Amazon「返金処理遅延の可能性とご確認のお願い」は詐欺！Google Cloud送信×Tencent Cloud誘導、グリーンバンド新型キットの正体

HL-META: date=2026-07-23 | brand=Amazon（なりすまし） | sender_geo=アメリカ（Google Cloud Platform） | site_geo=日本（Tencent Cloud東京リージョン） | spf=pass | dkim=pass | cloaking=yes

■ メールヘッダー解析（送信者情報）

件名：返金処理遅延の可能性とご確認のお願い

表示名：自動配信 <big@big.elanagro.com>

SPF：Pass　DKIM：Pass（署名ドメイン：big.elanagro.com＝攻撃者が自己取得したとみられるドメイン）

受信日時：2026年7月23日

※メールヘッダー詳細は個人情報保護のため非掲載です。

ご覧の通り、このメールはAmazon公式を装った真っ赤な偽物です。SPF・DKIMがともに合格していても、正規メールである証拠にはなりません。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

---

Amazon.co.jp 公式メールです

返金申請の本人確認のご案内

平素はAmazon.co.jpをご愛顧いただき、厚く御礼申し上げます。

このたび、お客様のご注文に伴う返金申請につきまして、通常と異なる環境からの操作と判断されたため、セキュリティ保護の観点から処理を一時停止させていただきました。不正利用の可能性を確認するため、本人様確認を実施させていただいております。

返金手続きを再開するためには、お客様自身によるご確認が必要となります。
以下の「返金の確認」ボタンよりサインインいただき、内容に誤りがないかご確認をお願いいたします。
お早めにご対応いただけますと幸いです。ご確認が遅れますと、返金処理によりお時間をいただく場合がございます。

［返金の確認］

手続き期限：2026年07月24日(金)

何卒よろしくお願い申し上げます。

このEメールは配信専用です。返信しないようお願いいたします。

■ フィルター回避のための「仕込み」に注意

このメールをテキスト表示で確認すると、本文の随所に「sh0q2vu」「yca8y5l」「p60yl」といった意味不明な英数字の断片が埋め込まれていることが分かりました。これは、スパムフィルターが特定の文言パターンを検出しにくくするための「ワードサラダ」的な手口とみられます。さらに、添付ファイルには「Amazon.co.jp.oime」という、公式ドメインを想起させる紛らわしい名前が付けられていました。拡張子が不審なため当サイトでは開封・解析していません。

💡ここで！ 最近流行の「グリーンバンド」デザインとは？

メール本文の冒頭に緑色の帯を配置し、「〇〇公式メールです」のような一文を大きく表示するデザインは、ここ最近、複数のブランドを騙る詐欺メールで使い回されるようになってきた新しいテンプレートの特徴です。緑色は多くの人にとって「安全」「認証済み」を連想させる色であるため、視覚的な信頼感を演出する狙いがあるとみられます。デザインが洗練されているからといって、公式メールとは限りません。

■ 送信ルート及び偽装判定

送信元IP（Received-SPFヘッダーより特定）：
34.102.43.170

回線情報（ip-sc.net確認）：
プロバイダ：Google LLC／AS396982（GOOGLE-CLOUD-PLATFORM）／利用形式：hosting
所在地：アメリカ　カリフォルニア州　ロサンゼルス

【偽装判定】：
正規のAmazonからのメールは公式ドメイン（amazon.co.jp等）から送信されます。今回はSPF・DKIMともにPassしていますが、これは攻撃者が自己取得したbig.elanagro.comというドメインの認証が通っているだけで、Amazon公式とは一切関係がありません。認証チェックの合格は、なりすましメールでないことの証明にはならない典型的な事例です。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://zvcxhd.com/xxxxxxxx.fukuyama.jp

リンクドメイン：zvcxhd.com

サイトサーバーIP：43.167.4.17

回線情報（ip-sc.net確認）：
プロバイダ：Shenzhen Tencent Computer Systems Company Limited／AS132203（TENCENT-NET-AP-CN）／利用形式：hosting

ロケーション：日本　東京都　渋谷区（Tencent Cloudの東京リージョンとみられます）

【URLの偽装テクニック】：
誘導先URLのパス部分に「.fukuyama.jp」という実在の自治体を想起させる文字列が含まれていました。実際には`zvcxhd.com`というドメインの一部（パス）に過ぎず、広島県福山市とは一切関係ありません。URLをざっと見た際に公式な日本のドメインだと誤認させる狙いとみられます。

【クローキングの挙動】：
アクセス環境やタイミングによって表示内容が異なることを確認しました。パソコンからのアクセスでは「404 Not Found」が表示される一方、スマートフォンからのアクセスでは、タイミングによって無関係なYouTube動画にリダイレクトされる場合と、「サイトへの接続が安全かどうか確認しています」という偽のセキュリティチェック画面が表示される場合が確認されました。この偽チェック画面は、本物のセキュリティ確認を装いつつ、実際には人間の被害者だけを選別して本命の偽サイトへ通す仕組みとみられます。

■ 注意点と対処法

1. グリーンバンドや「公式メールです」の表示を信用しない：視覚的な演出であり、本物である証拠にはなりません。
2. SPF・DKIMが合格していても油断しない：攻撃者が自分のドメインで正しく設定していれば、認証は通ります。
3. 「セキュリティチェック」画面が出ても安心しない：正規のセキュリティサービスを装った偽の確認画面である可能性があります。
4. 返金の状況は公式アプリ・サイトから確認：Amazonの注文履歴・返金状況は、必ず公式アプリまたはブックマークからログインして確認してください。
5. 不審な添付ファイルは開かない：ファイル名が公式ドメインらしくても、拡張子が不審な場合は絶対に開かないでください。

本レポートの結論

送信はGoogle Cloud Platform、誘導先はTencent Cloud東京リージョンと、正規クラウドサービスを組み合わせて信頼性を演出する巧妙な作りでした。グリーンバンドのデザイン、URL中の自治体名を想起させる文字列、フィルター回避のための文字列混入など、随所に近年の新型キットの特徴が見られる案件です。身近な人が油断してからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。