Amazon「申込みの項目についてのお知らせ」は詐欺——医療機関ドメインの乗っ取りと「オーダー構成を照合する」の不自然な言い回しを解析

2026年8月26日

ここ数日、Amazonを騙るメールが立て続けに届いていますが、今回の一通は文面の言い回しがなんとも独特でした。ネタとして笑ってしまう部分もありつつ、技術的にはしっかり悪質な仕掛けが施されていましたので、両方の側面から解説します。

【実録】Amazon偽「申込みの項目についてのお知らせ」の正体：医療機関ドメインの乗っ取りと不自然な日本語を解析

Heartland-Lab (ハートランド・ラボ) 専門調査レポート

「アマゾン」を名乗り、「申込みの項目についてのお知らせ」という件名で届いたメールを解析しました。結論は、Amazonとは一切関係のない詐欺メールです。今回は無関係の医療機関のドメインが乗っ取られて送信に使われていたほか、文面の日本語がところどころ機械翻訳調で不自然という特徴がありました。

※重要：本文中のボタンを一つでもクリックすると、メールアドレスや電話番号の入力を求める偽サイトへ誘導される恐れがあります。絶対にアクセスしないでください。

緊急性レベル	★★☆☆☆ (2/5)
偽装工作精度	★★★☆☆ (3/5)

■ メールヘッダー解析（送信者情報）

件名：[spam] 申込みの項目についてのお知らせ

差出人表示名：アマゾン

送信元アドレス：wrildk@wrildk.ito-medical-office.com（Amazonの公式ドメイン「amazon.co.jp」とは無関係）

受信日時：2026年08月26日 03:42

※メールヘッダー詳細は個人情報保護のため非掲載

ご覧の通り、このメールはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

ご注文のご確かめ

いつもご利用いただき誠にありがとうございます。

ご購入いただいた明細を正式に承りましたことをお知らせ申し上げます。

発注番号・発送目処・お送金方法などの詳細につきましては、下記ボタンよりご把握いただけます。

内容に差がございましたら、お早めにご案内くださいますようお願い申し上げます。

［ボタン：オーダー構成を照合する］

ご不明な点がございましたら、お問い合わせ窓口までご報告ください。
本メールアドレスは送信専用のため、返信いただいても対応できかねます。
ご利用ありがとうございます。

実際に届いたメールの画面。差出人表示は「アマゾン」を騙っている

冷静に読むと、あちこち日本語が変です。「ご購入いただいた明細を正式に承りました」という表現も回りくどいですし、何より秀逸なのがボタンの文言「オーダー構成を照合する」。正規のAmazonなら「注文内容を確認する」で済むところを、わざわざ硬い言い回しに変換してしまっています。「発注番号・発送目処・お送金方法」という並びも、実際のAmazonの通知メールでは絶対に見かけない語順・語彙です。機械翻訳や生成AIで日本語を作った際、こなれた表現に仕上げきれなかった痕跡がそのまま残ってしまったのでしょう。（笑）

💡ここで！ロゴ画像だけ別ドメインから読み込まれていた件

メール本文のHTMLソースを確認すると、Amazonのロゴ画像は送信元とも着地サイトとも異なる、まったく別の第三のドメインから読み込まれていました。攻撃者は自前でロゴ画像を用意する代わりに、別の乗っ取ったサイトを「画像置き場」として間借りしている状態です。1通の詐欺メールの中に、送信元・画像置き場・着地サイトという3つの異なる乗っ取り／使い捨てインフラが混在していることになります。

■ 送信ルート及び偽装判定

Receivedヘッダー解析（サーバー通過証明）：
Received-SPF: Pass; client-ip=34.155.75.223; helo=wrildk.ito-medical-office.com

【偽装判定】：
正規のAmazonからのメールは「amazon.co.jp」ドメインから送信されます。本メールの送信ドメイン「ito-medical-office.com」は、名前からして医療機関が運営していたとみられる正規ドメインです。攻撃者がこのドメインを乗っ取り、「wrildk」という無関係のサブドメインを勝手に作成してAmazon偽装メールの送信に流用したとみられます。

発信元ロケーション解析：
フランス（Google Cloud Platformの割り当てレンジ）
ロケーション詳細はip-sc.netにてご確認いただけます。

■ フィッシングサイト詳細解析

一次リンク（伏せ字）：hxxps://chvire14[.]com/register　このURLへは絶対にアクセスしないでください。

最終着地（伏せ字、複数回のリダイレクトの末に到達）：hxxps://sdtdssw[.]com/Eien13aop/

【短い経由ドメインを何度も挟む多段リダイレクト】：アクセスすると複数回にわたってリダイレクトが発生し、単純なブロックリストでは検知しきれないよう経路を分散させる作りになっています。両ドメインとも同一のクラウド基盤（Alibaba Cloud、AS45102）に置かれており、共通のインフラを使い回していることが分かります。

ドメイン登録情報：一次リンクの`chvire14.com`は2026年7月21日登録（約1ヶ月前）とごく新しく、着地サイトの`sdtdssw.com`は2025年9月9日登録で登録者情報は中国。どちらも「Registered And No Website」＝通常のWebサイトを持たない使い捨て状態です。

【サイトの状態】：両ドメインともウイルスバスタークラウドが「フィッシング」として警告し、アクセスをブロック。警告を越えて進むと、本物そっくりの偽Amazonログイン画面（メールアドレス・電話番号の入力欄）が表示されます。

一次リンク先へアクセスした際に表示されるウイルスバスターの警告画面

複数回のリダイレクトを経た最終着地でも、フィッシングとして警告が表示された

Google Chromeも同じサイトを独自に「危険なサイト」として検出しブロックしている

警告を越えて進むと表示される、本物そっくりの偽Amazonログイン画面

複数のセキュリティ機能が独立して同じサイトを危険と判定しているのは、それだけこの着地サイトの悪質性が明確だという証拠です。この画面にメールアドレスや電話番号を入力するのは絶対にやめてください。

■ 注意点と対処法

URLをクリックしない：ボタン先は情報を盗むための偽サイトです。
不自然な日本語に注意：「オーダー構成を照合する」のような硬い言い回しは、正規サービスではまず使われません。少しでも違和感があれば疑ってください。
メールアドレスや電話番号を入力しない：万が一誘導先を開いてしまっても、情報は絶対に入力しないでください。
公式サイト・公式アプリから確認：注文状況は必ずAmazon公式アプリまたはブックマークしたAmazon公式サイトから確認してください。

本レポートの結論

「申込みの項目についてのお知らせ」を装う今回の詐欺メールは、医療機関ドメインの乗っ取り・不自然な日本語・3つの異なるインフラを組み合わせた多段構成という、複数の見どころが詰まった一通でした。文面の違和感は笑い話で済むかもしれませんが、着地サイトの悪質性は本物です。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。

LINEでこの記事を共有する

Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net
使用配色テーマ：Amethyst