「Amazon.co.jpをご利用いただきありがとうございます。安全なご利用環境を維持するため、アカウントを確認してください」
また来た。インターネット界の定期便、頼んでいないアカウント確認である。
今回のメールは社名、丁寧な挨拶、立派な著作権表示、返信不可の注意書きまでそろっている。採用試験なら身だしなみは合格。しかしリンクの名札を見ると、Amazonを名乗っているのにAmazonのドメインではない。
結論：これはAmazonになりすましたフィッシング誘導を強く疑うメール。メール内の「アカウントを確認する」は開かず、自分で公式アプリや公式サイトを開いて確かめよう。 特に注目したいのが、URLの途中にある @ と、後半の share.google だ。
1. 一見まともな文章が、具体的には何も説明していない
本文は「お客様のアカウントに関する大切なお知らせ」と言う。では、何が起きたのか。不正アクセスか、決済の問題か、住所の変更か。書いていない。
「安全のためにご協力を」「確認だけなので登録情報に変更はありません」。安心させる言葉だけが並び、具体的な問題は不明なまま、ログインを促してくる。
例えるなら、知らない人が玄関で「建物の安全を守るため鍵を貸してください。確認するだけです」と言っているようなもの。「確認するだけ」は身分証ではない。
丁寧な日本語やAmazonの商標表記は、送信者が本物だという証拠にはならない。フッターをコピペする難易度は、駅名を紙に書いて駅員を名乗るのと大差ない。
2. URLの@は何者？ Amazonの制服を着た別ドメイン
メールの不審なリンクは、個人識別子と転送用トークンを除くと、おおむね次の構造だった。下の文字列は説明用に無害化した例で、アクセス先ではない。
URLには、ホスト名の前に「ユーザー情報@ホスト」という形を書ける。つまり、この例を構造で読むとこうなる。
- @の前：Amazonに見える飾りを含むユーザー情報部分。Amazonのサイト名ではない。
- @の後：接続先のホストを示す部分。このケースでは share.google。
- 最後の文字列：短縮リンクのパス。何に転送されるかは、リンクを調べないと分からない。
技術文書MDNでも、URLのauthorityには user@host という構文があると説明されている。「Amazonが先頭に書いてある」ことと「Amazonへアクセスする」ことは別。ここが今回の一発ギャグ兼、最大の危険信号だ。[1]
3. ただしshare.google自体は本物のGoogleドメイン
さらにややこしいことに、share.googleはGoogleアプリが使う正規の短縮リンク用ドメインだ。Google公式ヘルプにも明記されている。[2]
つまり「怪しいドメインを偽装している」と雑に片づけるのは不正確。本物のGoogleドメインを含むURLを、Amazonからのお知らせらしく見せているのが正確な読み方だ。
短縮URLは転送先を文字列だけでは見通しにくい。今回、その後どのページが表示されるかは確認していない。偽のAmazonログイン画面が現れた、情報が盗まれた、というところまで事実扱いにはできない。
ただし、Amazonからの認証を装うメールに、Amazonとは無関係な短縮リンクと紛らわしいユーザー情報部分が組み合わされている時点で、操作を中止する理由として十分だ。
「Googleさん、この不審者を案内して大丈夫ですか？」という話ではなく、そもそもAmazonを名乗る人の案内に、なぜ第三者の短縮リンクを使うのかを疑うべきなのである。
4. 配信停止リンクも、立派な会社名も、お墨付きにはならない
メールの末尾には「配信専用」「返信しないでください」「アマゾンジャパン合同会社」といった、もっともらしい文字列が並んでいた。配信停止用らしい別リンクも付いていた。
しかし、これらは本文に誰でも書ける。会社名や著作権表示が正しいからメールも正しい、という論理は成立しない。 配信停止リンクのドメインだけが有名企業のものでも、そのメール全体の真偽は証明できない。
実際の送信元メールヘッダーを今回は確認していないため、送信サーバーの技術的な認証結果までは判定していない。確認できるのは、メール本文の誘導とURL構造が非常に不審だということだ。
5. 受け取ったら？ 押したら？ やることは別
まだ開いていない場合：リンクも配信停止も押さない。Amazonの公式アプリや、普段使っているブックマークからアカウント状態を確認する。必要なら公式の問い合わせ窓口へ。メールは迷惑メール・フィッシングとして報告してよい。
リンクを開いただけの場合：慌てて「全情報が流出した」とは決めつけない。ただしページを閉じ、ダウンロードや不審なアプリの導入がなかったかを確認する。怪しいファイルを入れた場合は端末のセキュリティ確認を行う。
IDとパスワードを入力した場合：メールのリンクではなく正規のAmazonへ独立してアクセスし、パスワードを変更する。使い回し先のパスワードも変更し、二段階認証と注文・支払い・アカウント情報を確認する。
カード情報を入力した場合：カード会社の正規窓口へ速やかに連絡し、利用状況や停止・再発行を相談する。
米国FTCも、不審メールのリンクを押さず、よく知っている公式の連絡経路から確認するよう勧めている。[3]
結論：メールはAmazonのコスプレ、URLがうっかり名札を見せた
文章は礼儀正しく、会社名も完備。だが決定的な質問――「それ、どこのサイトに行くの？」――に対する答えはAmazonではなかった。
ネットの身分確認は、挨拶の丁寧さより独立した経路で確認できるかが大事。今回のメールには返信もログインも不要。必要な用事が本当にあるなら、Amazon公式アプリから自分で見に行けばいい。
それにしても、「Amazonです！」と名乗りながらURLの@で別の名札を見せるのは、変装して面接に来たのに履歴書の顔写真を取り替え忘れたようなものである。
参考資料（1件）
[1] MDN, URI authority（user@host構文）: https://developer.mozilla.org/ja/docs/Web/URI/Reference/Authority
[2] Google Search Help, Googleアプリのshare.google短縮リンク: https://support.google.com/websearch/answer/7013866?hl=ja-JM
[3] US FTC, Protect yourself from phishing scams (2025): https://consumer.ftc.gov/consumer-alerts/2025/04/protect-yourself-phishing-scams
[4] Amazon Seller Central, スパムメールの見分け方（参考：出品者向け）: https://sellercentral.amazon.co.jp/help/hub/reference/external/G32261?locale=gb-GB
