コロナ禍で、通販生活が増えてきたせいか、Amazonを騙る詐欺メール（フィッシングメール）が急増しています。ネット上にはこの手の詐欺メールについて注意喚起されていますので、被害にあう方は少ないと思いますが、今回私が受信したAmazonを騙る詐欺メールは、実に巧妙になっていました。正直なところここまで技術的に可能なのか？と思ってしまうほど。複数回検証しましたが、少し疑問は残るものの詐欺集団の誘導技術は間違いなさそうです。

受信したメールは、冒頭に紹介した通りですが、文字に起こすと以下の通り。

＊＊＊＊＊＊＊＊＊＊

差出人：Amazon<no-reply@amazon.co.jp>
件名：Amazon.co.jpにご登録のアカウント（名前、パスワード、その他個人情報）の確認
宛先：（自分）Amazonに登録しているメールアドレス

Amazonのお客様

Аmazon に登録いただいたお客様に、Аmazonアカウントの情報更新をお届けします。
残念ながら、Аmazonのアカウントを更新できませんでした。
今回は、カードが期限切れになってるか、請求先住所が変更されたなど、さまざまな理由でカードの情報を更新できませんでした。

アカウント情報の一部が誤っている故に、お客様のアカウントを維持するためАmazon アカウントの情報を確認する必要があります。下からアカウントをログインし、情報を更新してください。

  Amazon ログイン 

なお、24時間以内にご確認がない場合、誠に申し訳ございません、お客様の安全の為、 アカウントの利用制限をさせていただきますので、予めご了承ください。

アカウントに登録のEメールアドレスにアクセスできない場合
お問い合わせ：Amazonカスタマーサービス。

お知らせ
・パスワードは誰にも教えないでください
・個人情報と関係がなく、推測しにくいパスワードを作成してください。大文字と小文字、数字、および記号を必ず使用してくだ　　　さい。
・オンラインアカウントごとに、異なるパスワードを使用してください。

どうぞよろしくお願いいたします。
Amazon

＊＊＊＊＊＊＊＊＊＊

 

アマゾンがユーザーに対して、メールでアカウント更新や個人情報を求めることは絶対にありません。その基本原則を知っていれば、メール内容を見ただけで詐欺メールと分かります。また、「Amazonのお客様」のところは、本物メールは、登録された個人名の「＜フルネーム＞様」になっていますので、この辺りの違いも知っておけばフィッシングメールと見抜けます。

しかし、世の中には、そういう事実を知らない方も多くいます。今回の詐欺メールが巧妙だったのは、

（1）差出人のメールアドレスが、Amazonドメインを使っていること（@amazon.co.jp）
（2）Amazon ログイン（リンク）は、本物そっくりの偽ログイン画面に誘導されますが、偽サイトのURLも、本物そっくりの文字列になっている（本物URLと比較しないと偽物と判定しにくい）

メール内のリンク（URL）は、以下の通り当初はAmzonを含まない文字羅列なのに、クリックと同時に誘導（転送）される、偽ログイン画面のURL文字列は本物とほぼ同じ。こんな事って詐欺集団で可能なのか少々疑問が残りますが、何度トライしてもリンクからエセURLに転送される。

 

Amazonログイン画面（本物URL）とリンクから転送された偽ログイン画面のURL文字列は、わずかに違っているだけで比べないと違いは分かりません（赤アンダーラインの部分）。

 

メール内リンクは、クリックしても数日経てばセキュリティソフトで警告メッセージがでますが、今回は未だありません。そこで、リンク（URL）を、怪しいファイルやウェブサイトのマルウェアを徹底的に検査をする「Virus Total（ウイルストータル）」でチェックしたところ、82のセキュリティベンダー（セキュリティソフト）ではすべて問題がなく、クリーンなのであります。

 

通常、Amazonの偽ログイン画面のURLは、Amazonの文字列を含んでいないことから、本物でないと判断できますが、今回のようにAmazonを含む文字列のURLに転送された場合、その判別がつきません。

念のため、本物のAmazonサイトにログインして、「メッセージセンター」で送信メールの有無をチェックしましたが、今回メールはありませんでしたので、フィッシングメールに間違いありません。

 

ここまでされるとお手上げですが、それでもAmazonログインを二段階認証にしておけば、登録したスマホ（電話番号）に連絡される6桁のワンタイムパスワードがないとログインできません。フィッシングメールを通してアカウントを抜き取られたとしても、第三者によるログインは不可能です。

万一、クレジットカード番号など個人情報のすべて入力した場合は、別途悪用される恐れがありますので、速やかにクレジット会社への無効手続きが必要です。