「Amazon Prime会費の引き落としに失敗」は詐欺メール！Unicode文字で”Amazon”を隠した送信者名と、ドコモ・auを騙る偽装Receivedヘッダーの正体

ご覧の通り、これはAmazonを装った真っ赤な偽物です。被害を未然に防ぐため、この解析結果を家族のLINEグループに転送して注意喚起してください。

※以下の内容は届いた詐欺メールを技術検証のために忠実に再現したものです。

平素はAmazonプライムをご利用いただき、誠にありがとうございます。

お客様のAmazonプライム会費のお支払いにおいて、ご登録のお支払い方法による決済が
完了できなかった旨をお知らせいたします。

お手数ですが、お支払い方法のご確認・更新をお願いいたします。

■ お支払い状況
ご請求内容：Amazonプライム月額会費
ご請求金額：600円（税込）
ご請求日時：2026年8月

決済が完了できなかった原因として、以下の可能性が考えられます。
・クレジットカードの有効期限切れ
・口座残高不足、またはご利用限度額の超過
・カード情報が発行会社の記録と一致しない
・カード発行会社による利用制限

お支払い方法の更新が48時間以内に完了しない場合、プライム会員特典
（お急ぎ便・Prime Video等）がご利用いただけなくなり、会員資格が自動的に
取消となります。

■ お支払い方法の更新はこちら
▶Amazonプライム お支払い方法の更新
https://www.cqsygs.com/Prime2/Apps/signins/openidi/mews

※すでに更新済みの場合は、本メールは破棄してください。
※本メールは送信専用です。ご返信いただいても対応いたしかねます。

Amazon Prime カスタマーサービス
お電話でのご相談　0120-499-477（通話料無料／24時間受付）

Amazon Japan合同会社　〒153-0042 東京都目黒区青葉台3-3-7

■ 送信ルート及び偽装判定

Receivedヘッダー解析：
Received-SPF: Pass; client-ip=20.18.29.104; helo=mail08.tongchaju.com

【偽装判定】：Amazon公式のメールは「@amazon.co.jp」等の公式ドメインから送信されます。本メールの送信元「mail08.tongchaju.com」は、Amazonとは一切無関係の第三者ドメインです。SPFが「Pass」と表示されていても、それはあくまで「tongchaju.com」という攻撃者側が用意したドメイン自身への認証にすぎません。

■ 用語解説（今回出てくる言葉を簡単に）

• Unicode双方向制御文字：本来は、アラビア語やヘブライ語のように右から左に読む言語を、パソコンの画面上で正しい向きに表示するための仕組みです。文字そのものではなく、「ここから右から左に読む」といった”表示の向き”だけを指示する特殊な記号（目には見えません）です。
• Received ヘッダー：メールがどのサーバーを経由して届いたかを記録する、いわば郵便物の消印のようなものです。通常は改ざんされませんが、今回のように攻撃者が意図的に偽の記録を追記できてしまうケースもあります。
• hCaptcha：「ロボットではありません」のチェックでおなじみの、人間かどうかを判定する仕組みです。本来は不正アクセス対策の技術ですが、フィッシングサイトでは自動解析ツールによる調査を妨害する目的で悪用されることがあります。

■ 見どころ①：送信者名から”Amazon”の文字列を消す偽装

メールソフト上では送信者名が「Amazon Prime」と表示されていましたが、メールヘッダーの生データを確認すると、実際には次のような構造になっていました。

[右から左への表示制御記号] + "emirP nozamA" + [制御解除記号]

「emirP nozamA」は「Amazon Prime」を一文字ずつ逆順に並べた文字列です。これを目に見えない「右から左に表示する」という制御記号で挟むことで、画面上では正しく「Amazon Prime」と表示されるのに、メールの実データには”Amazon”という文字列が一切存在しないという状態を作り出しています。件名や送信者名に含まれる「Amazon」といった単語を機械的に検出するタイプの簡易フィルターを、すり抜けるための工夫と考えられます。

■ 見どころ②：存在しないはずの国内キャリア経由の配送記録

実際の送信元である「mail08.tongchaju.com」のDKIM署名の直後に、本来ならあり得ない「mail.au.com」「firstserver.ne.jp」を経由し、さらに「docomo.ne.jp」の署名まで付いた記録が挿入されていました。実際の送信元はAzure基盤の1系統のみであり、日本の大手キャリアを実際に経由した形跡はありません。ヘッダーを詳しく見る人ほど「国内の信頼できる経路を通っている」と錯覚させる、手の込んだ目くらましです。

余談ですが、これだけ手の込んだ偽装ヘッダーを用意する一方で、肝心の添付ファイル名は「Amazon.lr」という聞いたことのない拡張子のままでした。細部への強いこだわりと、詰めの甘さが同居しているあたり、攻撃者の”作業分担”が垣間見えます。

■ フィッシングサイト詳細解析

誘導先URL（伏せ字）：hxxps://www.cqsygs[.]com/Prime2/Apps/signins/openidi/mews

サーバーIP：27.124.24.143（ホスティング会社：CTG Server Ltd／AS152194）
所在地：香港（中央および西部・上環付近）

アクセスすると、まず「I’m not a robot」というhCaptchaのボット判定画面が表示され、これを通過するとAmazonの正規サインインページを忠実に模倣した偽ログイン画面が表示されます。hCaptchaを挟むことで、自動的にサイトの中身を調査するセキュリティツールや研究者の解析を妨害する狙いがあると考えられます。

■ 注意点と対処法

1. URLをクリックしない：リンク先は情報を盗むための精巧な偽サイトです。「48時間以内」という期限の煽り文句に焦って即クリックしないでください。
2. 添付ファイルは開かない：見慣れない拡張子の添付ファイルは、内容を確認せずそのまま削除してください。
3. 公式サイト・公式アプリから確認：お支払い状況の確認は、必ずご自身でブックマークした公式サイトまたは公式アプリから行ってください。
4. 公式注意喚起の参照：Amazonを装ったフィッシング詐欺メールによる被害を防ぐ3つのポイント（Amazon Japan公式）

本レポートの結論

今回のメールは、送信者名から”Amazon”の文字列を隠すUnicode偽装と、存在しない国内キャリア経由の配送記録を捏造した二重の偽装ヘッダーを組み合わせた、手の込んだなりすましメールでした。身近な人が騙されてからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。