「新しいデバイスからのログイン通知」を騙るAmazon偽メール——6年前に登録された“売り出し中”の休眠ドメインを踏み台にした二段階誘導

■ メールヘッダー解析（送信者情報）

件名：[spam]【重要】新しいデバイスからのログイン通知 番号：41075209

差出人表示名：自動 配信

送信元アドレス：bzfvi@bzfvi.ztyic.com

受信日時：2026年8月27日 10:50

※メールヘッダー詳細（Receivedヘッダー全文・宛先アドレス等）は個人情報保護のため非掲載としています。

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果をご家族のLINEグループなどで共有してあげてください。

※以下は届いた詐欺メールを技術検証のために忠実に再現したものです。実際のメールとデザインが多少異なる場合があります。※メールヘッダー詳細（宛先アドレス等）は個人情報保護のため非掲載です。

【重要】お支払い方法を更新しないと注文できません

{会社名}アカウントに登録されている支払い方法が無効になっています。24時間以内に更新を行わない場合、注文や定期購入ができなくなります。

支払い方法更新のお知らせ

お客様のアカウントに登録されている支払い方法（クレジットカード/デビットカード）の有効期限が切れているか、情報が不完全です。

・新しい注文ができなくなります
・定期購入商品の配送が停止されます
・有料サービス（PrimeビデオやMusicなど）が利用できなくなります
・対応期限：本メール受信から24時間以内

これはお客様のアカウントを安全に保つための重要な更新です。

今すぐお支払い方法を更新

※このメールはアカウントのセキュリティ保護のために送信されています。
※24時間以内に対応しない場合、一部サービスが制限されます。
ご不明な点がございましたら、カスタマーサービスまでお問い合わせください。

© 2025 Amazon Japan, Inc. All Rights Reserved.
Amazon Japan G.K.
〒153-0062 東京都目黒区三田1-4-1 住友不動産三田ツインビル西館

■ 送信ルート及び偽装判定

送信元IP（Received-SPF client-ip）：
client-ip=20.210.158.217 helo=bzfvi.ztyic.com

ホスティング基盤：Microsoft Corporation（Azure）／AS8075 MICROSOFT-CORP-MSN-AS-BLOCK
IP位置情報表示：日本・大阪府大阪市

【偽装判定】：
正規のAmazonからのメールは「amazon.co.jp」ドメインから送信されます。本メールの送信元「bzfvi.ztyic.com」はAmazonと一切関係のない第三者ドメインで、大手クラウド事業者のインフラを間借りして送信されています。件名の宛名部分にも「{会社名}」というテンプレート変数がそのまま残っており、不特定多数への一斉送信であることがうかがえます。

【犯人のうっかりミス】：
メールヘッダーにはDKIM署名が2種類含まれており、片方は送信元ドメイン「bzfvi.ztyic.com」名義、もう片方はなぜか無関係の「ymail.com」名義になっていました。テンプレートの使い回しでコピー元の署名を消し忘れたものと見られ、詐欺グループの「作業の雑さ」がにじみ出ています。

💡ここで！「.biz.jp」に見えるURLのカラクリ

メール本文のリンクは hxxps://photo-paris-studio.com/5MmHlNwitL.biz.jp という形をしています。末尾が「.biz.jp」で終わっているため、一見すると信頼できそうな日本企業向けドメインに見えますが、これはドメイン名ではなく単なるURLの「パス（道順）」の一部です。実際の行き先はスラッシュの前にある「photo-paris-studio.com」という、Amazonとは無関係のドメインです。この見分け方は、メール本文をテキストエディタに貼り付ける、またはメールソフトの「ソースを表示」機能でHTMLソースを確認することで、リンク先の本当のドメインを最初のスラッシュの位置から読み取ることができます。

■ フィッシングサイト詳細解析（二段階誘導）

誘導1段階目：hxxps://photo-paris-studio.com/5MmHlNwitL.biz.jp
IPアドレス：43.153.131.27（Tencent Cloud／AS132203 TENCENT-NET-AP-CN）
ドメイン登録：2024年10月26日取得（Gname.com Pte. Ltd.、シンガポール籍レジストラ）

このリンクにアクセスすると、まず「サイトへの接続が安全かどうか確認しています」という人間確認画面が表示されます。セキュリティ機関による自動解析（クローラー）を回避するための仕組みと見られます。

誘導最終着地：hxxps://263qiyeyouxiang.net/bberTcDj/
IPアドレス：43.153.170.202（Tencent Cloud／AS132203 TENCENT-NET-AP-CN、プロキシ検出あり：データセンター/CDNホスティングプロキシ）
IP位置情報表示：日本・東京都渋谷区（※Tencent Cloudの中国系ASNであり、実際の運営者所在地を示すものではありません）

ドメイン登録：2020年9月17日取得、2026年9月17日失効予定（Gname.com Pte. Ltd.）

取得から2,169日（約6年）が経過した、期限切れまで残り3週間の“休眠ドメイン”が悪用されています。新規取得直後の使い捨てドメインを使う手口が多い中、こうした古いドメインの再利用は珍しいパターンです。

【サイトの状態】：ウイルスバスター クラウドにより「フィッシング」の脅威として既にブロック対象となっています。

■ 過去の類似パターンとの関連

「新しいデバイスからのログイン通知」という件名を使ったAmazon便乗詐欺は、2026年4月にも確認しています（【重要】新しいデバイスからのログイン通知 解析レポート）。当時はGoogle Cloudを使った香港ドメインへの誘導でしたが、今回はAzure送信・Tencent Cloud誘導という別インフラに切り替わっており、同じ文面パターンが手を替え品を替え繰り返し使われていることがわかります。

■ 注意点と対処法

1. URLをクリックしない：「.biz.jp」のように見えても油断せず、リンク先は開かないようにしましょう。
2. 公式アプリ・ブックマークから確認：支払い方法に不安がある場合は、必ずAmazon公式アプリまたはブックマーク済みのURLからログインしてご確認ください。
3. メッセージセンターで真偽を確認：Amazon公式サイトの「メッセージセンター」に同じ内容の通知があるかどうかで、本物かどうかを判断できます。
4. 公式情報の参照：Amazon公式：フィッシング詐欺メールによる被害を防ぐ3つのポイント

本レポートの結論

「支払い方法の更新」を口実に不安を煽るAmazon便乗詐欺は定番の手口ですが、今回はAzure送信＋Tencent Cloud誘導＋6年前の休眠ドメイン再利用という、インフラ面でひと工夫された事例でした。身近な人が同じ手口に引っかからないよう、この記事のURLをコピーして、ご家族のLINEグループで「これ気をつけて！」と共有してあげてください。