【Amazon詐欺メール】「Prime お支払い方法の確認」は偽物！SPF Passでも危険なフィッシングメールを解析
猛暑が続く時期は、買い物も各種手続きもオンラインで済ませる機会が増えます。そんな日常の隙を狙い、Amazon Primeの支払い失敗を装うフィッシングメールが届きました。
HEARTLAND-LAB SECURITY REPORT
「Amazon Prime お支払い方法の確認」は偽メールです
メール内のボタンを押したり、ログイン情報・カード情報を入力したりしないでください。今回のメールは、SPFがPassでも安全ではないことを示す分かりやすい事例です。
※メールヘッダー詳細は個人情報保護のため非掲載
これはAmazonから送信された正規メールではありません
届いたメールの内容
メールは「Amazon Primeの月額600円の支払いを処理できなかった」と伝え、会員資格の一時停止をちらつかせて支払い方法の更新を促します。金額や期限を具体的に書くことで、受信者を焦らせる作りです。
Amazon Prime お支払い方法の確認 プライム会費のお支払いを処理できませんでした Amazonプライム会員費（月額600円・税込）のお支払い処理が正常に完了しませんでした。 引き続きプライム特典をご利用いただくため、お支払い方法の更新をお願いいたします。 ご請求金額：600円（税込） お支払い状況：未完了 お支払い方法を更新する
Amazon Primeの支払い失敗を装い、月額600円の更新を迫るメール画面
SPF Passでも安全とは限りません
今回のメールではSPFがPassしています。しかし、SPFが証明するのは「表示されたAmazon名が本物」ということではなく、送信に使われた独自ドメインが、そのIPからの送信を許可していたという点だけです。
SPFを日常語にすると
「その差出人ドメインが指定した郵便局から出された手紙か」を確認する仕組みです。差出人ドメイン自体が偽物なら、偽物の持ち主が自分の郵便局を正しく登録してSPF Passにすることもできます。
DKIM署名も付いていましたが、今回確認できたのは署名の存在までです。受信側での検証結果がヘッダーに残っていないため、記事ではPassと断定せずunknownとして扱います。
送信経路とドメインの違和感
- HELO名：
mail13.nkhkj[.]cn - 送信元IP：
20.214.15.189 - X-Mailer：
Lvlhuuwofa 2 - メール内リンク：別ドメインを経由し、最終的に
gbdent[.]comへ遷移
送信元IPはMicrosoftのグローバルネットワークで使われるAS8075系のアドレス帯とみられますが、クラウド基盤の所在地はメール送信者本人の所在地を示しません。そのため、送信者の国や地域は断定していません。
誘導先は複数段階で警告されました
メール内のボタンから進むと、最初に「本人操作の確認」を装うページが表示されます。確認ボタンを押させることで、利用者自身の操作に見せかけたり、自動解析を避けたりする目的が考えられます。
「本人操作の確認」と表示し、次のページへ進ませる中間画面
その後、Trend Micro ウイルスバスター クラウドとGoogle Chromeの双方が危険なフィッシングサイトとして警告しました。警告画面が出た時点で先へ進まないことが重要です。
Trend Micro ウイルスバスター クラウドによるフィッシング判定
Googleセーフブラウジングによる「危険なサイト」の警告画面
最終画面はAmazon風の偽ログインページ
警告を無視して進むと、Amazonの正規画面に似せたログインページが表示されます。ここで入力したメールアドレスや電話番号、続くパスワードなどは攻撃者へ送信されるおそれがあります。
メールアドレスまたは携帯電話番号の入力を求めるAmazon風の偽ログイン画面
誘導先ドメインの調査
| 対象ドメイン | gbdent[.]com |
| A / AAAA | 記事作成時の環境では直接確認できず |
| ASN・ホスティング | 現在の配信先を確定できず |
| 国・地域 | unknown |
| WHOIS・作成時期・NS | 確実な情報を取得できず、推測は行わない |
| SSL証明書 | 記事作成時に直接確認できず |
| 観測された状態 | 受信時にはフィッシングページを表示。検索上は別用途の既存サイト情報も見られ、侵害・不正設置の可能性を排除できない |
ドメインそのものが攻撃者により取得されたのか、正規サイトが侵害されて不正ページを置かれたのかは、今回の資料だけでは断定できません。安全のため、URLへ直接アクセスして確認する行為は避けてください。
受け取ったときの対処法
- メール内のボタンやリンクを押さず、そのまま削除します。
- Prime会員資格や支払い状況は、Amazon公式アプリまたは自分で開いた公式サイトから確認します。
- Amazonのメッセージセンターに同じ通知があるか確認します。
- 入力してしまった場合は、Amazonのパスワードを直ちに変更し、同じパスワードを使う他サービスも変更します。
- カード情報を入力した場合は、カード会社へ連絡して利用停止や再発行について相談します。
正規情報の確認先
Amazonは、不審な連絡を受けた場合、メール内リンクを使わず公式サイトやアプリから確認し、不審なメールを報告するよう案内しています。
「SPF Pass」の表示だけで本物と判断しないでください
差出人名、送信ドメイン、リンク先URL、メールが要求している行動をまとめて確認することが大切です。迷ったらメールから離れ、公式アプリを直接開きましょう。
Data Provided by Heartland-Lab Security Research Unit
IP・ネットワーク情報の確認には ip-sc.net 等の公開情報を参照します。
使用配色テーマ：Navy（PRIMARY #1a1a2e / ACCENT #cc0000）
今、拡散中の詐欺メール
