Amazonから「アカウントが停止されました」というメールが届いた。
本物か偽物か判断がつかず、手が止まっていませんか。
結論として、メールの見た目で判断するのはもう無理です。
確実なのは、メール内のリンクを開かず、自分でログインして同じ通知があるか確認する方法です。
この記事では見分ける手順と、事業用アカウントだからこそ必要な社内の取り決めを整理します。
記事のポイント
- 本物の通知は管理画面にも必ず残る
- 日本語の不自然さでは見分けられない
- 迷惑メール判定を通過するものがある
- 事業用は複数人が使うため基準の共有が要る
メールで判断せず管理画面で確認するのが基本
先に結論をお伝えします。
Amazonが送る重要な通知は、メールだけで完結しません。
同じ内容がアカウント内のメッセージセンターにも残ります。
つまり、そこに同じ通知がなければ偽物だと判断できます。
確認するときは、メールのリンクを使わないでください。
ブックマークか公式アプリから自分でログインしてください。
アカウント全体の機能はAmazonビジネスとは何かを解説した記事にまとめています。
届きやすい詐欺メールの型
文面はいくつかの型に分かれます。
共通しているのは、急がせて考える時間を奪う点です。
アカウントが止まったという警告
もっとも多い型です。
不正な操作が検出された、確認しないと利用できないといった内容が届きます。
購買の担当者にとって、発注が止まるのは困ります。
その焦りを利用して、偽のログイン画面へ誘導する手口です。
支払いに問題があるという連絡
カードが承認されない、有効期限が切れているといった通知です。
経理の担当者を狙った型で、未払いを避けたい心理につけ込みます。
誘導先で法人のカード情報や口座情報を入力させます。
身に覚えのない注文の通知
頼んでいない商品の注文確認が届く型です。
驚いた受信者が「キャンセルはこちら」を押すことを狙っています。
内容を否定するための操作そのものが罠になっています。
期限を区切る文言が入っていたら、まず疑ってください。
本日中、24時間以内といった表現は、上司や担当部署へ相談する時間を奪うために使われます。
なぜ自分のところに届くのか
Amazonビジネスに登録していないのに詐欺メールが届く、という相談は珍しくありません。
これらのメールは、実際に利用しているかどうかを確認したうえで送られているわけではありません。
名簿をもとに無差別に送信されているため、アカウントの有無とは無関係に届きます。
- 自社サイトに載せている問い合わせ用アドレスは特に届きやすい
- 名刺交換や外部サービスの登録から、アドレスが出回っていることがある
- よくある文字列のアドレスは、機械的に生成されて送られる
つまり、届いたこと自体は社内から情報が漏れた証拠ではありません。
開かずに削除し、同じ差出人が続く場合は受信拒否に登録してください。
本物かどうかを見分ける手順
順番に確認すれば、判断できます。
上から実行してください。
メッセージセンターで照合する
もっとも確実な方法です。
メールは閉じて、ブックマークからAmazonにログインしてください。
アカウントサービスのメッセージセンターを開き、同じ通知が届いているかを見ます。
そこに存在しなければ、そのメールは偽物です。
この確認だけで、ほとんどのケースは判断できます。
送信元のドメインを見る
表示されている送信者名ではなく、実際のメールアドレスを確認してください。
表示名は自由に設定できるため、偽装が容易です。
注意したいのが、公式のドメインに似せる手口です。
| アドレスの例 | 判断 |
|---|---|
| 末尾がamazon.co.jp | 公式のドメイン |
| amazon.co.jp.〇〇〇.com | 別のドメイン。偽装 |
| amzon.co.jpなど綴りが違う | 偽装 |
| フリーメールのアドレス | 偽装 |
2つ目が特に厄介です。
先頭にamazon.co.jpと入っていても、実際の持ち主は末尾側のドメインです。
リンク先を確認する
パソコンであれば、リンクにカーソルを合わせると遷移先が画面の隅に表示されます。
表示されている文字列と、実際の遷移先が違う場合は偽物です。
スマートフォンでは確認が難しいため、そもそも触らないでください。
偽サイトはドメインと開き方で防ぐ
メール内のリンクを開くと、本物とほぼ同じ見た目のログイン画面が表示されることがあります。
これが偽サイトで、入力したメールアドレスとパスワードがそのまま相手に渡ります。
見分けるときは、画面の作りではなくアドレス欄を見てください。
- amazon という文字が入っていても、末尾が amazon.co.jp でなければ別のサイト
- ハイフンや余分な単語をつないで、正規のドメインに似せているものがある
- 鍵マークが付いていても、それだけでは本物の証明にならない
確実なのは、メールからたどらないことです。
ログインはブックマークかアプリから開き、検索結果の広告枠から入らないよう社内で統一しておくと、偽サイトを踏む機会そのものがなくなります。
見た目では判断できなくなっている
以前の見分け方は通用しなくなっています。
2つの変化を知っておいてください。
日本語が自然になった
かつては翻訳の不自然さで判別できました。
現在は文面もデザインも、公式の通知をほぼ正確に模倣しています。
ロゴの配置や注文番号の形式まで再現されています。
宛名に実際の会社名や担当者名が入っているものも確認されています。
迷惑メール判定を通過するものがある
受信箱に届いたから本物、とは限りません。
送信元を検証する仕組みは、そのドメインから確かに送られたことを確認するものです。
攻撃側が自分のドメインで正しく設定していれば、検証は通過します。
内容が本物かどうかまでは保証されません。
迷惑メールフォルダに入らなかったことを、安全の根拠にしないでください。
判断の基準は、あくまで管理画面に同じ通知があるかどうかです。
メールだけでなく電話でも接触してきます
詐欺メールに気を取られがちですが、電話での接触も報告されています。
会社の代表番号にかかってくるため、担当者が対応してしまいやすい経路です。
よくある切り出し方
用件は決まっています。
- アカウントに問題があるので確認したい
- 登録内容の更新が必要だと伝えてくる
- より条件のよいプランを案内したい
- 担当者に代わってほしいと求める
いずれも、その場で情報を聞き出すか、後日の訪問や商談につなげるのが目的です。
営業電話や勧誘電話は詐欺と分けて考える
かかってくる電話がすべて詐欺とは限りません。
Amazonビジネスは法人向けのサービスのため、登録後に担当者を名乗る営業電話が入ることがあります。
一方で、代理店やサポート窓口を装った勧誘電話、導入支援をうたう電話営業も存在します。
受けた側が電話口で本物かどうかを判断するのは困難です。
そこで、どちらであっても同じ対応をすると決めておきます。
- パスワード、認証コード、カード番号は電話では伝えない
- その場で契約や設定変更をしない
- 用件を聞いたうえで、折り返すと伝えて一度切る
- 折り返す番号は、相手が言った番号ではなく公式サイトに記載の窓口を使う
電話勧誘そのものを減らしたい場合は、代表電話で受けた時点で担当部署に取り次がず、購買の窓口を一本化しておくと効果があります。
電話では答えないと決めておく
対応の基準は単純です。
アカウントに関わることを電話口で答えない、と決めておいてください。
本当に確認が必要な内容なら、管理画面かメッセージセンターに記録が残ります。
折り返しを求められても、相手が言った番号にかけ直さないでください。
公式のヘルプページに記載された窓口から連絡するのが確実です。
また、営業の電話とAmazonを名乗る電話は区別がつきにくいのが実情です。
迷った時点で切って構いません。
電話を受けた担当者が、名前や部署を答えてしまうことがあります。
これだけでも、次のメールを本物らしく見せる材料になります。
誰が出ても同じ対応になるよう、社内で共有しておいてください。
開いてしまった場合の対応
リンクを開いて情報を入力してしまった場合、時間との勝負になります。
3つを並行して進めてください。
パスワードを変えて全端末からログアウトする
まだログインできるなら、すぐにパスワードを変更してください。
そのうえで、ログインとセキュリティの設定から、すべての端末からログアウトする操作を行います。
相手が接続したままの状態を切るためです。
同じパスワードを社内の他のシステムでも使っている場合は、そちらも変えてください。
支払いを止める
次に、お金の流れを止めます。
- カードを登録していた場合はカード会社へ連絡して利用を止める
- 請求書払いを使っている場合は経理へ連絡して支払いを保留する
- 口座を登録している場合は金融機関へ相談する
不正な請求と確認されれば取り消されるため、調査が終わる前に支払わないでください。
請求書払いの仕組みはAmazonビジネスの請求書払いを解説した記事で扱っています。
社内へ知らせる
見落とされやすいのがこれです。
乗っ取られたアカウントには、取引先や担当者の情報が含まれています。
その情報を使って、社内の別の人へ振込を依頼するメールが送られることがあります。
全員に周知し、メールでの金銭の依頼には電話で確認するよう伝えてください。
社内で決めておくこと
事業用のアカウントは複数人が使います。
1人が正しく判断できても、他の人が開けば同じことです。
判断の基準を共有する
個人の勘に任せず、手順として決めてください。
- Amazonからのメールのリンクは開かない
- 確認はブックマークからログインして行う
- 迷ったら管理者へ転送する
- 自分で判断して情報を入力しない
この4つを共有しておくだけで、被害の入り口は大きく減ります。
2段階認証を必須にする
パスワードが漏れても、もう一つの確認があれば侵入を防げます。
利用するすべての人に設定させてください。
また、高額な注文に承認を挟む設定をしておけば、乗っ取られても発注を止められます。
設定できる条件はBusinessプライムとは何かを解説した記事にまとめています。
情報が漏れた場合の報告
取引先や従業員の情報が外部に出た場合、事業者には報告の義務が生じることがあります。
対応の手順は（出典：個人情報保護委員会の漏えい等の対応に関するページ）で公開されています。
自社が該当するかを含めて、発覚した時点で確認してください。
判断に迷う場合は、顧問の弁護士や専門の窓口へ相談してください。
受け取った偽メールは、Amazonへ報告できます。
転送先は公式のヘルプページに記載されています（出典：Amazon公式の迷惑メールの報告に関するヘルプ）。
検索で出てきた連絡先ではなく、必ず公式ページに書かれた宛先を使ってください。
承認の設定や利用者の管理は、管理画面から確認できます。
＼社内で使える管理機能を見てみる／
Amazonビジネスの詐欺メールに関するよくある質問
受信箱に届いたメールは本物ですか
そうとは限りません。
迷惑メールの判定を通過する偽メールがあります。
判断はメールではなく、ログインしてメッセージセンターを見て行ってください。
リンクを開いただけでも危険ですか
開いただけで情報を入力していなければ、すぐに被害が出るとは限りません。
ただし念のためパスワードを変更し、身に覚えのない注文がないか確認してください。
不安な場合は、すべての端末からログアウトする操作も行ってください。
登録した覚えがないのに案内が届きます
勧誘のメールを装った偽物の可能性があります。
解除や配信停止のリンクを押すこと自体が目的の場合があります。
心当たりがなければ、リンクを開かずに削除してください。
電話がかかってきた場合はどうしますか
その場で情報を伝えないでください。
いったん切り、ログインした状態で管理画面の窓口から自分で連絡してください。
検索で出てきた番号にかけ直すのも避けてください。
Amazonビジネスの詐欺メールのまとめ
詐欺メールは、文面もデザインも本物とほぼ見分けがつかなくなっています。
日本語の不自然さで判断する方法は、もう通用しません。
確実なのは、メールのリンクを開かずに自分でログインし、メッセージセンターに同じ通知があるかを見ることです。
そこになければ偽物です。
情報を入力してしまった場合は、パスワードの変更、支払いの停止、社内への周知を同時に進めてください。
事業用のアカウントは複数人が使うため、個人の判断に任せないでください。
リンクを開かない、確認はログインして行うという手順を全員で共有してください。
そのうえで2段階認証を必須にすれば、パスワードが漏れても侵入を防げます。
なお、画面の表示や手順は変更される場合があります。
接触はメールだけではありません。電話でアカウントの情報を答えないでください。
