トピックス 2021.12.21 今来たAmazonからのメールは詐欺かも？見極める4つのポイントを解説

最近の手口は巧妙化しており、Amazonの公式メールアドレス「amazon.co.jp」からメールが送信されるケースも多発しています。そして、ユーザーは悪質な詐欺だと見分けがつかず、なんの疑いもなく添付されたURLをクリックしてしまうのです。

Amazonを名乗った詐欺の目的は、主に個人情報を盗取してさまざまな場面で悪用すること。

そして、Amazonの詐欺メールに気付かず偽サイトにログインしてしまった場合は、直ちにログイン情報を変更したり、登録しているクレジットカード情報を削除したりと対処しなければなりません。

この記事ではAmazonの名前を悪用した詐欺と、その対策について詳しく解説します。

冒頭でも述べたとおり、大手ECサイトである「Amazon」を装った詐欺が近年多発しています。

フィッシング対策協議会によれば、2020年の1年間だけを見てもフィッシング詐欺の報告件数は毎月増加傾向にあり、同年12月には32,171件もの報告がありました。前月と比べても1,204件増えています（参考：フィッシング対策協議会_2020/12 フィッシング報告状況）。

そして、フィッシング詐欺に悪用されているブランド調査では圧倒的にAmazonが多く、全体の約50％を占めている状況です。Amazonのほかには、「三井住友カード」「楽天」「アプラス （新生銀行カード）」「MyJCB」などもブランド名が悪用されています。 

こうしたフィッシング詐欺では、まずメールやSMSに「購入代金が支払われていない」「支払い方法に問題が発生した」などとユーザーが焦ってしまうようなメッセージを送りつけ、添付したURLをクリックさせる手口が一般的です。

最近ではフィッシング詐欺の注意喚起を各社が積極的に行っているため、突然送られてきた怪しいメールに注意する消費者も増えてきました。

しかし攻撃者は巧妙な手口で注意の隙をついてきます。普段から詐欺メールに注意している人でも、なかなか気付けないケースも多いでしょう。

コロナ禍で、Amazonを使ったネットショッピングを楽しむ機会が増えていることからも、Amazonを名乗る詐欺手法について最新の知識を持っておくことが大切です。

ここでAmazonを名乗る詐欺メールの実例を2つご紹介します。実際にどのようなメッセージが送られてくるのかを知っておけば、いざ自分の元に詐欺メールが届いたときにも慌てずに対処できるでしょう。

まずは、Amazonアカウントの利用制限に関するメッセージです。(参考:国立大学法人 電気通信大学 情報基盤センター)

「Amazonに登録いただいたお客様に、Amazonアカウントの情報更新をお届けします。
残念ながら、Amazonのアカウントを更新できませんでした。
今回は、カードが期限切れになっているか、請求先住所が変更されたなど、さまざまな理由でカードの情報を更新できませんでした。

アカウント情報の一部が誤っているゆえに、お客様のアカウントを維持するためAmazonアカウントの情報を確認する必要があります。下からアカウントをログインし、情報を更新してください。

なお、24時間以内にご確認がない場合、誠に申し訳ございません、お客さまの安全のため、アカウントの利用制限をさせていただきますので、あらかじめご了承ください。」

上記のメッセージでは、ところどころ日本語がおかしい部分があり怪しさを感じます。加えて「24時間以内」などと時間制限を設けて、焦ったユーザーにログインさせようと誘導しています。

基本的には、Amazonを普通に利用しているだけならばアカウントが更新できないといったトラブルはありません。

ほかにも、下記のように注文状況に関するメッセージが届く場合もあります。(参考:国立大学法人 電気通信大学 情報基盤センター)

「お客様の注文とAmazonアカウントを停止させていただいております。請求先住所が変更されたなど。アカウントにログインして画面の指示に従うことで、アカウントの停止状態を解除していただけます。

下記URLよりアカウント注文情報をご確認または変更。

［注文番号］〇〇〇〇ｰ〇〇〇〇ｰ〇〇〇〇
［店舗受付日時］202〇/〇〇/〇〇
［お支払い方法］クレジットカード決済」

このようなメッセージが届いた場合は「あれ？なにを注文したっけ？」などと疑問に思い、メッセージ内に書かれている偽のURLをついクリックしてしまいます。

しかし、偽のWebサイトに飛んでログインしてしまえば、そのユーザーのログイン情報は盗まれ悪用されてしまうのです。

こうした怪しいメッセージや身に覚えのないメールが届いたら、無視をするか、Amazonのカスタマーセンターに連絡しましょう。

Amazonの詐欺メールが送られる目的は、主に「個人情報を盗取すること」です。

盗み取った個人情報は、「リスト」と呼ばれる顧客情報に直接営業をかけるリストマーケティングに使ったり、クレジットカード情報を利用してユーザーになりすましネットショッピングをしたりと、さまざまな場面で悪用されてしまいます。

そのために攻撃者は「至急」「緊急」「危険」などの言葉を巧みに使い、ユーザーを焦らせて偽サイトにログインさせたりするケースも少なくありません。

今後、ネットショッピングやキャッシュレス決済はさらに普及していくと考えられるため、こうした言葉だけに踊らされないように細心の注意を払いましょう。

これまでにもご説明したとおり、Amazonの詐欺メールは近年増加し続けているため、攻撃者の手口に騙されて偽サイトにログインしてしまった経験がある人も珍しくありません。

そこで気になるのが、ユーザーがログイン情報を入力してしまったあとに、攻撃者はどのような動きをしているのかということ。

まず、ユーザーがログインに必要な「メールアドレスまたはID」と「パスワード」を入力してしまった場合、攻撃者にその情報が漏洩します。

盗取したログイン情報を使ってユーザーのアカウントに侵入し、登録されている氏名や住所、クレジットカード番号といった個人情報を抜き取るのが基本的な手口です。

さらにユーザーの登録情報を書き換えて、アカウントを乗っ取ったり不正に商品を注文したりと攻撃者はその手を緩めません。

すべては、最初に入力してしまった「メールアドレスまたはID」と「パスワード」がはじまりです。

「途中で詐欺だと気が付いてWebサイトを消したから大丈夫」と思ってしまう人も多いかもしれませんが、ログイン情報を一度でも入力してしまったら瞬時に情報が盗取される危険性があります。

この場合、ログインパスワードを変更したりクレジットカード情報を削除したりと素早い対処が必要です。

ここからは、Amazonの詐欺メールを見極めるポイントをご紹介していきます。巧妙化するあくどい手口から身を守るために、ぜひここで覚えておきましょう。

一つ目の見分けるポイントは「添付されてきたサイトのURLがAmazonの公式サイトのものかどうか」です。これは、添付されているサイトのURLをコピーして、新しく自分で開いたWebページで検索すると調べられます。

URLを検索してAmazonの公式サイトが出てくれば問題ありませんが、偽サイトだった場合は、フィッシング詐欺でよく使われる偽サイトがまとめられたページが出てくる場合もあります。

二つ目の見分けるポイントは「宛先に自分の名前が書かれているかどうか」です。

通常、Amazonから届くメッセージにはアカウントに登録している自分の名前「〇〇様」などと記載されています。

しかし詐欺メールだった場合は、不特定多数にメッセージを送りつけているため「お客様へ」といった宛先になっているケースが多いのです。こうした部分でも詐欺メールを見分けられます。

そして「自動的に迷惑メールフォルダに振り分けられている」場合も、詐欺メールと判断できる3つ目のポイントです。

自動で迷惑メールフォルダに振り分けられたということは、PCやスマホのセキュリティソフトが詐欺メールだと判定した証拠。迷惑メールフォルダに入っているメールは不用意に開かないようにしましょう。

4つ目のポイントは「メッセージの日本語がおかしいかどうか」です。

フィッシング詐欺で使われるメッセージは、英語を翻訳機などで日本語に直しただけの「おかしい日本語」のまま記載されているケースが多い傾向にあります。

誤字脱字が多かったり、文法や文脈がおかしかったりするメッセージは詐欺である確率が非常に高いため、読んでいて違和感を感じたら記載されているURLは絶対にクリックしないように気をつけてください。

最後に、Amazonの詐欺メールに引っかからないための対策をご説明します。

Amazonを名乗る怪しいメッセージが送られてきた場合、もちろん記載されているURLをクリックしないのが先決です。しかし怪しいかどうかも疑わずにクリックしてしまう人が急増しています。

このため、Amazonから何らかのメッセージが届いたら、普段使用しているブラウザやブックマークしているAmazonのページを開いてからログインしましょう。これを常日頃から癖付けておくと、もし詐欺メールが届いても偽のURLをクリックすることはなくなります。

また、予防策として「アカウントの二段階認証」を設定しておくと安心です。誰かが不正にログインしようとしても、自分のもとに二段階認証のメッセージが届きます。

これにより、万が一、偽サイトにアクセスしてログイン情報を入力してしまった場合でも、二段階認証を入力しない限り、攻撃者はAmazonアカウントにログインできません。

「普段は気をつけているけど、ついURLをクリックしてしまった……」といった場合のリスク回避として、アカウントの二段階認証を設定しておきましょう。

日常的に詐欺に対するアンテナを張り巡らせて「自分は絶対にフィッシング詐欺なんかに引っかからない」と自信がある人も多いでしょう。

しかし、たまたま「最近スマホの機種変更をした」「メインで使用するクレジットカードを変更した」「もうすぐ有料会員の登録更新時期になる」など、何かしらの心当たりがあれば、日頃から気をつけている人も騙されてしまう可能性は十分に考えられます。

不覚にも偽サイトにログインしてしまえば、個人情報を抜き取られたり金銭を騙し取られたりといった被害に遭ってしまうでしょう。そして、これ以上被害が広がらないように迅速な対応をしなければなりません。

こうした詐欺に遭うと精神的にもダメージを受けてしまいますので、本記事でご紹介した対策を癖付けて詐欺師に負けない知恵を身につけておきましょう。

【関連リンク】

・Amazon詐欺メールにご注意！被害に合わないための見分け方や対応方法（nojima）
https://www.nojima.co.jp/support/koneta/92096/

・Amazonを騙る詐欺メールに関する注意喚起（情報基盤センター）
https://www.cc.uec.ac.jp/blogs/news/2021/09/20210928amazonphishing.html

・Amazonを騙るフィッシング詐欺にわざとログインしてみた（オンラインセキュリティ）
https://www.onlinesecurity.jp/feature/210129.html

・2020/12 フィッシング報告状況（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/202012.html

・Amazonのフィッシング詐欺が急増中！　見破り方のポイントを覚えておこう（マイナビニュース）
https://news.mynavi.jp/article/20201127-1535047/

TEXT：セキュリティ通信 編集部
PHOTO：iStock