Amazonフィッシングメール見分け方・対策とは？ヘッダー解析で即分かる！

こんにちは、自称セキュリティ向上委員のしゃおです。

しゃお

今年もやってきました！

Amazonを騙るフィッシングメール！

引っかかって

• クリックしてしまった
• 住所や名前・クレジットカード情報など、個人情報を入力してしまった

となってしまった場合の「対処方法」と、ならないための「見分け方＆対策」について、まとめてみました。

フィッシングメールの見分け方・見破り方６つ＋α

以下６つがAmazonのフィッシングメールの見分け方＆見破り方です。

D君

＋αは被害拡大防止のため

日本語がおかしい

フィッシングメールは、日本人ではない者が送っている場合が多いので、どこか日本語がおかしい(不自由な)ことが多いです。

フィッシングメールか怪しいときは、件名や本文の以下の点を意識して見て、判断しましょう。

「アカウントの停止」の場合、ログインを試す

アカウントが停止されていないのに、停止しているかもと、ユーザを不安にさせ、メール内のリンクをクリックさせようとするフィッシング行為です。

正規AmazonのURLからログインを試すと、アカウントが停止されているかどうか、即分かります！

メッセージセンターでメールを確認

Amazonからのメールは、メッセージセンターである程度確認可能です。

アカウント＆リストから

アカウントサービス

Eメールとメッセージ > メッセージセンター

メッセージセンターには、画像のようにAmazonからアカウントに送信されたメール一覧を確認することができます。

ただし、広告メールや一部通知メールについては確認できません。

気になるメールがあった場合は、カスタマーサービスへ問い合わせましょう。

リンクアドレス(URL)の確認

公式ページのURLとなっているか確認しましょう。

• URLの場合　→　リンクのURLを見る
• ボタンの場合　→　PCならボタンにカーソルを合わせてブラウザの左下に表示されたURL、スマホならボタン長押しでリンクのURLをコピー後、メモアプリなどに貼り付けて確認可能

引用：フィッシングまたはなりすましメールの種類 – Amazon

送信元・返信先・リターンパスの確認

Amazonいわく

上記10ドメイン以外の場合は、フィッシングやなりすましの可能性があります。

上記ドメイン以外を使用する場合もあります。Amazon.co.jpが送信したEメールは、メッセージセンターでご確認いただけます。

ということでした。

引用：Amazon.co.jpが使用する差出人Eメールアドレス – Amazon

1,2は、@より前のユーザ名は一見Amazonのようですが、ドメインが完全に異なります。

3は、パッと見では正規ドメインに似ていますが、「.(ドット)」が「-(ハイフン)」になっています。

しゃお

すぐに確認したい方は、「Amazon.co.jpが使用する差出人Eメールアドレス – Amazon」をブックマークしておくのがオススメ！

ヘッダー解析（３つの認証について）

D君

セキュリティに興味がある方は、ヘッダー解析がおすすめです。

ヘッダー解析とは、上記ヘッダーの認証部分３ヵ所を見るだけで、99.9％(ほぼ確実に)フィッシングメールか判断できる方法です。

ヘッダーを見ると、認証部分３ヵ所でそれぞれ、「スコア(値)」を確認することができます。

※実際の解析のやり方については、３ヵ所の説明のあと

しゃお

３ヵ所とスコアについて、簡単に説明していくよ。

SPF（Sender Policy Framework）

送信元メールサーバのIPアドレス認証 ＝ 正しい送信元かどうか

• 読みは、そのままエスピーエフ
• ヘッダー内から「spf」や「spf=」で検索すると、すぐに見つけることができる

しゃお

郵便でいうと、どこの郵便局から送ったか

認証結果

出典：送信ドメイン認証について – IIJmio

DKIM（DomainKeys Identified Mail）

送信メールの電子(デジタル)署名認証 ＝ 電子メールが改ざんされていないか

• 読みは、ディーキム
• ヘッダー内から「dkim」や「dkim=」で検索すると、すぐに見つけることができる

しゃお

送信者から宛先に届くまでに、内容の変更がされていないか

認証結果

出典：送信ドメイン認証について – IIJmio

DMARC（Domain-based MessageAuthentication, Reporting, and Conformance）

SPFとDKIMを利用したドメイン認証補強技術 ＝ 上記２つの認証失敗時の処理判断に使われる

• 読みは、ディーマーク
• ヘッダー内から「dmarc」や「dmarc=」で検索すると、すぐに見つけることができる

※DMARCは、なりすましメールやフィッシング対策のため、Google・Facebook・Microsoftが合同で立ち上げた「DMARC.org」が提唱しているセキュリティ技術です。

しゃお

DMARCレコードがあり、ポリシーに適合するか

認証結果

出典：送信ドメイン認証について – IIJmio

詳しく知りたい方は「DMARCについて – Google」を参照

ヘッダー解析のやり方

ヘッダー詳細を開く

ヘッダー解析（上記３ヵ所を確認）するためには

• PCでメール開き
• スマホならば、PC版ビューワー(PC版サイトで開く)でメールを開き

ヘッダー詳細を見なければなりません。

PCの右クリックやスマホの長押しから「ヘッダー詳細」や「メールソース」を探してクリックするだけでOKです。

ヘッダー詳細の確認方法

例として、GmailとYAHOO!メールのヘッダー詳細の確認方法を載せておきます。

Gmail

Instagramから届いたメールのヘッダー詳細を見てみます。

メールを開き、右上の「︙(その他)」をクリック

「メッセージのソースを表示」をクリック

Gmailは、SPF・DKIM・DMARCを表示してくれるため、すぐに確認できます。

しゃお

優しい。。。さすがGoogle様！

認証結果はすべて「PASS」となっているのを確認　→　正規メール

ちなみに、元のメールをダウンロードより下には、ヘッダー詳細（メッセージのソース）が続いています。

YAHOO!メール

Instagramから届いたメールのヘッダー詳細を見てみます。

メールを右クリック > 「詳細ヘッダー」をクリック

詳細ヘッダーのウィンドウが開いたら

• 「spf」「dkim」「dmarc」で検索
• 目Grep

で認証部分を見つけます。

※メールを開いたあとならば、件名の右端の「詳細を表示 > 詳細ヘッダー」をクリックでも詳細ヘッダーを見ることが可能

認証結果、SPFとDKIMは「pass」　→　正規メール

※今回のメールはInstagramからの古いメールのため、DMARC認証に対応していません。

その他のWebメール・メールソフトでも、大体同じような操作でヘッダー詳細が確認できます。

しゃお

フィッシングやなりすましと判定したら

Amazonへフィッシングまたはなりすましメールを報告

最終的に、Amazon(stop-spoofing@amazon.com)へ、フィッシングまたはなりすましメールを報告することで、被害拡大防止に努めましょう。

フィッシングまたはなりすましメールを報告する – Amazon

実際に届いたメールがフィッシングか判定してみる

頻度で言うと、年に３通ほど、Amazonを騙るフィッシングメールが私の元にも届くので、そのメールをフィッシングが判定してみます。

しゃお

リアルなメールですので、個人情報に関する部分はモザイク済

【重要】Аmazon. co. jp にご登録のアカウント（名前、パスワード、その他個人情報）の確認

①件名など、すべてのAmazonが「Ａmazon(Aだけ全角)」

件名含め、８ヵ所がAだけ全角のＡmazon　→　本来はすべて半角が正しい

②本文の１行目が名前ではなく、「Ａmazonお客様」

正規のAmazonならば、「Ａmazonお客様」などありえません！

登録してあるはずの氏名が分かっていない時点で、フィッシングメールの疑いが濃厚です。

③本文の日本語がおかしい

期限切れになってるか・・・なぜ話し言葉？日本人ならば、「期限切れになっているか」でしょう。

他にも、おかしいところもあります。

※全部指摘すると、フィッシング詐欺業者が修正してくる可能性があるため、あえて記載しません。

④リンクのURL(アドレス)が怪しい

※アドレスはアクセスしないように、変更済み

※XXXX@XX.co.jpは私のメールアドレス

パッと見ただけでは騙されるかもしれません。

正規Amazonから着たメールと比較すると、おかしな点に気付きます。

10通確認したところ、すべて上記のようにjpのあとは、「/」となっていました。

jpのあとに「.」で続くのはフィッシングメールです。

⑤ヘッダー解析してみた結果（認証を確認する）

• Received-SPF: unknown　→　送信ドメイン認証不可能（正当性を判断できない）
• dkim=neutral　→　メールの電子署名認証失敗（署名の文法誤りなど）
• dmarcなし

どうみても、なりすまし＆フィッシングメールです。

「重要」ログインのお知らせ – お客様のアカウントは強制停止されています

こちらは、おかしな日本語はありませんでした。

D君

日本語力が上がってきているのは、イヤですね。

※1～3は上記と変わらないため省略

④実際にAmazonにログインできるか試す

メールからではなく、正規のAmazonからログインを試したところ、普通にログインできる＆アカウントが停止されていないことが確認できました。

しゃお

メールのリンクから確認は、ダメゼッタイ！

⑤ヘッダー解析してみた結果（認証を確認する）

• Received-SPF: unknown　→　送信ドメイン認証不可能（正当性を判断できない）
• dkim=neutral　→　メール電子署名認証失敗（署名の文法誤りなど）
• dmarc=permerror　→　永続的なエラー

こちらも、なりすまし＆フィッシングメールです。

しゃお

ヘッダー解析でのフィッシングメール判断は余裕ですね！

もう一度、ヘッダー詳細の確認方法を知りたい方はこちら

既にクリックした場合の対処方法

メールのリンク(ボタンやURL)をクリックしただけなら、ほぼ問題ありません。

冷静にブラウザを閉じてください。

ただし、何か異変を感じた or 何か起きたときは対処した方が良いでしょう。

フィッシングメールのリンクからログインしてしまった

ログイン情報（メールアドレスとパスワード）が漏洩している可能性大です。

→早急にパスワードの変更を行い、正規URLからログインを試す

正常にログインできた場合、パスワードが簡単でない限りは被害は出ないでしょう。

一応、購入履歴などを確認しておくと良いです。

既にログインパスワードが変更されてしまい、ログインできない

完全にログイン情報が漏洩＆フィッシング業者にログインパスワード＋αが変更されています！

→自分では対処できないので、すぐにAmazonカスタマーサービスへ問い合わせを行い、現在までに確認できていることを伝えましょう！

クレジットカード情報を入力してしまった

Amazonのログイン情報＆クレジットカード情報が漏洩している可能性大です。

→自分では対処できないので、すぐにAmazonカスタマーサービスへ問い合わせ＋カード会社にも連絡を行いましょう！

Amazonに限らず、今すぐできるフィッシングメール対策

二段階認証・二要素認証を活用

Amazonでも二段階認証の利用が推奨されています。

ログイン情報が漏洩したときでも、安全を守れる１つの手段です。

２段階認証を有効にする – Amazon

しゃお

面倒でも、利用すべきですね。

メール本文のリンクから設定変更をしない

ユーザ情報(個人情報)の設定変更などを行う場合は、ホームページや正規URLから行うのを癖付けると良いかもしれません。

D君

ブックマークなどを利用すると楽できるよ

確実に正規メールと判断できているメールのリンクから(100％フィッシングメールではないと自信がおあり)であれば、良いかもしれませんが。

なんとなく怪しいと思ったら

ヘッダー解析を行いましょう！

しゃお

慣れたらすぐにできるようになるよ。

ヘッダー詳細をパパっと見るだけで、なりすましやフィッシングメールと判断できると考えれば、今後の人生安泰ですね！

D君

メールについては今のところ、そうかもしれませんが、人生は言い過ぎですｗ

フィッシングと判断・判明したメール一覧

こちらは、新たなパターンのフィッシングメールが届いたら、随時増やしていこうと思っています。

Amazonセキュリティ警告: サインインが検出されました

• 親愛なメールアドレス？　→　正規Amazonなら名前か名字のはず
• リンクも当然、正規AmazonのURLではない
• 一応、ヘッダー詳細も見てみると

SPF：error、dkim＝permerror、dmarc=permerror

はい、フィッシングメール。次！

Verify your identity!

２は、米国のAmazon（amazon.comから）

• 日本語に違和感はない
• リンクは、IPアドレス/web.php　→　怪しい
• ヘッダー詳細は

SPF: softfail、dkim=neutral、dmarcなし

はい、フィッシングメール！

この措置を講じましたが、ご提供いただいた情報がカード発行会社のファイルの情報と一致していません。

このメール、タイミングが完璧で、本物かと思いました。

しゃお

本当に、Amazonで買い物した直後

いつも通り、ポイントを見ていけば、余裕で判断できます。

• メッセージセンターにメールはない。
• 日本語に違和感あり！　→　Amazonのaがα、jpのpがρ
• リンクは、www.linked.com/から始まるアドレス　→　正規Amazonではない
• ヘッダー詳細は

SPF: none、dkim=permerror、dmarc=permerror

はい、フィッシングメール！

Amazonプライム会費のお支払い方法に問題があります、個人情報を更新してください

このメールも見るべきポイントを知っていれば簡単に判断できます。

• 氏名ではなく、アマゾンお客様 → 本物であれば氏名でメールがきます
• 最後に使用した支払い方法を入力 → Amazon.co.jpでは、アカウントサービスで、パスワードやクレジットカード情報などの個人情報の開示を求めることはありません。
• 「このメールの認証情報」をクリックで、ヘッダー情報をすぐに確認できます。
  ※yahooメールも2021年10年振りに全面リニューアルが行われ、メールの認証情報を分かりやすく表示してくれるようになりました！ ←New

SPF: PASS、dkim=エラー、dmarc=FAIL

わざわざ送信ドメイン認証を行っていますが、他がダメなので完全にフィッシングメール！

なりすまし能力が上がったように見えますが、ヘッダー詳細を見るとReturn-Pathは全くAmazonとは関係のないメールアドレスとなっています。

Amazonセキュリティ警告：提供された情報がカード発行者ファイルの情報と一致しません

このメールは「この措置を講じましたが、ご提供いただいた情報がカード発行会社のファイルの情報と一致していません。」とほとんど同じ内容です。

• メッセージセンターにメールはない。
• 日本語に違和感あり！　→　Amazonのaがα（フォントが異なる）、jpのpがρ
• リンクは、lnkd.in/から始まるアドレス　→　正規Amazonではない
• ヘッダー詳細は

SPF: error、dkim=neutral、dmarc=temperror

はい、フィッシングメール！

Amαzonご提供いただいたお支払い情報がカード発行会社のファイルの情報と一致していません。

• 「Amazonお客様」以外特に違和感がない　→残念ながらフィッシングメール送信者の日本語力が向上している
• お知らせまで付けて本物っぽく見せている

• 明らかに違和感があるのは件名はaがα
• ヘッダー詳細は

SPF: none、dkim=neutral、dmarc=none

はい、フィッシングメール！

しゃお

ただ、このメール珍しいパターンだったので調査を続けてみます。

ヘッダ解析（ヘッダ情報を見てみた）結果、送信元がパッと見だとドコモのドメインかと思いきや、domodomo.co.jpでした。

aguseでHPを見ても特におかしなところはなかったので

念のためVMを起動し検索

HPは会社概要のみ

検索結果から森公美子のコンサート情報へアクセスしたところ、画像は残されておらず

トップへのリンクはありませんでした。

調査結果

• HP情報がほとんど残っていない
• 過去に使われていたドメインのようなページが多数存在

おそらくdomodomoという会社が過去に使用していたドメインを悪徳業者が取得して使用しているものと思われます。

まとめ

フィシングメールは、決して他人事ではありません。

使用するサービスやアプリが増えるほど、フィッシング被害に遭う確率が上がると考えておいて損はないでしょう。

私は大丈夫と思わず、「フィッシングメールかもしれない」と、疑いの目を持ちつつ、メールを確認するようにしましょう。

おまけ

フィッシング報告件数：2020年

フィッシングの報告件数は、2020年1月から11月までに4.65倍と、異常な増加傾向にあります。

出典：フィッシング対策協議会

新型コロナウイルス感染症（COVID-19）が続く限りは、フィッシングも増え続けるでしょう。

自分がフィッシング被害に遭わないようにするだけではなく、周りのお年寄りや情報弱者にも、手を差し伸べていけるような世の中になることを願っています。

ではまた(#｀･ω･´*)/