「お届けに伺いましたがご不在でした再配達のご連絡」は詐欺！ゼロ幅文字コードの露出とPC・スマホ別クローキングの手口を解析

2026年8月12日

お盆休みで宅配便のやり取りが増える時期だからこそ、今回はAmazonの「不在配達通知」を騙る詐欺メールを解析していきます。今回は珍しく、攻撃者側の”作業ミス”がそのまま見えてしまう痕跡が複数見つかりました。

【実録】Amazon「不在配達」偽メールの正体：漏れ出たゼロ幅文字コードと端末別クローキングの二重証拠

Heartland-Lab（ハートランド・ラボ）専門調査レポート

Amazonの配送不在通知を装い、「再配達日時を予約する」ボタンからリンクをクリックさせようとするフィッシングメールです。件名や本文にはゼロ幅文字による偽装が仕込まれていましたが、プレーンテキスト版では変換に失敗し、隠すはずのコードがそのまま文字として露出しているという珍しい”実装ミス”が確認されました。さらに誘導先では、パソコンとスマートフォンで表示が切り替わる「クローキング」の実例も確認できました。

緊急性レベル	★★★☆☆ (3/5)
偽装工作精度	★★★☆☆ (3/5)

※重要：本メールを開封しただけでも、アクティブなメールアドレスとして攻撃者リストに登録されるリスクがあります。

■ メールヘッダー解析（送信者情報）

件名：お届けに伺いましたがご不在でした再配達のご連絡

送信者名：Amazon.co.jp 配送について（表示名を偽装）

送信元アドレス：lettuce@lettuce.fmksks.com

受信日時：2026年8月12日 7:43

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

1. ■ 詐欺メール本文の再現
2. ■ 送信ルート及び偽装判定
3. ■ フィッシングサイト詳細解析
4. ■ 注意点と対処法

■ 詐欺メール本文の再現

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。実際の見た目は下の画像をご参照ください。

ご不在連絡メール

amazon

お届けに伺いましたがご不在でした 再配達手続きのご案内

いつもご利用いただき、ありがとうございます。

配達担当者が訪問いたしましたが、ご不在のため商品をお届けできませんでした。

お手数ですが、再配達のご希望日時をご指定いただきますようお願いいたします。
置き配設定をご希望の場合は、マイページより受取方法を変更いただけます。次回の配達より適用されます。

配送担当： Amazon.co.jp
不在票番号： RD64579321

［再配達日時を予約する］

※再配達は1回まで無料となります。2回目以降は別途手数料が発生する場合がございます。

▲ 実際に届いた詐欺メールの画面。Amazonの不在連絡通知を巧妙に模倣しています。

■ 送信ルート及び偽装判定

■ Receivedヘッダー解析（サーバー通過証明）

送信元IP（Received-SPFより確定）：
client-ip=4.150.15.110; helo=lettuce.fmksks.com

【偽装判定】：
正規のAmazonからのメールは「amazon.co.jp」ドメインから送信されます。本メールは「lettuce.fmksks.com」という無関係のドメインから送られており、Amazonの公式サーバーとは一切関係がありません。

【二重の送信インフラ】：
ヘッダーをさらに詳しく調べると、内部に「Received: from mail.a33a585.blog ([4.51.0.151]) (Authenticated sender: mail777@lettuce.fmksks.com)」という記載が見つかりました。これは、実際にメールを投稿したクライアント（4.51.0.151）が、認証付きで中継サーバー「lettuce.fmksks.com」に接続し、そこから配信されたことを示しています。つまり、送信には2段階のインフラが使われていたことになります。

【不自然なDKIM署名】：
ヘッダーには「d=docomo.ne.jp」というDKIM署名も付与されていましたが、実際の送信インフラはNTTドコモとは無関係です。おそらく別サービス向けに作成したテンプレートをそのまま流用した際の消し忘れと考えられます。

発信元ロケーション解析（Received-SPF送信元）：
IPアドレス：4.150.15.110
ホスティング：Microsoft Corporation（Azure、AS8075）
ロケーション：アメリカ・テキサス州・ベア郡・サンアントニオ

実際の投稿元クライアントIP：
IPアドレス：4.51.0.151
ホスティング：Level 3 Communications, Inc.（AS3356）
ロケーション：アメリカ・ルイジアナ州・ワシタ郡・モンロー

💡ここで！ゼロ幅文字の「作業ミス」が見えた理由

今回のメールも件名や本文にゼロ幅文字（Unicodeの不可視文字）が仕込まれていましたが、通常のメールはHTML形式とプレーンテキスト形式の2種類を同時に用意します。攻撃者側のテンプレート生成ツールは、HTML版では正しく不可視文字に変換できていたものの、プレーンテキスト版では変換処理が失敗し、「」「」といったコードの文字列がそのまま本文に残ってしまっていました。

メールソフトによってはHTML版ではなくプレーンテキスト版を優先的に表示する設定があり、その場合はこうした不自然な文字列がそのまま画面に表示されてしまいます。ゼロ幅文字の有無は、メール本文をテキストエディタに貼り付けたり、送信元の「元のメッセージを表示」機能で確認することで発見できます。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://energialeve[.]com/CymSKLXkby.or.jp

リンクドメイン：energialeve.com

サーバーIP：43.133.182.61

ホスティング：Shenzhen Tencent Computer Systems Company Limited（Tencent Cloud、AS132203）

ロケーション：日本・東京都・渋谷区（Tencent Cloud東京ノード）

【サイトの状態・クローキングの実証】：
同一のURLに対し、パソコンからアクセスすると「404 Not Found」が表示される一方、スマートフォンからアクセスすると偽の「セキュリティチェック」画面が表示され、通過するとYouTubeへリダイレクトされるという、端末によって挙動が変わる「クローキング」を確認しました。これは、セキュリティ調査ツールやパソコンからの解析を避けつつ、スマートフォンで実際にメールを見た被害者だけを標的にする典型的な回避策です。

▲ プレーンテキスト版のメール本文。本来は見えないはずのゼロ幅文字のコードがそのまま露出しています。

▲ パソコンから誘導先URLへアクセスした場合の画面。「404 Not Found」が表示されます。

▲ 同じURLにスマートフォンからアクセスした場合の画面。偽の「セキュリティチェック」を通過するとYouTubeへリダイレクトされました。

※本レポートに記載されている位置情報や国名は、調査時点のデータに基づいています。攻撃者による経由サーバーの切り替えや調査ツールのデータ更新のタイミングにより、実際のロケーションと一時的に変動・乖離することがあります。

■ 注意点と対処法

メール内のリンクは絶対にクリックしないでください。不在票番号が記載されていても、正規のAmazonの通知とは限りません。
配達状況を確認する：実際に荷物を待っている場合は、Amazonの公式アプリまたは配送業者の公式サイトから追跡番号で直接確認してください。
スマホとパソコンで結果が違っても油断しない：今回のように端末によって表示が変わる詐欺サイトもあるため、「パソコンで見たら何も出なかったから安全」とは判断しないでください。
公式注意喚起の参照：「Amazonを装ったフィッシング詐欺メールによる被害を防ぐ3つのポイント」（About Amazon Japan公式）

本レポートの結論

ゼロ幅文字の変換ミスや無関係なドコモのDKIM署名など、攻撃者側の作業の粗さが随所に見える一方で、端末によって挙動を変えるクローキングはしっかり実装されている、ちぐはぐな詐欺メールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEで送る

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net

使用配色テーマ：Burgundy