フィッシング対策協議会の月次報告によると2022年10月に情報提供されたフィッシング詐欺の報告件数は78,126件で、そのうちAmazonを騙るフィッシングメールは全体の約20.9％にも上がりました。近年では新型コロナウィルスの影響もあり以前に比べオンラインショップを利用する機会が増えました。特にAmazonは幅広い品揃えやAmazonプライムに加入すると送料が無料になる特典があることから世界的に人気のオンラインショップです。そのため非常に多くのフィッシング詐欺に悪用されているブランドでもあります。
Amazonを騙るフィッシング詐欺の被害に遭わないために、巧妙化する詐欺の動向について知識を持っておく必要があります。今回は最新のフィッシングメールの手口とその対策についてご紹介します。
まず、巧妙化するAmazonを装ったフィッシングメールの手口について最新のパターンや特徴をご紹介します。
ネットバンキングやクレジット会社、ブランドなど有名企業を装って送り付けてくるメールのことをなりすましメールと呼びます。なりすましメールは本文に「至急・重要・警告」など緊急性を強調する言葉を使うことによって記載されたURLより偽サイトへログインするよう誘導し、ユーザーの個人情報やクレジット情報などの入力された情報を窃取します。10月に同対策協議会の調査用メールアドレスへ届いたフィッシングメールでは、実在するサービスのメールアドレス（ドメイン）をメール差出人に使用した「なりすまし」メールが全体の約87.5％にも上りました。今回の調査結果からもわかるように、なりすましメールの手法は典型的ではあるものの時代と共に巧妙化し、現在もなりすましによるフィッシングメールの被害は後を絶ちません。
「商品代金が未納です。至急お支払いください。」「本日中にご確認頂けない場合、法的な手続きをとることがあります」など未納料金に関する緊急性のあるメールや「カードの有効期限が切れました」「請求先住所が変更されました」など支払い情報等の登録に関するメールを送りつけてきます。絶対に記載されているURLはクリックせず、公式サイトからログインした上で「注文履歴」より不明な請求内容を確認しましょう。
「残念ながらAmazonのアカウントを更新できませんでした」「セキュリティ上の理由からアカウントがロックされます」「24時間以内にご確認頂けない場合、アカウントの利用制限をさせて頂きます」など緊急で再度アクティブにする必要があるようなメールを送りつけてきます。アカウントの停止や時間制限を設けることにより慌てたユーザーが本文に記載されたURLをクリックして確認したくなる状態に仕向けています。
前述のようになりすましによるフィッシングメールの目的は「個人情報」です。最近ではメールに記載されたURLから偽サイトのログインページへ誘導し、情報入力とログインをさせた後、ログイン後のリンク先を公式サイトのURLに設定するなど手口も巧妙化しています。詐欺師は窃取したログイン情報やクレジット情報を利用してアカウントに侵入し、アカウントを乗っ取る・商品を購入する・詐欺商品を出品するなど個人情報を悪用します。そして最終的に窃取した個人情報を闇サイトに売り込み金銭を不正に取得します。仮に途中で詐欺に気づきWebサイトを閉じたとしても入力されたログイン情報（個人情報）はすでに窃取されている可能性が高いです。そのためすぐに公式サイトよりログインし、ログイン情報の変更やクレジット情報を削除するなど素早い対応を取る必要があります。
次に、なりすましのフィッシングメールかどうかを見分けるポイントと対策についてご紹介します。
見分け方のポイント
前置きとして基本的にAmazonはメールで「銀行口座やクレジット情報・出身地や母親の旧姓・アカウント情報」など個人情報の開示を求めることはないため、もし個人情報の開示に関連するメールが届いた場合はフィッシングメールである可能性が非常に高いです。
Amazonから届くメールの宛名は必ずAmazonのアカウントに登録されているユーザー名が記載されています。一方なりすましメールは不特定多数にメールをばら撒くため宛名は「Amazonお客様」「お客様のAmazonアカウント」「お客様各位」「メールアドレス」などが用いられています。そのためメールの宛名や本文にユーザー名が記載されているかどうか確認しましょう。
巧妙化するフィッシングメールですが、メール本文に不自然な言葉遣いや誤字脱字がある、多言語が混じっているなどメールに違和感があるものがほとんどのため、不自然な箇所がないか確認しましょう。また、同じような内容のフィッシングメールが不特定多数に届いている場合、メールのタイトルや本文をインターネットで検索すると関連記事が見つかるケースもあるためインターネットで検索することもおすすめです。
メール内に貼られているボタンからリンク先に誘導するHTML形式（デザイン性が高い）のメールの場合、マウスのカーソルをボタン上に移動させると画面左下にリンク先のURLが表示されます。Amazonのヘルプ＆カスタマーサービスで公表されているAmazon.co.jpサイトのURLは「https://〇〇.amazon.co.jp/」もしくは「amazon.co.jp/」です。表示されたURLが正式なAmazonのリンクか不自然なリンクかを確認しましょう。
ただし短縮URLが使われている・HTML形式で作られているメールの場合、表示されているURLと実際にアクセスした先のURLが異なるケースがあります。そのためURLのみで判断するのは避けましょう。
Amazonでは送受信した全メールを確認することができる「メッセージセンター」というアカウントサービスがあります。少しでもフィッシングメールの疑いがある場合は公式サイトよりログイン後、メッセージセンターに該当メールが届いているか確認しましょう。もしメッセージセンターの受信トレイ内で確認できない場合、届いたメールはなりすましのフィッシングメールです。
メッセージセンターはAmazonの公式サイトよりログイン後「アカウント＆リスト」内にある「アカウントサービス」を選択し、「Eメールとメッセージ」内にある「メッセージセンター」より確認することができます。
＜ なりすましメールの関連記事はこちら ＞
なりすましのフィッシングメールを見分けるポイントを踏まえた上で、最後に対策方法をご紹介します。
ログインを急がす緊急性・重要性のあるタイトル・内容のメールや不審な文面のメールが届いた場合、絶対に記載されているURLにアクセスしたり添付ファイルを開いたりせず、メッセージセンターより受信の有無を確認しましょう。
Amazonにログインする場合は必ずブラウザより検索したAmazonの公式サイトからログインするかブックマークしているAmazonのページからログインしましょう。
アカウントの二段階認証を設定しておくことで万が一第三者が不正ログインを試みた場合ユーザーに二段階認証のメッセージが届くため、二段階認証を入力しない限り第三者は不正ログインすることができません。また、近年のセキュリティソフトはネット詐欺に特化しているものなど種類も豊富のため、一般的なセキュリティソフトと併せて導入することをおすすめします。
一度でも入力してしまったログイン情報はすぐに第三者に窃取される可能性が高いです。そのため届いたメールを信用し安易にパスワードや承認コードを入力しないよう気を付けましょう。
以上、最新のフィッシングメールの手口とその対策についてご紹介しました。
― フィッシングメール 最新の手口・特徴
― フィッシングメールの目的
― なりすましのフィッシングメール 見分けるポイント
― なりすましのフィッシングメール 対策方法
Amazonを騙るフィッシングメールはAmazonのドメインに非常によく似たドメイン（amazon.comではなくamazan.comなど）を使用する、緊急性を感じさせるようなメールを送ることで記載された偽サイトへのURLをクリックするよう仕向けるなど非常に手口が巧妙化しています。フィッシングメールを含めネット詐欺の被害に遭わないために一番重要なことは「冷静になる・平常心を保つ」ことです。緊急性のあるメールや支払い・個人情報等に関わるメールが届いた場合は今回ご紹介した見分けるポイントや対策を参考に、公式サイトよりログインして慎重に確認を取りましょう。
