【元記事をASCII.jpで読む】

Twitterの登録メールアドレスがダークウェブで売買されてしまい

Amazonを騙るフィッシング詐欺のメールが2023年5月以降、計19通届いています。どこに？　私のメールアドレスに。

某Twitterから540万人分とも言われるアカウント情報が流出したのは2022年夏のこと。

案の定、登録に使った私のサブサブアドレスくらいにあたるメールアドレスの受信箱はスパムの溜まり場と化しました。

当初、スパムはもっぱら英文で内容はアダルトとドラッグに関するものが大半でしたが、しばらくすると日本語のスパムが混じるようになりました。よく観察すると、そのほぼすべてが実在の組織・団体を装ったフィッシング詐欺のメール。

ちょうどその頃からフィッシング対策協議会に届くフィッシングメールの報告件数が増加の一途を辿っていたこともあり、なんとなく捨てずに放置したところ、それなりの数が溜まったので、今回からその一部をご紹介することでフィッシング詐欺対策の啓蒙の一助になればと思う次第です。ではどうぞ。

偽Amazonの基本仕様その1

フィッシング詐欺は最終的に金銭（に相当するもの）を送ってもらうか、クレジットカード情報など金銭にまつわる個人情報を盗むことが目的なので、Amazonを騙る場合はプライム会員周りの嘘を付くことが多いようです。このメールは偽Amazonが送る詐欺メールの基本仕様とも言える一通です。

「会員資格は失効し、特典をご利用できなくなります」の一文でユーザーを慌てさせ、偽のWebサイトに誘導する手口です。アカウント情報を入力させることでサービス自体を乗っ取ることができますね。また、「お支払いにご指定いただいたクレジットカードが使用できない場合は……」と記されていることから、クレジットカード情報を入力させて盗み取ることも目的だとわかります。

正直、このページが本物をそのまま流用してリンク先のみ変更しているのか、それともイチから作り上げたものなのか不明ですが、“Amazonっぽい体裁”は保たれている印象です。文字化けがなければ信じてしまうかも。

フィッシング詐欺の対策として最も簡単な方法は、一読して驚くような内容のメールを受け取ったら、いったんそのメールは放置して、自ら検索した公式サイトで同様の内容が告知されていないかチェックすることです。メール内のURLやリンクを触ってはいけません。すべて偽のWebサイトにつながっていると考えてよいでしょう。

24時間制限でアカウント確認を強要するパターン

プライム会員費の次にメジャーなのがアカウント関係ですが、残念（？）なことにこの系統は内容がイマイチ。

Amazonのユーザーアカウントを更新できなかったという意味不明な話から始まり、「24時間以内にご確認がない場合……アカウントの利用制限をさせていただきます」という太文字で『ああ、典型的なフィッシング詐欺だな』と判断できてしまう稚拙なものです。

　最下段のクレジットに至っては「日本語ページの最下段あたりでよく見かける文字列を埋め込んでみました」的ないい加減さで、お前らこれでカネ稼いでるんだろ、まともに騙す気があるのかと問い質したくなります。仕事柄、雑な原稿は許せません。

　とは言え、この手の詐欺は着実に精度を上げています。数年前は英語圏のスパムを機械翻訳したとしか思えない出来栄えでしたが、昨今はまがりなりにも意味の通る文章になっています。上記のメールも日本人が十分理解できる内容ですよね。

　生成AIの発達によって、文章はいくらでも推敲できる環境が整ってしまいました。そのうち公式よりも違和感のないメールが届くかもしれません。用心だけは怠らないようにしましょう。

これでどうやって詐欺るのか？

一見、フィッシング詐欺とは思えない内容です。

受取スポットとは、任意の店舗を受取場所に指定することで自宅以外でも注文商品を受け取れるサービスのこと。新規に追加された受取スポットの情報を見せてどう詐欺につなげるのでしょうか？

『もしかしてこの筆者、本物と偽物の区別が付いてないんじゃ……』と誤解されそうなので慌てて付け加えておきますが、このメールは差出人が「cn」ドメインで、かつ過去に送られてきた別のフィッシング詐欺と同一アドレスでした。

勝手に料金アップする詐欺

最後にプライム会員の別パターンを1つ。会員費を具体的に記す細かい仕事ぶりは評価できるのですが、問題はその価格。私はこのフィッシングメールを読んで『えっ、プライム会員費って値上がりしてたの!?』と慌ててAmazonを見に行ってしまいました。と言うのも、プライムは年間プランが4900円（税込）、そして月間プランは500円（税込）なのです。

　
ひるがえってフィッシングメールを見返すと、「Primeの会費（税込550円）をご請求することができませんでした」。

　その50円はなんだ。

最終的にクレジットカード情報を盗んで乗っ取るための仕掛けにわざわざ50円割り増しで書く理由が思い当たらなくて逆に怖い。

Amazonのニセモノを見破る簡単な方法

というわけで、一発目は偽Amazonからのフィッシングメールをご紹介しました。このほかにもたくさんの種類が出回っていますので、まずは油断せず落ち着いて確認しましょう。それでも真偽がわからないという人は、Amazon公式が提供しているサービスで見破る方法がありますので、ぜひ使ってみてください。

Amazonのトップページ上段に「アカウント＆リスト」という表示があります。そこからアカウントサービス→メッセージセンターと辿ることで、Amazonがユーザーに送信したメール一覧を確認できるのです。ここに表示されていないメールはフィッシング詐欺と判断して良いわけです。簡単ですね。

なおフィッシング詐欺のメールやSMSが届いたら、フィッシング対策協議会に報告すると良いでしょう。私のように専用フォルダを作って愛でる必要はありません。