私は Amazon がなければ生活ができないほど、Amazon にどっぷり浸かって生活をしています。アナタも同じように Amazon どっぷりと浸かっているはずっ！！
この記事を読んでいるアナタも Amazon の便利さを堪能しながら 日々のお買い物にAmazon を利用していることでしょう。
利用者が多いと、詐欺・フィッシングなどの対象になってしまいます。私の受信トレイに、Amazon をかたるメールが毎日届いています。
- ブロック、迷惑フォルダー、受け取らない など対処方法はないのか？
- 迷惑メールと本物メールの見分け方は？
- 「うっかりクリックしてしまった」「ログインしてしまった」時の対応方法
技術的な説明もまじえて迷惑メールを分析し、見分け方とクリックしてしまったとき、ログインしてしまったときの対策など、ユーザーの防衛策をやさしく説明します。
なりすまし、迷惑メールの件数1位は Amazon
なんとなくですが、利用者からすると Amazon をかたるメールって多いよな～と感じていますよね？その感覚は正しくて数字としても表れています。
フィッシング対策協議会が毎月レポートにまとめてくれています。
Amazon をかたるフィッシングは報告数全体の約 28.5 % を占めており、次いで メルカリ、三井住友カード、楽天、ETC 利用照会サービスをかたるフィッシングの報告も含めた上位 5 ブランドで、報告数全体の約 67.7 % を占めました。また 1,000 件以上の大量の報告を受領したブランドは 9 ブランドあり、これら上位 9 ブランドで全体の約 79.2 % を占めました。 出典：2021/11 フィッシング報告状況
報告によると、全体の約 3割が Amazon をかたる詐欺メールです。
これだけ数が多いってことは相対的に「うっかりクリックしちゃった！」「ログインしちゃった！」「アカウントとパスワードを入力しちゃった！」「クレジットカード情報を登録しちゃった！」が多くあるので詐欺が成立しているって証拠です。
最近の迷惑メールは巧妙化しています。迷惑メールフォルダーに移動されず受信トレイに振り分けられるようになってきました。
迷惑メールに振り分けられない技術的な理由はのちほど説明します。
Amazon 迷惑メールの犯行目的は？クリックしたらどうなる？
迷惑メールの目的は？：個人情報を不正取得すること
迷惑メールの最終目的は「金銭の不正取得」です。お金を搾取するためにユーザーの個人情報の入手を試みています。
まずはユーザーをダマしてメール内のリンクをクリックさせます。リンク先のサイトは Amazon とそっくりな偽サイトです。勘違いしてログイン情報やクレジット番号などの個人情報を不正に取得します。
不正に取得した個人情報を利用して、商品を購入したり、詐欺商品を出品したりします。さらには、取得した個人情報を闇サイトに売ります。
闇サイトに流通した情報を回収することは不可能で、詐欺の実行者（犯人）が変わりながら次から次へのアナタへコンタクトしてきてだましてきます。
- 本物そっくりなメールを送信（迷惑メール）
- ユーザーをダマしてメール内のリンクをクリックさせる
- 誘導されたサイトは本物そっくりな偽サイト
- ログイン情報とクレジット情報を不正取得
- Amazon アカウントを乗っ取り「商品」を購入したり「詐欺商品」を出品したりする
- 他サイト（ECサイト、銀行など）にもアクセスを試み、アカウントの乗っ取りを企てる
- 不正取得した個人情報を闇サイトに売る
- 別の犯行者から次々とアナタにコンタクトし詐欺を試みます
不正に個人情報を取得されると、悲しい思いをするのは1回ではありません。何度も、何度も繰り返し金銭の不正取得を試されます。骨の髄まで搾り取られます。
迷惑メールをクリックしたらどうなる？：フィッシングサイトへ誘導
迷惑メールにあるリンクをクリックすると、本物そっくりなサイトへ誘導されます。この偽サイトにはログイン画面とクレジットカードなどの個人情報を入力させることが目的です。
不正に個人情報を入手できたら、ダマされたことを気づかれないように本物の Amazon サイトへ戻します。
ユーザーは、入力間違いでもしたのかな～と思う程度の疑問しか疑わないほどです。
タレントのエハラさんが情報発信をしてくれていました。
カード不正利用についてでグッとラック出とります。
このログイン画面ニセモノなんだぜ…そして情報入れ込んだ後、本物のAmazonサイトに飛んだりするだぜ…
基本的にすげー警戒する人なのにこれはわからんかった。 pic.twitter.com/a7pkde9Hd4
— エハラマサヒロ（11月26日単行本発売！） (@eharamasahiro) December 3, 2020
正直言って画面を見るだけでは見破ることは出来ません。まったく同じプログラムを作っているので、どんなに警戒心があっても見抜けません。
Amazon 迷惑メールの手口とテクニック
人の心理を巧みに狙っている
詐欺師は、人の心理を巧妙に利用してアナタを狙ってきています。人間は理性で行動をコントロールしていると誰もが思っていますが実は違います。
平常時には、誰が見ても怪しいと思うものでも、心に余裕がない時や、タイミングの一致が行われると、同じメールを見ても判断が全く違うものになります。
「正常性バイアス」と呼ばれるもので「自分だけは大丈夫」という強力なフィルターが掛かり判断を間違えます。
また、ノーベル経済学賞を受賞したプロスペクト理論（投資家はなぜ不合理な行動を取るか）でも立証されているように人は間違った行動をするものと理解してください。
下手な鉄砲も数撃ちゃ当たる作戦
昔から言われていることですが、数で確率を上げています。メール送信には全くコストがかかりません。
リスクが全くなくて迷惑メールを送れば送るほど確率が上がるのであれば、詐欺師は当然のように大量に迷惑メールを送付します。
もし、ユーザーがパスワードやクレジット情報などを変更したときに、タイミングよく「アカウントのエラー」や「更新のエラー」のメールが届いたら、何も疑わずに処理を進めてしまいます。
- Amazon カウントエラーが発生しました
- Amazon プライムの自動更新設定を解除いたしました
- 今すぐあなたのアカウントを確認してください
- お支払方法に問題があり、プライム特典をご利用いただけない状況です。
- Amazon: 異常ログイン通知
普段なら絶対にありえないのに、タイミングの一致だけで人は判断を間違えてしまいます。
詐欺師は、心理学や経済学の理論を巧みに利用し、人の心理を悪用して偽ページに誘導を試みます。その結果、金銭の搾取を狙っています。
実際の Amazon をかたる迷惑メールをクリックしてみた
迷惑メールと判っていても、リンクをクリックするのは勇気が必要です。私がユーザー代表だと思って突き進んでみます。
ケース１：確認情報を取得できませんでした、アカウントはxx月xx日に削除されます。AMAZONをご利用いただきありがとうございます。
既にアクセスできなくなっていました。
Chromeブラウザを利用して偽サイトにアクセスしたら「Google セーフ ブラウジング」か動作しユーザーにアラートを表示してくれました。それでも気にせず「安全でないこのサイトにアクセス」をクリックしてみました。
おっとサイトを閉鎖しているようです。偽サイトは使い捨てなので「Google セーフ ブラウジング」に登録される前に閉鎖してしまうようです。
実際のフィッシングサイト（偽サイト）にアクセスができるのは、メール受信してスグしか稼働しないようです。
ケース２：重要：【Amazonプライム会費のお支払い方法に問題があります】
フィッシングサイトが生きていた！わざと登録してみた。入力は、全て適当な情報を入力しています。
実際に送られてきた、なりすましメールです。わざとクリックしてフィッシングサイトにアクセスしてみます。
Amazonとそっくりなサイトが表示されました。入力画面のみを拡大します。
「請求先住所」に関する情報を入力させる画面でした。配送先をイメージさせるためでしょう。生年月日の取得が目的と思われます。
お決まりのクレジット決済を入力させる画面でした。この情報さえあれば不正購入が出来ちゃいます。
何が目的か分からない画面が表示されました。もっともららしさをアピールしている様子です。ここで「送信ボタン」を押すことで本物のAmazonへリダイレクトされました。
実際の Amazon 迷惑メールを解析・分析する
ケース１：確認情報を取得できませんでした、アカウントはxx月xx日に削除されます。AMAZONをご利用いただきありがとうございます。
実際に送付されてきた、Amazon をかたる迷惑メールです。
件名が「確認情報を取得できませんでした、アカウントはxx月xx日に削除されます。AMAZONをご利用いただきありがとうございます。」
となっており、ユーザーの不安を煽るタイトルです。
ぱっと見ただけだと、本物の Amazon から送られてきたメールと勘違いしてしまいます。
この迷惑メールは、迷惑メールフォルダに振り分けられず、受信トレイにありました。
私の職種（IT業界でいう中の人）から迷惑メールを分析することが出来ます。メール本文の中身には犯人の痕跡は全く無いのですが、メールヘッダーには情報が詰まっています。
メールヘッダーはGmail,Yahoo!メールなどでも簡単に閲覧できる情報です。サクッとみてみましょう。
重要なところのみピックアップしています。メールの「送受信に関わるパーツ」と「迷惑メール対策に関わるパーツ」にて分離して説明します。
送受信に関わる偽装されたヘッダー情報
From: "Amazon.co.jp" <[email protected]> Return-Path: <[email protected]> To: <[私のメールアドレス]>
「From」は「送信者」のことです。内容を確認すると、amazon.co.jp が送信したことになっていす。しかし、これは偽装です。実際にメールを返信すると「[email protected]」に送られます。
「To」は「宛先」のことです。私のメールアドレスなので受信ボックスに届きました。
迷惑メール対策を不正利用したヘッダー情報
Received-SPF: pass (oiujhyt.xyz)
Authentication-Results: from=oiujhyt.xyz; domainkeys=neutral (no sig);
dkim=pass (ok); [email protected];
dmarc=failFrom: "Amazon.co.jp" <[email protected]>メール対策に SPF, DKIM, DMARC の3つが行われたようです。「SPF」「DKIM」は普及率の高いメール対策で「DMARC」は2つよりも普及率が低いです。
「SPF」「DKIM」とも「PASS」と記載されています。この結果を受けて「なりすまし送信ではなく正しいメール」と判断しています。
つまり「oiujhyt.xyz」というドメインで正しく送信されたとことを証明しています。
ん！？ Amazon.co.jp は？？？
そうなんです！ Amazon とは全く関係のないドメイン（今回は oiujhyt.xyz ）から正規の手順でメールを送信しています。
メール受信サーバーは正規の送信サーバーから oiujhyt.xyz ドメインのメールが送信されているのを確認しています。つまり、迷惑メールフォルダーやブロックができない。
これは技術的な問題を突いて送信しているために防ぐことができません。
ちょっとだけ細かな説明をすると、メールは直接配送されず、メール転送機能を利用してメール送信が行われています。
メール転送するときにメールヘッダー情報を書き換えて送付しています。ここで送信者を Amazon と偽っています。つまり、本来の正しい使い方ではなくチート的な使い方です。
Amazon 迷惑メールの見分け方
メールの内容から見分ける
Amazon からのメールは敬称で届きます。宛名は「山田 太郎 様」「日本 花子 様」のように必ずアカウントに登録されている敬称が表記されます。
しかし、Amazonをかたるメールは、不特定多数に送ることが前提の文面になっています。
- Amazon をかたる迷惑メール
Amazonをかたるメールは、「Amazon お客様」「メールアドレス」や「お客様各位」など、名前以外が記載されています。 - 正規の Amazon からのメール
正規の Amazon からのメールの宛名は、「山田 太郎 様」のように必ずアカウントに登録されている敬称が表記されます。
リンク先から見分ける
リンク先のURLが、amazon.co.jp ではありません。一部に amazon.co.jp を使うなどしてぱっと見で勘違いしやすくなっています。
パソコンだとブラウザを利用するWebメールだと簡単に確認することができます。
メール内のリンクが貼られている部分にマウスのカーソルを乗せると、左下にリンク先の URL が表示されます。
この URL がおかしいかどうかで簡単に正規のメールか、Amazon をかたるメールかを判断することができます。
メール認証から見分ける
Yahoo！メールでは「メール認証」ボタンから簡単に迷惑メール対策の状態を確認することができるようになっています。
- Amazon をかたる迷惑メール
- 正規の Amazon からのメール
フィッシングサイトに情報登録してしまったときの対策
フィッシングサイト（偽サイト）にアクセスするだけでは、ユーザー情報を搾取されることはありません。何かを入力し登録を完了させるとデータが漏洩してしまいます。
個人情報を登録してしまっても、焦る必要はありません。正しく対応策を実施すれば怖いことはありません。
ユーザーの個人情報を登録してしまったら対策は3つ。
Amazon アカウントのパスワードを変更する（他サイトも）
当たり前ですが、Amazon アカウントのパスワードを変更しましょう。できる限り速やかに変更します。再利用していないパスワードにすることが絶対条件です。
もし、他サイト（楽天市場、銀行 など）でも同じアカウントとパスワードを利用していたら全て変更します。こちらも、再利用していないパスワードにすることが絶対条件です。
ユーザーが行う防衛策の王道は、「パスワードの使いまわしをしない」この一点です。もし、被害にあったとしても影響を最小限に抑えることができます。
2段階認証の有効化
王道の次は、最強の防衛対策である「2段階認証」を有効にすることです。
今では 「アカウント」と「パスワード」 だけの認証方式では、セキュリティ対策は不十分です。
10年前であれば無理だったかもしれませんが技術の進歩により、今では簡単に不正アクセスをする為の環境が整った世の中になってしまいました。
ログイン時に「アカウント」「パスワード」と「もう１つの要素」を認証に組み込むことを「2段階認証」といいます。
Amazon アカウントで2段階認証を有効化するとサインイン方法がちょっとだけ変わります。
- いつも利用しているパスワードを入力
- ワンタイムパスワード（OTP）が送付される
- ワンタイムパスワードを入力しサインインを完了
いつものサインインを実行した後に、さらにワンタイムパスワードを入力することになります。
詳細を説明した記事がありますので興味があれば読んでみてください。
関連記事 Amazonは2段階認証を絶対に設定すべき！安全安心は大切
クレジットカードのサポートに連絡する
クレジットカードって利用者にとって非常にありがたいサービスが付加されています。
故意に不正を働いたらダメですが通常の使い方を行って被害にあった場合は、支払いを免責してくれます。
ユーザー自身が不正利用の疑いをサポートセンターに連絡すると、即座に利用停止の対応が実施されて、新しいクレジット番号で再発行手続きが実施されます。
クレジットカードが郵送されるまで、1～2週間程度掛かるので現金のみの生活を余儀なくされます。また、各サイト、各サービスに登録しているクレジットカード番号を全て変更する必要があります。
面倒で仕方ないですが、被害を最小限に抑えるには必要な手続きです。
あとがき
Amazon をかたるメールは、迷惑メールはのうち3割を占めています。これは金銭の搾取が詐欺師から見ると容易にできる証拠と言えます。
迷惑メールは、ブロックや迷惑フォルダーに配送されないように、裏技テクニックを使い「受信トレイ」に配信されるようになっています。
人の目に触れる機会が多くなれば、間違って操作してしまうユーザーが相対的に多くなります。
アカウントの乗っ取りを防ぐ防衛策をユーザー自身が行う必要があります。「パスワードを使いまわさない」「2段階認証を有効化」これだけで被害を最小限にできます。