Amazon配送通知「受付完了のお知らせ」は詐欺！プレーンテキストにゼロ幅文字もどきを仕込む新手口、香港発Azureから送信

2026年7月25日

Amazon配送通知「受付完了のお知らせ」は詐欺！プレーンテキストにゼロ幅文字もどきを仕込む新手口、香港発Azureから送信

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

Amazonの配送通知を装う詐欺メールが届きました。「置き配」の設定確認を促す、いかにもありそうな内容ですが、メールのソースを詳しく調べると、文字と文字の間に文字参照コードをそのまま埋め込むという、フィルター回避を狙った珍しい難読化工作が見つかりました。送信元はMicrosoft Azureの香港リージョンです。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★★☆ (4/5)

※重要：本文中の「配送状況を確認する」リンクは絶対にクリックしないでください。

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ 不審メールの基本情報
2. ■ メール本文の再現
3. ■ プレーンテキストへのゼロ幅文字もどき注入
4. ■ 送信ルート及び偽装判定
5. ■ 送信元の回線情報（ip-sc.net確認）
6. ■ 誘導先の現状
7. ■ 注意点と対処法

■ 不審メールの基本情報

件名：[spam] 受付完了のお知らせ

差出人表示名：“自動配信” <bqwykf@wanliangba32.wanliangba.com>（Amazon公式とは無関係の独自ドメイン）

受信日時：2026年7月23日

※メールヘッダー詳細は個人情報保護のため非掲載です。

■ メール本文の再現

HTMLメールとして届いた本文は、一見するとよくあるAmazonの配送通知そのものです。

実際に受信した詐欺メールの画面。「置き配」設定の不備を装い、リンククリックを促している

「配送先および受取方法（”置き配”）の設定内容に不備がないか」という、実際にAmazonを利用している人ほど「あるある」と感じてしまいそうな文言が使われています。ドライバーから電話・SMSで連絡が来る可能性がある、という一文も、リンクを開かせるための布石と考えられます。

■ プレーンテキストへのゼロ幅文字もどき注入

このメールはHTML版とプレーンテキスト版の両方が同梱された形式（multipart/alternative）で送られてきていました。プレーンテキスト版を直接表示してみると、次のような特徴的な文字列が見つかりました。

メール本文のプレーンテキスト部分を表示すると、「お‌客‍様」のように、日本語の合間に‌やといった文字参照コードがそのまま文字列として挟み込まれているのが確認できる

これらは本来、Webページ（HTML）上で「幅ゼロの見えない文字」として解釈されるコードですが、プレーンテキストの中にそのままテキストとして埋め込まれているため、実際には見えない文字ではなく、コードの文字列そのものが紛れ込んだ状態になっています。「お客様」「ご注文」といった単語をそのままの並びで書かず、間にこうした文字列を挟むことで、スパムフィルターの単純な文字列一致検索を回避しようとする難読化工作と考えられます。この特徴は、メールソフトの通常表示では見えず、本文のソースやプレーンテキスト部分を直接表示・確認することで初めて発見できました。

■ 送信ルート及び偽装判定

■ 送信元の解析

Receivedヘッダー解析：
Received-SPF: Pass client-ip=20.205.6.70; helo=wanliangba32.wanliangba.com; envelope-from=bqwykf@wanliangba32.wanliangba.com

DKIM署名：Pass（ただし`wanliangba32.wanliangba.com`という攻撃者自身のドメインに対する認証。Amazon公式ドメインとは無関係）

【偽装判定】：SPF・DKIMともに「認証OK」ですが、これは名乗っているドメイン自体との整合性が取れているだけで、Amazonのブランドとしての正当性を示すものではありません。

■ 送信元の回線情報（ip-sc.net確認）

IPアドレス：20.205.6.70

プロバイダー：Microsoft Corporation（AS8075 / MICROSOFT-CORP-MSN-AS-BLOCK）

利用形式：hosting（Microsoft Azure）

所在地：香港（九龍・旺角エリア）

脅威レベル：低

■ 誘導先の現状

誘導先URL（伏せ字）：hxxps://www.wanliangba［.］com/ltqogfyu

アクセスを試みたところ、まずGoogle Chromeのセーフブラウジング機能が「危険なサイト」として警告を表示しました。

Google Chromeが表示した「危険なサイト」警告画面

その後、あらためて確認したところ、このドメイン自体が名前解決できない状態（DNS失効）になっていることが分かりました。

現在は「DNS_PROBE_FINISHED_NXDOMAIN」となり、ドメイン自体が既に失効・閉鎖されていることが確認できた

Chromeに危険サイトとして名指しされた直後に姿を消すとは、なんとも潔い撤収ぶりです。攻撃者にとってもこの手のドメインは「使い捨て」である証拠と言えそうです。

■ 注意点と対処法

URLをクリックしない：「配送状況を確認する」等のリンクは開かないでください。
ブラウザの警告は無視しない：「危険なサイト」と表示された場合、そのまま引き返すのが安全です。
配送状況は公式アプリ・サイトから確認：Amazonの注文状況が気になる場合は、メール内のリンクではなく、公式アプリまたは公式サイトから直接ご確認ください。
SPF・DKIMがPassでも油断しない：認証結果は送信元ドメイン自体との整合性を示すだけで、ブランドの正当性を保証するものではありません。

本レポートの結論

Amazonの配送通知を装う詐欺メールで、プレーンテキスト部分に文字参照コードをそのまま埋め込むという珍しい難読化工作が見つかりました。送信元は香港発のMicrosoft Azure、誘導先は既に失効済みという、スピード勝負の使い捨てインフラでした。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

📱 LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
配色テーマ：Forest