「account-update@amazon.co.jp」はAmazonからのメール？送信元だけでは判断できない理由とフィッシングの確認方法

Amazonを名乗るメールを受信したとき、最初に確認したくなるのが送信元のメールアドレスです。たとえば表示名が「amazon.co.jp」、送信元が「account-update@amazon.co.jp」と表示されていれば、一見するとAmazon公式のメールに見えます。

しかし、メール画面に表示されている差出人名やFromアドレスだけを見て、本物のAmazonから送信されたメールだと断定することはできません。メールには送信元を偽装する「なりすまし」があり、Amazonのドメインに見える差出人を表示させるフィッシングメールも確認されているためです。

そのため、「@amazon.co.jpだから本物」と判断するのではなく、Amazonアカウント側の情報、メール本文のリンク先、メールヘッダーなどを組み合わせて確認する必要があります。ここではAmazonを名乗るメールを安全に確認する方法を解説します。

account-update@amazon.co.jpという表示だけでは本物と断定できない

「account-update@amazon.co.jp」のようにドメイン部分が「amazon.co.jp」になっていると、本物だと思いやすいものです。しかし、メールで目にする差出人情報と、実際の送信経路が常に一致するとは限りません。

AmazonのSeller Forumsでも、過去に「@amazon.co.jp」と表示されたアカウント更新メールについてフィッシングが疑われた事例や、Amazonのドメインに見える偽メールについて注意を促す投稿が確認できます。

重要なのは「そのメールアドレスがAmazonらしいか」だけで判定しないことです。特に「アカウントを更新してください」「24時間以内に確認しないと利用制限する」など、リンクを押してログインを急がせる内容なら慎重に扱う必要があります。

なぜ「@amazon.co.jp」なのに偽物の場合があるのか

メールにはFrom、Reply-To、Return-Pathなど複数の情報があります。一般的なメールアプリの一覧画面では、そのうち利用者に分かりやすい差出人名とFromアドレスしか表示されないことがあります。

フィッシングメールでは、受信者を信用させるために有名企業の名称やメールアドレスを差出人として表示させる手口があります。そのため「Amazon.co.jp <○○@amazon.co.jp>」という見た目だけでは、実際にAmazonのメールサーバーを経由して正当に送信されたことの証明にはなりません。

実際、AmazonのSeller Forumsでは「ドメイン名も@Amazon.co.jpとなっている偽メール」について注意を促す投稿があり、Amazonとは関係のないメールだったとする事例も紹介されています。[参照：Amazon Seller Forums]

最も安全なのはメールのリンクを使わずAmazon側から確認する方法

Amazonを名乗るメールが本物か迷った場合、メール本文にある「アカウントを確認」「支払い方法を更新」「注文を確認」などのボタンを押して確かめる必要はありません。

ブラウザのブックマークや普段利用しているAmazonアプリなど、メールとは独立した経路からAmazonへアクセスし、注文履歴、支払い方法、アカウント情報などに問題が表示されていないか確認します。

Amazonから送信されたメールについては、Amazonアカウント内のメッセージセンターで確認できるものがあります。Seller Forumsでも「Amazon.co.jpが送信したEメールは、メッセージセンターでご確認いただけます」と案内された例があります。[参照：Amazon Seller Forums]

メール本文にこんな表現があったら特に注意する

フィッシングメールでは、受信者が冷静に確認する時間を与えないため、不安や焦りを感じさせる文章が使われることがあります。

もちろん、これらの言葉が含まれているだけで偽物とは断定できません。正規サービスから重要な連絡が届くこともあるため、文章ではなくメールを経由せず公式サービス側で同じ問題を確認できるかを見ることが大切です。

リンク先URLは送信元アドレスとは別に確認する

メールの差出人がAmazonに見えていても、本文のボタンを押した先がAmazonとは無関係なWebサイトになっている場合があります。これが典型的なフィッシングの仕組みです。

例えばボタンには「Amazonアカウントを確認」と書かれていても、実際のリンク先が「amazon.co.jp」とは関係のないドメインになっている可能性があります。Amazonに似た文字列を含めただけのドメインにも注意が必要です。

ただし、怪しいメールか確認するためだけにリンクを開くことはおすすめできません。リンク先を調べる知識がない場合は、そもそもメールのリンクを利用せず、自分でAmazonへアクセスする方法が簡単で安全です。

メールヘッダーを確認するとより詳しく調べられる

Gmail、Outlookなど多くのメールサービスでは、メールの詳細情報や「メッセージのソース」「原文を表示」といった機能からメールヘッダーを確認できます。

ヘッダーではFromだけでなく、Return-Path、Received、SPF、DKIM、DMARCなど、送信経路や送信ドメインの認証に関する情報を確認できる場合があります。

SPF・DKIM・DMARCの結果が不自然だったり、Reply-ToがAmazonとは無関係なドメインになっていたりすれば、なりすましを疑う重要な材料になります。ただしヘッダーの読み方には専門知識も必要なので、一般利用者の場合はAmazonへ直接アクセスして確認する方法を優先して構いません。

「Amazon お客様」のような宛名だけでも判断しない

フィッシングメールの見分け方として「本物なら氏名が書かれている」「偽物は『お客様』と書いてある」と説明されることがあります。しかし、これだけを判定基準にするのは安全ではありません。

正規メールでも用途によって表示内容は異なる可能性がありますし、逆にフィッシング側が流出情報などを利用して氏名を記載することも考えられます。

文章の自然さ、ロゴ、氏名、メールアドレスのどれか一つを「本物の証拠」にするのではなく、Amazon側で同じ通知を確認することが重要です。

メールを開いただけならどうすればいい？

怪しいメールを受信して本文を表示しただけで、直ちにAmazonのパスワードやカード番号を盗まれたと考える必要はありません。より問題になりやすいのは、メール内のリンクから偽サイトへ移動し、認証情報やカード情報などを入力してしまった場合です。

リンクを押しておらず、添付ファイルも開かず、個人情報も入力していないのであれば、メールを迷惑メール・フィッシングとして処理し、削除する対応が基本となります。

念のため確認したい場合も、受信メールのボタンからではなくAmazonアプリや自分で開いたAmazon公式サイトからアカウントの状態を確認します。

リンク先でAmazonのパスワードを入力してしまった場合

怪しいメールのリンクを開き、そのページでAmazonのメールアドレスとパスワードを入力してしまった場合は、早めの対応が必要です。Amazonへ正規の経路からアクセスし、パスワードを変更します。

同じパスワードをメール、SNS、通販サイトなど別サービスでも使い回している場合は、それらのパスワードも変更します。攻撃者は取得したメールアドレスとパスワードの組み合わせを他サービスでも試すことがあるためです。

またAmazonの注文履歴、登録住所、支払い方法などに身に覚えのない変更がないか確認し、必要に応じてAmazonのカスタマーサービスへ相談します。

クレジットカード情報まで入力した場合はカード会社にも連絡する

偽サイトの可能性があるページへカード番号、有効期限、セキュリティコードなどを入力した場合は、Amazonのパスワード変更だけでは十分ではありません。

カード裏面やカード会社公式サイトなどで確認できる正規の問い合わせ窓口へ連絡し、フィッシングサイトへカード情報を入力した可能性があることを伝えます。カード会社の判断によって利用停止や再発行などの対応が行われる場合があります。

その後もカードの利用明細を確認し、身に覚えのない決済がないか注意します。

まとめ｜account-update@amazon.co.jpだけを見てAmazon公式とは判断しない

「amazon.co.jp <account-update@amazon.co.jp>」という表示はAmazonらしく見えますが、表示された送信元アドレスだけではAmazonが実際に送信したメールかどうかを確定できません。差出人をAmazonのドメインに見せかけるなりすましメールが存在するためです。

本物か迷ったときの最も実践しやすい対策は、メール本文のリンクを押さず、Amazonアプリや普段使用しているブックマークなどからAmazonへ直接アクセスして、アカウントの状態やメッセージを確認することです。

特に「アカウント更新」「支払い方法の変更」「利用停止」「本人確認」などを理由にログインやカード情報の入力を急がせるメールは慎重に扱いましょう。すでにリンク先でパスワードを入力した場合はパスワード変更を、カード情報まで入力した場合はカード会社への相談も速やかに行うことが大切です。