Amazonの「返金処理に関する確認のお願い」を装うフィッシングメールの実例-SPF・DKIM・DMARCがすべてPASS、不審な添付ファイル付きの手口を解説|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月28日更新日時: 2026年07月28日

Amazonを装い「返金処理に関する確認のお願い」という件名で送られてくるフィッシングメールの実例が確認されました。今回の事例で特徴的なのは、送信ドメイン認証であるSPF・DKIM・DMARCがすべてPASSと表示される点、そして通常のフィッシングメールには見られない不審な添付ファイルが付与されている点です。認証がすべて通過しているためスパムフィルターをすり抜けやすく、受信者からは正規メールとの区別がつきにくくなっています。本記事では、実際のメールヘッダーを技術的に分析し、なぜ認証がPASSしているのか、どこに偽装の痕跡が残っているのかを解説します。結論から言えば、認証がPASSしていても、それは差出人を名乗るドメインが正規のAmazonであることを一切保証しません。

サマリー

Amazonの「返金処理に関する確認のお願い」を装うフィッシングメールの実例
SPF・DKIM・DMARCの3つの送信ドメイン認証がすべてPASSと表示される
ただし認証が通っているのはAmazonとは無関係の外部ドメイン（carmendurango.com）
Fromの表示名にゼロ幅文字が多数挿入され、フィルタリング回避が図られている
誘導先URLはAmazonと無関係のドメイン（anlongpk.com）
通常のフィッシングメールには少ない不審な添付ファイル（Amazon.co.jp.yffh）が付与
「返金保留」「早めの対応」「手続き期限」という緊急性を煽る典型的な文面
認証PASSは差出人ドメインの正当性を示すのみで、そのドメインがAmazonであることは保証しない

実例メールの内容

フィッシングメールの文章（テキスト）

＝＝＝

A‍⁡ma‌zo‌⁢nより送信‌されたメールです

返金処理に関⁠する確認のお願‌い

いつもAma‌zo⁢nをご利用いただき、誠にありがとうございます。

お客様のアカウントに関連する最近のご注文について、返金処理の申請が通常とは異なる地域または端末から行われた可能性が確認されました。A⁡ma‌zo⁢nのセキュリティ基準に基づき、第三者による不正操作の疑いを排除するため、該当する返金処理を一時的に保留させていただいております。

返金手続きを再開するためには、お客様ご自身によるご確認が必要となります。
以下の「返金の確認」ボタンよりサインインいただき、内容に誤りがないかご確認をお願いいたします。
お早めにご対応いただけますと幸いです。ご確認が遅れま‍すと、返金処理によりお時間をいただく場合がございます。

返⁠金‍の⁠確認‍

手続き期限‌：2026年‌07月26日(日)

＝＝＝

本文では、いつもAmazonを利用していることへの感謝から始まり、アカウントに関連する最近の注文について、返金処理の申請が通常とは異なる地域または端末から行われた可能性が確認されたと述べています。そして、Amazonのセキュリティ基準に基づき第三者による不正操作の疑いを排除するため、該当する返金処理を一時的に保留していると説明します。返金手続きを再開するには本人による確認が必要だとして、「返金の確認」ボタンからサインインするよう促す構成です。手続き期限として「2026年07月26日(日)」という日付が示され、確認が遅れると返金処理に時間がかかると案内しています。

Amazonのロゴ画像が上部に配置され、オレンジ色の「返金の確認」ボタンが設置されるなど、見た目は正規のAmazonメールに寄せて作られています。

正規のAmazonからのメールと誤認させ、リンク先の偽サイトでAmazonアカウントのログイン情報やクレジットカード情報を入力させることが目的とみられます。

特徴1：SPF・DKIM・DMARCがすべてPASSしている

今回の事例で最も注意を要するのが、送信ドメイン認証の状態です。メールヘッダーを確認すると、以下のようになっています。

SPF:   PASS（IP: 157.7.106.203）
DKIM:  PASS（ドメイン: mtauy.carmendurango.com）
DMARC: PASS（p=QUARANTINE sp=QUARANTINE）

SPF・DKIM・DMARCは送信ドメイン認証と呼ばれる仕組みで、メールの送信元が詐称されていないかを検証するためのものです。一般に、これらがすべてPASSしているメールは信頼できると考えられがちです。しかし、ここに重大な誤解があります。

サーバーサイドエンジニアとしてメールシステムの構築・運用に携わった経験から明確に言えることは、送信ドメイン認証がPASSするということは「Fromに書かれたドメインの持ち主が、確かにそのメールを送信した」という事実を証明するにすぎないという点です。そのドメインが正規のAmazonであることは、一切保証しません。

今回のメールのFromドメインを確認すると、mtauy.carmendurango.com となっています。これはAmazonとは全く無関係の外部ドメインです。攻撃者は自分が管理する carmendurango.com というドメインに対して、正しくSPFレコードを設定し、DKIM署名を行い、DMARCポリシーを設定しています。その結果、このドメインから送信されたメールは、認証上は正当なものとして扱われ、すべてPASSと表示されるのです。

つまり、攻撃者は自分のドメインで完全に正規の認証設定を行ったうえで、メールの表示名と本文だけをAmazonに偽装しているという構図です。認証がPASSしていることと、そのメールがAmazonから送られたことは全く別の問題です。

特徴2：表示名にゼロ幅文字が挿入されフィルタを回避

メールヘッダーのFromフィールドをデコードすると、表示名に通常は見えない特殊文字が大量に埋め込まれていることがわかります。

ヘッダー上のFrom表示名には、Amazonを表す文字列の間に、ゼロ幅接合子（Zero Width Joiner）やゼロ幅非接合子といった、画面上には表示されない制御文字が挿入されています。本文中の「Amazon」「返金の確認」といった単語にも同様の処理が施されています。

これは、セキュリティ製品やスパムフィルターが「Amazon」という文字列を検知してブロックすることを回避するための手法です。人間の目には「Amazon」と読めますが、文字列としては「Ama(不可視文字)zo(不可視文字)n」のように分断されているため、単純な文字列マッチングによる検知をすり抜けます。ブランド名を騙るフィッシングで近年多用されている偽装技術です。

特徴3：誘導先URLがAmazonと無関係のドメイン

メール本文に設置された「返金の確認」ボタンのリンク先URLは、以下のドメインでした。

https://anlongpk.com/auth/sjlu/token

anlongpk.com は、Amazonの正規ドメイン（amazon.co.jp、amazon.com）とは全く関係のないドメインです。フィッシングサイトはこのドメイン配下に構築されており、アクセスするとAmazonのログイン画面を模した偽サイトが表示されるとみられます。ここでIDとパスワードを入力すると、その情報が攻撃者に窃取されます。

送信元ドメイン（carmendurango.com）と誘導先ドメイン（anlongpk.com）が異なる点も、この種の攻撃の典型的な特徴です。メール送信用のインフラとフィッシングサイトのホスティングを別々に用意することで、片方が停止してももう片方が生き残るように設計されています。

特徴4：不審な添付ファイルが付与されている

今回の事例で通常のフィッシングメールと異なる特徴的な点は、添付ファイルが付与されていることです。ヘッダーを確認すると、次の添付ファイルが含まれています。

filename="Amazon.co.jp.yffh"

.yffh という拡張子は一般的なファイル形式ではなく、正体不明の拡張子です。ファイル名の先頭に「Amazon.co.jp」を付けることで、正規のAmazon関連ファイルであるかのように見せかけています。

多くのフィッシングメールはリンクをクリックさせることに主眼を置き、添付ファイルを持たないことが一般的です。添付ファイルがあること自体が、この事例の特徴の一つです。正体不明の拡張子を持つ添付ファイルは、マルウェアである可能性、あるいはセキュリティ製品による検査を回避するための細工が施されている可能性があり、絶対に開いてはいけません。仮に開いたとしても、ファイル形式が不明であるため通常のアプリケーションでは正常に開けず、その過程で不正なコードが実行されるリスクがあります。

送信経路の分析――正規メールサーバーの悪用

メールヘッダーのReceived行を辿ると、送信経路にも注目すべき点があります。

送信元IPアドレスは 157.7.106.203 で、これはロリポップ（GMOペパボが運営する国内の共用レンタルサーバー）のメールサーバー（mail105.phy.lolipop.jp）です。攻撃者は正規のレンタルサーバーサービスを経由してメールを送信しているとみられます。

正規のメール送信インフラを悪用することには、攻撃者にとって複数の利点があります。第一に、送信元IPアドレスがブラックリストに登録されていない正規のサーバーであるため、受信側でブロックされにくくなります。第二に、そのサーバーが持つSPFやDKIMの設定を利用することで、送信ドメイン認証をPASSさせやすくなります。国内の正規サービスが踏み台として悪用されるケースは、当サイトでも国内ISPの認証情報を悪用したフィッシングメールの多発として報じたとおり、増加傾向にあります。

なぜ「認証PASS」でも安全ではないのか

改めて、今回の事例が示す本質的な教訓を整理します。

送信ドメイン認証（SPF・DKIM・DMARC）は、なりすまし対策として極めて重要な技術です。しかし、これらが検証しているのは「エンベロープやヘッダーのFromに記載されたドメインが、正当にそのメールを送信したか」という点だけです。攻撃者が自分の所有するドメインを使い、そのドメインに対して正しく認証設定を行えば、認証はすべてPASSします。

言い換えれば、認証のPASSが保証するのは差出人ドメインの真正性であって、そのドメインが名乗っているブランド（今回の場合はAmazon）との一致ではありません。carmendurango.com というドメインがAmazonを名乗っていても、認証システムはそのドメインが正当にメールを送ったことしか確認しません。

このため、受信者が確認すべきなのは認証の可否ではなく、実際のFromドメインそのものです。表示名が「Amazon」であっても、メールアドレスのドメイン部分が amazon.co.jp でなければ、それは正規のAmazonからのメールではありません。今回の事例では mtauy.carmendurango.com という明らかに無関係なドメインが使われており、ドメインを確認するだけで偽物と判断できます。

情報システム部門と受信者が取るべき対策

今回の事例を踏まえ、受信者個人と組織それぞれの対策を整理します。

受信者個人としては、まず表示名ではなく実際のメールアドレスのドメインを確認する習慣が最も重要です。Amazonを名乗るメールであれば、ドメインが amazon.co.jp または amazon.com であるかを確認します。次に、返金・アカウント確認・支払いといった重要な手続きは、メールのリンクからではなく、ブックマーク済みの公式サイトや公式アプリから直接アクセスして確認します。そして、正体不明の拡張子を持つ添付ファイルは決して開かないことです。フィッシングメールを開いてしまった場合の対処法については別記事で詳しく解説しています。

組織の情報システム部門としては、DMARC認証の結果だけでメールの正当性を判断しない運用が求められます。今回の事例のように認証がPASSする偽装メールが存在するため、認証結果に加えて、Fromドメインとブランドの一致を検証するDMARC+BIMIやブランド保護の仕組みの導入を検討する価値があります。また、ゼロ幅文字を悪用したブランド名の分断に対応するため、Unicode正規化を行ったうえで検査するセキュリティ製品の活用も有効です。加えて、正体不明の拡張子を持つ添付ファイルの自動隔離、従業員への継続的な注意喚起と、クラウドサービスや大手ブランドを装うフィッシングメールの手口を共有する教育が、被害の抑止につながります。

なお、Amazonをはじめとする大手ブランドを装うフィッシングは継続的に発生しています。心当たりのない返金通知やアカウント確認の依頼が届いた場合は、メール内のリンクや添付ファイルには触れず、公式アプリやブックマークから状況を確認することを徹底してください。