「ご依頼ご購入品の整備状況について」はAmazonを騙る詐欺！Google Cloudから送信、ウイルスバスターとEdge両方が検知した多段階フィッシングの手口を解析

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下は届いた詐欺メールの文面を、技術検証のために忠実に再現したものです。

件名：[spam] ご依頼ご購入品の整備状況について
送信者："アマゾン" <lqgwin@lqgwin.hotel-villar-arene.com>

amazon.co.jp

ご注文案内の受諾照合

このたびはご注文をいただき、誠にありがとうございます。

ご購入いただきましたご注文品について、受領が終了いたしました。品物の準備が整い次第、配達を開始いたします。

お申込み内容のご確認や送付先のご案内につきましては、下記ボタンよりご審査いただけます。

［お買い物情報を点検する］

本メールにお心当たりのない場合は、お手数ですが本メールをご処分していただきますようお願いいたします。

■ 送信ルート及び偽装判定

認証結果：SPF = Pass ／ DKIM = Pass
Received-SPF: Pass; client-ip=34.175.244.143; helo=lqgwin.hotel-villar-arene.com

【偽装判定】：
送信元IPの逆引きDNSを確認したところ、googleusercontent.comというホスト名が得られ、Google Cloud上のサーバーから送信されていることが確認できました。Amazonの正規ドメイン（amazon.co.jp）とは無関係の、攻撃者が独自に用意したドメイン「hotel-villar-arene.com」のサブドメインから配信されています。

使用画像について：
メール本文中のAmazonロゴ画像は、実在する国内の某ウェブサイトのサーバーから読み込まれていました。無関係な第三者のサイトが画像ホスティングに悪用されている可能性が高いため、当サイトでは実際のドメイン名を伏せています。

■ 第1段階：初回誘導先

URL（伏せ字）：hxxps://bjlivecircle[.]com/slkg/wigd（シンガポールのホスティングサーバー）
この段階で、ウイルスバスタークラウドが「フィッシング」として警告を表示していました。

■ 第2段階：最終着地先

URL（伏せ字）：hxxps://zhg1[.]com/Am2az-0ncO-jp-jp/（Cloudflareのアンキャストレンジ、所在地情報は無意味）
この段階で、Microsoft Edgeが「Suspected Phishing」の警告を表示。2つの異なるセキュリティ製品が、それぞれ独立して危険を検知していたことになります。それでも警告を突破してしまうと、本物そっくりのAmazonログイン画面が表示され、メールアドレスや携帯電話番号の入力を求められます。

■ 注意点と対処法

1. URLを絶対にクリックしない：「お買い物情報を点検する」ボタンは偽サイトへの入口です。
2. セキュリティソフトの警告は必ず信じる：ウイルスバスターやMicrosoft Edgeが警告を出した場合、それを解除してまでアクセスしないでください。今回のように複数の製品が独立して検知しているケースもあります。
3. 注文確認は公式アプリ・公式サイトから：「注文履歴」はメール内リンクではなく、必ずAmazon公式アプリやブックマークから確認してください。
4. 不自然な日本語に注意：「お買い物情報を点検する」「ご審査いただけます」など、実際のAmazonでは使われない表現が含まれています。

本レポートの結論

今回の詐欺メールは、Google Cloudを踏み台に送信され、2段階のリダイレクトを経て偽のAmazonログイン画面へたどり着く構成でした。途中の2つのURLがそれぞれ別々のセキュリティ製品に検知されていたことからも、多層防御の有効性がよく分かる事例です。身近な人が「注文の確認かな」と軽い気持ちでボタンを押してしまう前に、この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。