規のAmazonが「本?日?」などと不安そうにメールを送ることは絶対にありません。
• 公式アプリで確認を徹底：たとえYouTubeに飛ばされたとしても、そのURL自体が「あなたの情報を狙ったもの」であったことに変わりはありません。二度とアクセスしないようにしましょう。

Data Provided by Heartland-Lab Security Research Unit
IP Analysis via ip-sc.net

Theme: Charcoal (PRIMARY: #2b2b2b / ACCENT: #cc0000)