Amazon「クレジットカードへの返金が完了」詐欺メール、6行の偽装Receivedヘッダーとゼロ幅文字の実装ミスを解析

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。手口の巧妙さも含めて、ぜひ周りの方にも共有してあげてください。

• 1. ■ 詐欺メール本文の再現
• 2. ■ 用語かんたん解説
• 3. ■ フィッシングサイト詳細解析
• 4. ■ 注意点と対処法

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです（宛先アドレスの詳細は個人情報保護のため一部伏せています）。

件名：[spam]【ご連絡】クレジットカードへの返金が完了いたしました
差出人："Amazonデリバリー" <qcpvr@qcpvr.cqddna.com>
添付ファイル：Amazon.co.jp.ejbkq（拡張子不審のため未開封）

ご注文の返金が完了いたしました

平素よりAmazon.co.jpのサービスをご愛顧いただき、厚く御礼申し上げます。

お客様のご注文に関しまして、返金手続きが全て完了しております。

ご注文番号：603-7691529-433986
ご返金額：¥9,370円
返金方法：ご登録のクレジットカード

返金の詳細につきましては、アカウントページよりご確認いただけます。

［返金情報を確認する］（実際はクリック不可・伏字にしています）

クレジットカード会社により、反映まで数日かかる場合がございます。

※本メールは配信専用です。ご返信しないようお願いいたします。

■ メールヘッダー解析（送信ルートと偽装判定）

※メールヘッダー詳細は個人情報保護のため非掲載

差出人：「Amazonデリバリー」を名乗る、Amazonとは無関係な独自ドメインからの配信

SPF認証結果：Pass
DKIM署名：Valid（いずれも攻撃者が自分自身のドメインに正しく設定しているだけで、Amazon公式であることの証明にはなりません）

真の送信元IP：20.163.200.161（米国バージニア州、Microsoft Azure）

【偽装判定】：Amazonの正規サービスが、米国Azure上の無関係な独自ドメインからメールを送ることはありません。SPFで確認できる送信元だけが唯一信頼できる情報です。

• 偽装Receivedヘッダー：メールがどのサーバーを経由してきたかを記録する「Received」という項目に、実際には通っていない大手企業のサーバー名を何行も書き足す手口です。詳しい人がヘッダーをざっと見ただけでは信頼できそうに見えてしまいますが、実際に技術的な証拠として意味を持つのは、送信元を認証する「SPF」の判定結果だけです。
• ゼロ幅文字：画面には何も表示されない特殊な文字を、単語の途中にこっそり挟み込む技術です。文字列を完全一致で検出するタイプの迷惑メールフィルターをすり抜ける狙いがあります。今回はテキスト表示に切り替えたところ、本来は見えないはずのこの特殊文字が、変換に失敗して「‍」のような文字コードのまま画面に表示されてしまうという、攻撃者側のミスが確認できました。

誘導先の状況

誘導先URL（伏せ字）：hxxps://chinastargd[.]com/8LmSFgzzHd.name

ホスティング基盤：43.167.30.204（表示上は東京都渋谷区ですが、実体はTencent Cloud＝中国系クラウド事業者です）

調査時点では、パソコンからのアクセスは「404 Not Found」、スマートフォンからのアクセスは無関係なYouTubeへ転送される状態でした。詐欺サイトが閉鎖・凍結された際によく見られる挙動ですが、アクセスする環境や時間帯によって表示が変わる可能性もあるため、油断は禁物です。

1. 身に覚えのない返金通知は疑う：注文番号や金額が具体的でも、それだけで本物と判断しないでください。
2. 添付ファイルは絶対に開かない：拡張子が不自然な添付ファイルは、開くだけで被害につながる恐れがあります。
3. 返金確認は公式アプリ・ブックマークから：メール内のリンクではなく、必ずご自身でAmazon公式サイトにアクセスして確認してください。
4. 不審なメールは報告する：Amazonの「不審な連絡について報告する」ページや、reportascam@amazon.com（受信専用）まで転送して報告できます。

本レポートの結論

「返金完了」という嬉しい話題で油断させながら、実在企業6社を経由したように見せかける偽装Receivedヘッダーや、ゼロ幅文字による難読化など、手口自体は手が込んでいたものの、実装のミスで手がかりが漏れ出していた一件でした。この記事のURLをコピーして、家族や同僚にも「これ気をつけて！」と共有してあげてください。

LINEで送る