相変わらず衰退の兆しが見られないフィッシング詐欺界隈。その中でもAmazonを装うフィッシング詐欺は、昨年から相変わらず勢いが衰えない。

実際、私（耕平）のメールボックスにも毎日10通ほど、このAmazonを装うフィッシングメールが届いている。

そこで今回は、ここ最近で私が受信したAmazonを装うフィッシングメールの最新版4選と、個人情報を抜き取る様子を調査したので、お伝えしようと思う。

・最新フィッシングメール4選

世に出回っているフィッシングメールのほとんどは、「アカウントに異常があるから、ログインして個人情報を再登録してね」と言った内容のものがほとんどだ。

そしてAmazonを装うフィッシングメールも、最新版であろうと、同じ目的のものばかり。

それではさっそく、2021年に入ってからのフィッシングメールを見ていこう。

その1：[AMAZON.CO.JP] 必要なアクション – ID:22131171630445330543698

「あなたのアカウントは一時的にロックされています。」と冒頭からデカデカと書いてあり、これから紹介するフィッシングメールの中で、最もシンプルだ。

よくある、典型的なフィッシングメールの印象を受ける。

その2：Аmazon お客様

内容は先ほどのメールよりも信憑性があるが、件名の手抜き感がハンパない。

こちらもフィッシングメールっぽさが抜けてなく、見る人が見たら一発で偽物とわかりそうな気がする。

その3：お客様の Amazon.co.jp でのご注文を出荷できません。（自分のメールアドレス）

まず差出人の名前が「info-アマゾン@amazon.co.jp」とカタカナが入ってしまっている時点で怪しさ満点。

そして件名は「注文の品の出荷ができない」というものだが、なぜか自分のメールアドレスが表示されている。

内容は他のフィッシング同様、ログイン情報を要求するものだが、なぜか最下部に薄くグレーの文字で7桁の数字が記載されている。

その4：【Amazon】24じかん時間いない以内にログインじょーほー情報のこーしん更新をおねがい願いします!

もはや、件名がウケ狙いに走っている。ひらがなと漢字の入り組んだ謎の文章の最後に「！」を入れるセンス……。唯一【Amazon】だけしか、まともな単語として認識できない始末だ。

ただし内容は、今まで紹介した中で、ロゴやフォントなど、1番本物に寄せてきているが、件名がお粗末すぎるため本物と疑う人は圧倒的に少ないような気がした。

このように、Amazonを装うフィッシングメールは比較的、一目で偽物とわかりそうなものが多い気がする。世に出回っているフィッシングメールは、MyJCBカードを装うフィッシングメールのように、本物と見分けがつかないレベルに進化しているにも関わらず……だ。

・退化したフィッシングサイト

前述のフィッシングメールからのリンクはほとんど切れていたが、1つだけアクセスできたので、今年のフィッシングサイトはどういう仕組みになっているのかを調べてみよう。

まず、Google Chromeの場合、お決まりの悪質なサイトに対しての警告画面が表示される。

構わず進んでいくと、Amazonのログイン画面を模したサイトが表示された。

そして、フィッシングサイトのURLの横には「危険」の文字が表示されている。

ここでアメリカンエキスプレスのフィッシング詐欺を検証した時と同様、適当な文字を入れてもログインできてるかどうかを試してみるべく、適当に「1」のみ数字を適当なケタ数を打ち込んで、潜入してみた。

しかし「＠」が入っていないというメールアドレスの不備で弾かれてしまった。そこで「＠」を適当に入れてみる。

再びログインを試みたところ……今度は『「＠」に続く文字列を入力してください』と表示され、先に進まない。

生意気な……入口部分のメールから手抜き感満載の流れなのに、こんな細部に変なこだわりを見せているところが、ある意味、愛おしい。

とりあえず従っておこうと「1@jp」と打ち込んで、進めるかどうかを試みたところ……

進めた！

次に表示された、クレジットカード情報の入力フォームに、全て「1」のみを打ち込んでみると、「このフォームは安全な接続を使用していないため、クレジットカードの自動入……」と表示された。

しかし「1」を6ケタ入力したところで、表示が消えたので、そのまま他の項目を「1」のみを適当なケタ数を打ち込む。

そして「ログイン」ボタンをクリックしたら……

やっぱり進めた！

そこには、なぜか先ほどログイン画面でパスワードを打ち込んだにも関わらず、再度パスワードの入力を促すフォームが表示されている。

しかも下部には、Amazonのサイトなのに「ソフトバンク株式会社」と謎の表記が。

まぁ、もともと詐欺なので、深い意味を考えず、また「1」のみを適当なケタ数を打ち込んで、「送信」をクリックすると……

本物のAmazonのページに誘導された。

これは以前検証したVISAカードを騙るフィッシング詐欺と同じパターンで、この時点で個人情報を抜き取りが完了しているといったところであろう。

──以上が検証結果だ。

個人的には、このAmazonを装うフィッシング詐欺は他のフィッシング詐欺に比べて比較的ニセモノと判断しやすいと感じているが、すぐに本物と見分けがつかないようなクオリティで発信される可能性も十分あるので油断は禁物。

そして、いつもお伝えしているように怪しいメールが来たら、メールから直接ページに飛ばないことを徹底すれば、被害は100％防げるので心がけてほしい。

また、Amazonからの注意喚起も確認しつつ、被害に遭わないよう注意してほしい。

参考リンク：Amazonセラーセントラル「スパムメールの見分け方」
Report：耕平
Photo：RocketNews24.

▼メールの件名がウケ狙いに走っている？

▼Google Chromeだと警告画面が表示される

▼個人情報の抜き取りもシンプルだ