Amazonを騙る「返金完了のお知らせ」フィッシングメールを確認 ブランド名に不可視のUnicodeを埋め込み検知を回避

2026年8月20日、セキュリティ対策Lab編集部で、Amazonを騙り「返金処理が完了しました」と通知するフィッシングメールを確認しました。一見すると通常の日本語文面ですが、実際にはブランド名や件名の文字と文字の間に、目に見えない制御文字が大量に埋め込まれています。キーワード一致による検知をすり抜けることを狙った手口であり、拡張子を偽装した添付ファイルも併せて送付されていました。本稿では、実際に受信した検体をもとに手口を整理します。

サマリー

本メールは、Amazonからの返金通知を装い、外部サイトへ誘導するフィッシングメールです。特徴は大きく3点あります。

1点目は、本文中のブランド名や件名に、ゼロ幅接合子（U+200D）やゼロ幅スペース（U+200B）といった表示されない文字を挿入し、文字列としての「Amazon」「返金処理」を成立させないようにしている点です。目視では通常の文章に見えるため、受信者側が違和感を持つことはほぼありません。

2点目は、送信元ドメインがAmazonとまったく関係のない独自ドメインであり、ブランドドメインの詐称を行っていない点です。差出人アドレスを確認すれば偽装は即座に判別できます。

3点目は、実在しない拡張子を付けた小容量の添付ファイルが同梱されている点です。メールプラットフォーム側の拡張子ブロックを回避する意図が読み取れます。

項目	内容
確認日時	2026年8月20日 17時11分
件名	返金完了のお知らせ
騙られたブランド	Amazon
差出人アドレス	[email protected]
本文の記載内容	注文番号702-6521874-282345について9,280円をクレジットカードへ返金したとの通知
誘導先URL	hxxps://jingxiangyoga[.]com/page/RHvIHMDl3J
添付ファイル	nZGwr.cjrex（約1KB、MIMEタイプはtext/plain）
主な手口	不可視Unicodeによる検知回避、拡張子偽装、正規サービスの表示要素の模倣

何が起きたか

編集部が受信したメールは、Amazonの返金完了通知を装ったものです。本文冒頭には緑色の帯で「Amazonより送信されたメールです」と大きく表示され、その下にAmazonのロゴを配した白いカード状のレイアウトが続きます。

記載されている内容は、注文番号702-6521874-282345について9,280円の返金処理が完了し、登録済みのクレジットカードへ反映されるというものです。文末には「このEメールは配信専用です。返信しないようお願いいたします」と添えられており、正規の通知メールでよく見られる定型句を踏襲しています。

中央にはオレンジ色の「返金明細を確認する」ボタンが配置され、これがフィッシングサイトへの誘導導線となっています。リンク先はAmazonのドメインではなく、ヨガ関連とみられる外部サイトのURLでした。パス部分がランダムな英数字10文字で構成されているため、受信者ごとに固有の識別子が割り当てられている可能性があります。

身に覚えのない返金通知は、受信者に「何かの間違いではないか」「不正利用されたのではないか」と確認行動を促します。金額を9,280円と、思わず注文履歴を確認したくなる現実的な水準に設定している点も、心理的な誘導を意識した設計といえます。

ブランド名に不可視のUnicodeを埋め込む手口

本検体で最も特徴的なのが、文字と文字の間に表示されない制御文字を挿入している点です。

たとえば本文中の「Amazon」は、実際には次のような構成になっています。

A + U+200D + U+2061 + m + a + U+FEFF + U+200C + z + o + U+2062 + n

U+200Dはゼロ幅接合子、U+2061は関数適用を示す不可視の数学記号、U+FEFFはバイトオーダーマーク、U+200Cはゼロ幅非接合子、U+2062は不可視の乗算記号です。いずれも画面上には何も表示されません。したがって受信者の目には、ごく普通の「Amazon」という文字列に見えます。

同様の細工は件名にも施されており、「返金完了のお知らせ」の「返」と「金」の間にU+200Dが挿入されていました。本文中の「返金処理が完了しました」という見出しにも、ゼロ幅スペース（U+200B）や語結合子（U+2060）が複数箇所に混在しています。

この手口の狙いは、文字列一致による検知の回避です。フィッシング対策の仕組みの中には、本文中のブランド名と送信元ドメインの整合性を照合するものがあります。しかし「Amazon」という連続した文字列が存在しなければ、ブランド名として抽出されません。同じく「返金」「当選」といったフィッシングメールに頻出するキーワードによるフィルタリングも、文字の間に制御文字が入るだけで一致しなくなります。

人間の目には何の変化もなく、機械的な処理に対してのみ効果を発揮するという点で、非常に厄介な回避手法です。

なお、この検知回避はプレーンテキストの解析に対して有効であり、レンダリング後の画面を評価する仕組みや、リンク先のドメイン評価には影響しません。実際、本メールは受信側のメールプラットフォームで添付ファイルのスキャン自体は実施されていました。

実在しない拡張子を付けた添付ファイル

本メールには、nZGwr.cjrexという名称の添付ファイルが1点同梱されていました。サイズは約1KB、MIMEタイプはtext/plainとして送信されています。

cjrexという拡張子は実在しません。ファイル名の先頭部分もランダムな英数字5文字であり、内容を推測させる情報は一切含まれていません。

実行ファイル形式やマクロを含む文書形式は、多くのメールプラットフォームで受信段階からブロックされます。存在しない拡張子を用いることは、こうした拡張子ベースのブロックリストを回避する常套手段です。同時に、受信者が「開けないファイルは何だろう」と関心を持つよう仕向ける効果も期待されていると考えられます。

添付ファイルの取り扱いについては、内容がテキスト形式として申告されていても、安易にダブルクリックで開くべきではありません。解析が必要な場合は、ホスト環境から隔離した仮想環境で扱うか、メール全体をeml形式で保存してテキストエディタで内容を確認する方法が安全です。emlファイル内では添付データがBase64のまま保持されており、ファイルとして復元されないためです。

送信元は認証を諦めた構成

本検体の差出人アドレスは[email protected]であり、Amazonが日本国内で使用するドメインとは無関係です。

フィッシングメールの中には、正規ドメインを詐称しながら送信ドメイン認証を通過させる手の込んだものも存在します。編集部では2026年8月にも、SPF、DKIM、DMARCのすべてを通過するセゾンカードを騙るフィッシングメールを確認しています。

一方で本検体は、ブランドドメインの詐称そのものを行っていません。DMARCによる防御を最初から放棄し、そのぶんのリソースを本文の検知回避と視覚的な模倣に振り向けた構成といえます。

つまり、送信ドメイン認証への対応だけでは、この種のメールは止まりません。認証を通過するメールと、認証を放棄したうえで別の回避策を講じるメールの双方が並行して流通している状況にあります。

対策としては、差出人アドレスのドメインを確認する習慣が引き続き有効です。表示名やメール本文の見た目がどれほど正規のものに近くても、送信元ドメインがブランドの正規ドメインでなければ、その時点で偽装と判断できます。

迷惑メール判定を上書きしていたのは受信側の設定

今回のメールには、受信側のメールプラットフォーム上で、迷惑メールに振り分けられずフィルタに基づいて処理された旨の通知が表示されていました。

これは送信側が判定を突破したのではなく、受信側にあらかじめ設定されていたフィルタが、迷惑メール判定より優先して適用されたことを意味します。

業務上のメールを確実に受信するため、特定の条件に対して迷惑メールに振り分けない設定を適用している組織は少なくありません。しかしその条件が広すぎると、本来隔離されるべきメールまで受信トレイに到達します。

フィッシングメールが受信トレイに届いた場合は、まず自組織のフィルタ設定を確認することをおすすめします。条件の見直しだけで、同種のメールの到達を大幅に減らせる場合があります。

企業が取るべき対策

本検体から導かれる実務上の対応は、次のとおりです。

第一に、差出人ドメインの確認を従業員に徹底することです。本文の見た目や日本語の自然さは、もはや判断材料になりません。表示名ではなく実際のメールアドレスを確認する操作を、日常的な習慣として定着させる必要があります。

第二に、返金、当選、アカウント確認といった通知を受け取った際は、メール内のリンクを使わず、公式アプリまたはブラウザのブックマークから該当サービスへアクセスして確認する運用を徹底することです。本文中のリンクを経由しない限り、フィッシングサイトへ到達することはありません。

第三に、迷惑メールに関するフィルタ設定を棚卸しすることです。前述のとおり、受信側の設定が判定を上書きしている事例は珍しくありません。

第四に、心当たりのない添付ファイルを開かない運用の再確認です。特に見慣れない拡張子のファイルは、開けないこと自体が異常のサインです。

第五に、同一の攻撃が組織内の他の従業員にも届いていないかを確認することです。管理者権限で送信元ドメインを条件に検索すれば、影響範囲を短時間で把握できます。

不可視Unicodeによる検知回避は、技術的な対策だけで完全に遮断することが難しい手法です。フィルタをすり抜けたメールが受信トレイに届く前提で、従業員一人ひとりの確認行動を設計することが、結果的に最も確実な防御になります。

関連記事

• セゾンカードを騙る「3Dセキュア再認証」フィッシングメールに注意 SPF・DKIM・DMARCすべてPASS
• 沖縄県座間味村で「ニセ村長」詐欺メールを確認、被害は未然に防止 県内では6月に2,730万円の被害も、沖縄県警が注意喚起