【注意喚起】Amazon「クレジットカードの利用承認が得られませんでした」を騙る詐欺メールに注意

2019年11月23日の早朝にAmazonから「クレジットカードの利用承認が得られませんでした」といったメールを受信し、クレジットカードに問題が生じたのかと思い手続きを進めようとしたところ、メールが巧みに作られた悪質なフィッシング詐欺メールだったので情報を共有します。

「クレジットカードの利用承認が得られません」の詳細

受信したAmazonを騙るフィッシング詐欺メールは『クレジットカードの利用承認が得られませんでした : 「7JFU9PT7D2YL」』といった件名で届き、Amazonアカウントの決済情報を6日以内に更新しなければアカウントを閉鎖するといった旨の内容です。

問題のフィッシング詐欺メール

カードの利用承認が得られませんでした
（メールアドレス）

下記注文のお支払いにご指定いただいたカードの利用承認が得られなかったことをお知らせいたします。再度問題が発生した場合は、その旨をEメールでお知らせいたします。なお、6日以内に変更または修正いただけなかった場合は、誠に勝手ながら、アカウントを閉鎖します。

下記ボタンをクリックすると、お支払い方法を変更できます。

[お支払い方法を変更]

お支払い方法の変更について詳しくは、ヘルプページをご確認ください。

またのご利用をお待ちしております。
Amazon.co.jp

メール本文もよく作られており、且つ送信元はAmazon.co.jpと表示されるものの、実際にはAmazonとは関係無いメールアドレス（no-reply@service〜.com）から届いているフィッシング詐欺メールなので、誤って記載されているリンクやボタンからフィッシング詐欺サイトにアクセスしないよう注意してください。

Amazonから届く正式な「クレジットカードの利用承認が得られません」について

実はAmazonからも正式に「カードの利用承認が得られませんでした」といったメールが届き、支払い方法を変更するようメールで要求される場合があります。

ただ、フィッシング詐欺メールには「6日以内に変更または修正しなかった場合、アカウントの閉鎖」と記載されていますが、本物のメールは「6日以内に変更また修正しなかった場合、注文をキャンセルする」と記載されており、支払い情報を変更しなかった場合でも“注文がキャンセルされるだけ”です。（本物のメールには氏名や注文番号も記載されています）

Amazonから届く本物のメール

カードの利用承認が得られませんでした
注文番号：〜
氏名様

下記注文のお支払いにご指定いただいたカードの利用承認が得られなかったことをお知らせいたします。お手数ですが、本日より6日以内に、下記ボタンをクリックし、お支払い方法をご変更いただくかカード情報を正しく修正してください。変更後のお支払い方法に問題がない場合は、商品を発送し、その旨をEメールでお知らせいたします。再度問題が発生した場合は、その旨をEメールでお知らせいたします。なお、6日以内に変更また修正いただけなかった場合は、誠に勝手ながら、ご注文をキャンセルさせて頂きます。

カードの承認が得られない理由としては、誤入力いただいたカードの名義人、番号、有効期限が誤っている（または全角で入力されている）か、カードが無効になっていることが可能性として挙げられます。

下記ボタンをクリックすると、お支払い方法を変更できます。

[お支払い方法を変更]

フィッシング詐欺サイトは執筆時点も稼働中

フィッシング詐欺メールに記載されているURLを開くと、個人のブログ（WordPress、恐らくハッキング被害）からフィッシング詐欺サイトにリダイレクトされ、Amazonのサインイン画面に酷似したフィッシング詐欺画面に遷移します。

フィッシング詐欺サイトで誤ってEメールやパスワードを入力してサインインを進めてしまうと、氏名やクレジットカード情報の入力画面が表示され、入力欄に個人情報を入力すると第三者に悪用される恐れがあります。（Amazonアカウントに関しては前段階のサインイン時点で危険）

Amazonアカウントなど個人情報を入力した場合

フィッシング詐欺サイトでAmazonアカウントを入力した場合は、すぐにアカウント設定の変更（Eメール、パスワード）を行い、注文履歴、Amazonコイン、マイポイントなどに不正利用が無いか確認してください。（不正利用がある場合はAmazonに問い合わせる必要があります）

もしフィッシング詐欺サイトでクレジットカード情報等を入力した場合は、クレジットカードに不正な請求が無いか確認し、すぐにクレジットカード会社に報告〜相談するようにしてください。場合によっては暗証番号の変更やクレジットカードの再発行等の手続きになるかと思います。

（１） 被害が発生したWeb サイト運営者への連絡
情報を詐取された疑いを持ったサービスを提供している事業者に、フィッシング詐欺被害の疑いがあることを伝え、指示によっては暗証番号の変更やカードの再発行、ショッピングサイトやプロ
バイダのID およびパスワードの変更を行う。

引用：フィッシング対策ガイドライン