Amazon「返金処理」詐欺、DKIMで実在ドメインを騙りURLに不可視文字を仕込む——PCだけ「確認中」のまま止まる巧妙なセキュリティチェック偽装
Amazonの「返金処理」を騙る詐欺メールは当ラボでも繰り返し取り上げてきましたが、今回のものはヘッダーからサイトの挙動まで、技術的な仕掛けがいくつも重なった一件でした。順番に見ていきましょう。
| Heartland-Lab（ハートランド・ラボ）専門調査レポート 目次 Amazon「返金処理」詐欺、DKIMで実在ドメインを騙りURLに不可視文字を仕込む——PCだけ「確認中」のまま止まる巧妙なセキュリティチェック偽装
Amazonを騙り、「返金手続きに口座情報の更新が必要」として偽ログイン画面へ誘導するフィッシングメールです。DKIM署名で実在ドメインを詐称し、誘導URLには不可視の制御文字を仕込み、さらにPCとスマホで到達できる画面まで意図的に変えるという、複数の技術的偽装が組み合わさっていました。 |
※重要：本文中のリンクは絶対にクリックしないでください。
※メールヘッダー詳細は個人情報保護のため非掲載です。
ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループに転送して注意喚起してください。
それでは、実際に届いたメールの内容から見ていきましょう。
※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。
客 様 いつもAmazonをご利用いただき、誠にありがとうございます。 先月にご申請いただきました返金（注文番号 #603-3535753-5101113）につきまして、ご連絡いたします。 ■ 返金状況のお知らせ ・ご申請いただいた返金処理を進めておりますが、ご登録の口座への振込手続きをスムーズに進めることができませんでした。 ・考えられる原因として、ご登録いただいている口座情報をシステム上でご確認いただけない場合がございます。 つきましては、最新の口座情報を改めてご登録いただきますようお願いいたします。 ご登録情報の更新後、改めて返金処理を進めさせていただきます。 返金予定日：口座情報のご更新が完了次第、来週中（2026年8月14日頃）にお客様の口座へ反映される見込みでございます。 ［口座情報を更新する］ 口座情報の更新には、Amazonアカウントへのログインが必要です。 ご不明な点がございましたら、Amazonヘルプセンターまでお問い合わせください。 このメールは返金に関する重要なご連絡です。セキュリティのため、リンク先は必ずAmazon公式サイトであることをご確認の上、アクセスをお願いいたします。 Amazon Amazon.co.jp・東京都目黒区下目黒1-8-1 本メールはシステム自動送信のため、返信は受け付けておりません。 © 2026 Amazon.com, Inc. またはその関連会社
実際に受信した詐欺メールの画面。宛名が「客 様」となっており、実際の氏名は入っていない
「セキュリティのため、リンク先は必ずAmazon公式サイトであることをご確認の上」という一文で読者の警戒心を先回りして解除しようとする、なかなか周到な文面です。しかし実際には、このメール自体がAmazon公式とは何の関係もありません。
■ 送信ルートおよび偽装判定
表示上の送信者：“Amazon” <info@amazon.co.jp>
実際の送信元（Received-SPF client-ip）：52.253.106.175
HELO：mail33.cunwzfqb.com
回線情報（ip-sc.net確認）：Microsoft Corporation／AS8075（MICROSOFT-CORP-MSN-AS-BLOCK）／所在地：東京都渋谷区
送信元IPはMicrosoft Azure東京リージョンでした。送信ドメイン「mail33.cunwzfqb.com」自体は、正規のAmazonとは一切関係ありません。
| 🔍 見どころ①：Envelope-Fromに宛先情報が埋め込まれている メールのEnvelope-From（実際の配送用差出人アドレス）を確認したところ、受信者のメールアドレスがそのまま埋め込まれた形式になっていました。これは「VERP（Variable Envelope Return Path）」と呼ばれる、宛先ごとに差出人アドレスを変える手法です。もともとは配信エラーの自動処理のための正規の技術ですが、大量の詐欺メールを配信管理する目的にも使われています。 |
| 🔍 見どころ②：DKIM署名が「amazon.co.jp」を詐称 DKIM-Signatureヘッダーの「d=」タグ（署名したドメインを示す部分）に、なんとamazon.co.jpと書かれていました。しかし実際の送信インフラは前述の通りAmazonとは無関係の「mail33.cunwzfqb.com」です。DKIMのd=タグは自己申告の値であり、書こうと思えば誰でも好きなドメイン名を書けます。受信側のメールサーバーが実際にamazon.co.jpのDNSに登録された公開鍵と照合して検証すれば、この署名は一致せず失敗するはずです。「DKIM署名がある」＝「正規のメール」では決してない、という分かりやすい実例といえます。 |
| 🔍 見どころ③：誘導URLに不可視・特殊文字が仕込まれている 本文中のリンクURLの末尾には、通常の英数字とは異なる特殊な制御記号・矢印記号のような文字列が付け加えられていました。以前の記事で紹介した「本文末尾のダミー文字列」と似た狙いですが、今回はURLそのものに紛れ込ませている点が異なります。メール本文をそのまま機械的にスキャンする迷惑メールフィルターの目をすり抜けるための工夫とみられます。 |
■ フィッシングサイト詳細解析——PCだけ「確認中」のまま止まる
メール内のリンク（Cloudflare配下）にアクセスすると、端末によって異なるドメインへ振り分けられました。
PC側の誘導先は、ウイルスバスター クラウドが既に「安全ではない可能性があります（脅威の種類：フィッシング）」として検知していた
この警告を承知のうえで先へ進むと、次のような「セキュリティチェック」画面が表示されます。
「ロボットではないことを確認してください」という、よくあるボット対策風の画面
PCでは、このチェックが「確認中…」の表示のまま、いつまで待っても完了しなかった
PC側だけが、この「確認中」のスピナーが回り続けたまま先に進めない作りになっていました。単純にPCからのアクセスをブロックするのではなく、「今処理をしているんだな」と利用者に誤解させたまま時間を稼ぐ、あるいは調査者を疲れさせて離脱させる狙いとみられます。単純な「アクセス拒否」画面より一枚上手な仕掛けです。
一方、スマホで同じ「セキュリティチェック」にアクセスすると、チェックは正常に完了し、その先へ進めてしまいます。
スマホでチェックを通過した先に表示された、Amazonの公式ログイン画面を精巧に再現した偽サイト
ここでEメールまたは電話番号を入力してしまうと、続けてパスワードの入力を求められ、最終的にAmazonアカウントの資格情報が攻撃者に渡ってしまう流れになっているとみられます。
■ 注意点と対処法
- メール内のリンクは絶対にクリックしない：正規のAmazonからのメールでも、口座情報の確認をメールのリンク経由で求めることはありません。
- 「宛名がない」メールは要注意：正規のAmazonからの通知には、通常お客様のお名前が記載されます。今回のように「客 様」のような汎用的な宛名は不審のサインです。
- 「確認中」のまま止まるサイトは特に危険：正常に見えるセキュリティチェックが完了しない、不自然に待たされるサイトには、それ以上先に進まないでください。
- 返金の確認は公式アプリ・ブックマークから：不安な場合は、メール内のリンクではなく、公式アプリまたは事前に登録したブックマークからアクセスして確認してください。
- 既にID・パスワードを入力してしまった場合：速やかにAmazonのパスワードを変更し、カード情報を入力していた場合はカード会社にもご連絡ください。
本レポートの結論
Amazonの「返金処理」を口実に、口座情報の更新を迫るフィッシングメールでした。VERP形式での宛先埋め込み、実在ドメインを詐称したDKIM署名、URLへの不可視文字の混入、そしてPCだけを「確認中」のまま足止めするクローキングと、技術的に手の込んだ作りが重なっていました。身近な方が「セキュリティチェックがあるから安全」と誤解してしまう前に、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Amethyst
今、拡散中の詐欺メール
