【危険】Amazon「ショッピングアプリの更新について」は詐欺メール｜PCでは何も起きず、スマホだけ偽のアプリ配布ページへ誘導

HEARTLAND-LAB SECURITY RESEARCH UNIT

調査レポート：概要

解析対象：Amazonを騙る「ショッピングアプリの更新について」メール

結論：これは詐欺メールです。ボタンは押さず、アプリの「更新」もしないでください。

※メールヘッダー詳細は個人情報保護のため非掲載

🚫 これはAmazonからのメールではありません（偽物です）

ボタンは押さず、アプリの「更新」もしないでください。

▲ 実際に届いたメールの画面（受信者のアドレスは黒塗り。差出人欄や文字の乱れは、文字の偽装によるもの）

💡ここで！ ちょっと難しい言葉をやさしく解説

クローキング：見に来た人の環境（パソコンかスマホか、など）によって、表示するページを切り替える仕組みです。調べる人やセキュリティソフトには「何もないページ」を見せ、だましたい相手のスマホにだけ詐欺ページを見せます。

ホモグリフ（見た目のそっくりな文字）：ロシア語などで使う「А」「о」「п」のように、アルファベットとよく似た形の別の文字のことです。人間の目には「Amazon」と読めますが、コンピューターには別の文字として扱われるため、迷惑メールの検知をすり抜けやすくなります。

localhost（ローカルホスト）：「自分自身のパソコン」を指す特別な住所です。そこには何も置かれていないため、飛ばされると「接続が拒否されました」と表示されます。調べる人を、何もない場所へ追い払うために使われます。

提供元不明のアプリ：Google Playなどの公式ストア以外から入れるアプリのことです。Androidスマホでは初期設定でブロックされていますが、設定で「許可」してしまうと入れられてしまいます。

① 「Amazon」の文字が、ほぼすべて偽装されていた

差出人の名前、件名、本文中の「Amazon」の表記は、ほとんどの箇所で細工されていました。文字の途中に、目に見えない文字（ゼロ幅文字）や、上に小さな記号を重ねる結合文字が入っています。ロシア語のキリル文字（「А」「о」「п」など）に置き換えられた箇所もありました。差出人の名前には、表示を右から左へ反転させる制御文字まで仕込まれており、メールソフトの差出人欄には、アドレスが逆さまに並んだ文字列が表示されていました。

こうした細工の狙いは、「Amazon」という単語そのものを、迷惑メールフィルターに見つけさせないことです。文字を1つずつ見ると別の文字が混ざっているので、単語では引っかかりません。メールをテキストエディタに貼り付けたり、HTMLソースを開いたりすると、この不自然な文字の混ざり方が確認できます。

HTMLの中には、画面に表示されない要素が13個あり、「w」や「x」といった文字が仕込まれていました。プレーンテキスト版にも余計な「x」が混ざっています。フィルターをすり抜けるための、ごみ文字とみられます。

② リンク先は、売りに出された中古ドメイン

本文の黄色いボタンのリンク先 hxxps://loin-annzn.jth100.com/MxmaRSbG のドメイン（jth100.com）のWhoisを調べると、登録日は2025年10月4日、登録事業者は Gname 187 Inc、ネームサーバーはJULYDNSでした。更新日は2026年9月28日で、メールが届く前日にあたります。そして、「For sale $368（368ドルで販売中）」と「Registered And No Website（登録済みだが、サイトなし）」の表示がありました。

この先で最終的に到達した偽のアプリ配布ページは hxxps://loin-annzn.longyulieshou.com/Amazon-Shopping-App でした。ドメインは別の longyulieshou.com です。こちらのWhoisも調べると、登録日は2020年10月7日で、登録事業者は Gname.com Pte. Ltd.、ネームサーバーは同じJULYDNS。更新日は同じ2026年9月28日で、やはり「For sale $368」の表示がありました。

2つのドメインは、どちらも同じIP 176.113.70.206（Xnet LLC／xTom GmbH／香港・九龍）に同居しており、このIPには他のサイトが6,241件ありました。売り物のまま放置されていた中古ドメインを2つ、まとめて使っているとみられます。有効期限は10月4日と10月7日で、あと数日です。使い捨てのつもりなのでしょう。ちなみに、両方のドメインの頭に付いた loin-annzn は、おそらく「login」と「amazon」を合わせたかったのだと思いますが、「loin」（ロース肉）になっていました。おいしそうではあります。

③ 「錠のマークを選ぶ」人間確認で、PCとスマホを振り分けていた

ボタンをたどると、最初に「続行の前に接続の安全性確認が必要です」という画面が出ました。「下の枠のうち、錠のマークをすべて選んでください」という内容で、5つの枠から錠のマークを1つ選ぶ、簡単なものです。

錠のマークを選ぶと、「接続を確認しています。そのままお待ちください。」という表示に変わります。この待ち時間のあいだに、アクセスしてきた端末を裏で判定しているとみられます。

結果は、次のとおり分かれました。

• PC：「localhost で接続が拒否されました」（ERR_CONNECTION_REFUSED）と表示され、何も見えない
• スマホ：本物そっくりの「Amazon ショッピング」のアプリ配布ページが表示される

パソコンで確かめた人は「ただのエラーか」と思ってしまう作りです。パソコンでは何も見えないのに、スマホだけに罠が現れます。なお、この詐欺サイトは、当サイトが確認した時点で、ブラウザやセキュリティ機能からブロックされていませんでした。

④ 偽ストア画面が「Googleの警告は誤検知です」と言い訳する

スマホに表示されたのは、Google Playによく似た「Amazon ショッピング」のページでした。開発元は「Amazon Mobile LLC」、「4.6★」「412万件のレビュー」「5億+ダウンロード」などと表示されていますが、当然ながらあてになりません。アドレスバーには、公式ストアのアドレスではなく longyulieshou.com のドメインが表示されていました。

画面には、次のようなダイアログが出ました。

• 「最新版リリース直後のため、ダウンロード・インストール時にGoogleの警告が表示される場合があります。Google側の安全情報が未更新による誤検知です。アプリは安全ですので、安心してインストールしてください。」

これは、実際にスマホがアプリのインストール時に出す警告を、先回りして「誤検知だ」と打ち消しておくための文言です。公式ストアの画面が、こうした言い訳を表示することはありません。背景の紹介画像にも、「このアプリは有害な可能性があります」という警告と、その中の「詳細」「インストールする」を赤枠で示す案内が含まれていました。警告が出ても、そのまま進むように誘導する作りです。本記事では、この画面の確認までにとどめ、アプリ本体の解析は行っていません。iPhoneでの表示も未確認です。

⑤ つじつまの合わない点

• 画面に表示されない冒頭文では「10月7日以降」、本文では「10月1日以降」と、期限が食い違っている
• 宛名が「お客様」で、名前が入っていない
• 「パスワードやカード番号をメールでお願いすることはありません」と注意しながら、そのメールでアプリの更新を急がせている
• 末尾には「定期的なアカウント確認を推奨しております」という、本文と関係のない一文が、表示されない形で紛れ込んでいる

このメールを受け取ったら

• ボタンは押さず、返信もせず、そのまま削除して大丈夫です。
• メールのボタンやリンクからアプリを更新することは、内容がAmazonでも何でも、必ずやめてください。アプリの更新は、スマホの公式ストア（Google PlayやApp Store）から、自分で開いて確認します。
• 注文や配送のことが気になったときは、メールではなく、いつものAmazonアプリや公式サイトで確認してください。
• Amazonも、詐欺の見分け方と、不審なメッセージへの対処法のページを公開しています。
• 身近な方、とくにスマホでアプリを使う家族にも、このページを共有してあげてください。

もし、アプリを入れてしまったら

気づいた時点で動けば、被害を小さくできます。責める必要はまったくありません。落ち着いて、次の順番で対応してください。

• 入れたアプリはすぐに削除し、設定の「不明なアプリのインストール」の許可を元に戻してください。
• 機内モードにするなどしてネットワークから切り離し、スマホのセキュリティ機能でスキャンしてください。
• Amazonのパスワードを変更し、同じパスワードを他のサービスでも使っている場合は、そちらも変更してください。
• カード情報やパスワードを入力した覚えがあるときは、カード会社や金融機関に連絡して、利用の確認や停止を依頼してください。
• 不安なときは、警察相談専用電話（#9110）や消費者ホットライン（188）に相談してください。

Data Provided by Heartland-Lab Security Research Unit

根拠データ参照元：ip-sc.net　配色テーマ：Teal