説明文： 身に覚えのない店から問い合わせ受付メールが届き、本文には暗号資産の大金と怪しいリンク。誰がアドレスを使ったのか、乗っ取りなのか、自動返信を踏み台にする仕組みと対処法を解説。
答え：第三者が店のフォームに別人のアドレスと詐欺文を入力し、店の自動返信に運ばせた可能性が高い。 これだけではメールアカウントの乗っ取りの証拠にはならない。
まず、誰が問い合わせたんだ
突然、知らない飲食店から「お問い合わせありがとうございます」「後ほどご連絡します」という丁寧なメールが届く。いや、問い合わせていない。折り返されても困る。
入力された名前は意味不明な英字の羅列。本文には「暗号資産の口座に高額なUSDTがある」「詳細はリンクへ」という誘導。料理の質問はゼロ。謎の大金だけが出前されてくる。
この一通は問い合わせフォームの自動返信悪用と整合するが、送信者の身元、ボットの使用、アドレスの入手元までは特定できない。店が手口を知っていたと決めつける根拠もない。
店が勝手に配送業者になる四段階
- 第三者が公開された問い合わせフォームを開く。
- 返信先に他人のメールアドレスを入れ、名前や本文に誘導文を置く。
- サイトが「受け付けました」と入力内容つきの自動返信を送る。
- 受信者に、店から届いたように見える詐欺文が届く。
店「お問い合わせ感謝します」。受信者「してない」。第三者「配送完了」。誰も会話できていないのに、配送だけ完璧。
この方法は実在する。情報処理推進機構（IPA）は2020年、別の事件で10万通以上の不正メールが自動返信を通して送られ、送信元の通常業務にも悪影響が出た事例を報告した。これは今回の件の送信件数ではない。
アドレスが使われたら乗っ取り？
そうとは限らない。 公開フォームのメール欄には持ち主以外も入力できる。アドレスを知っている第三者なら、本人の受信箱へ確認メールを飛ばせる場合がある。
住所録の流出、公開ページ、別の名簿など入手経路は複数考えられるが、どこから漏れたかはこのメールだけでは分からない。反対に、身に覚えのないログイン、送信済みメール、設定変更があれば、アカウントを別途点検する意味がある。
受信した人・店の管理者はどうする？
受信者はリンクを開かず、残高の受け取りも試さない。迷惑メールやフィッシングとして報告し、削除する。サービスを確認したいなら、以前から知っている公式サイト・アプリから。繰り返し届く場合は日時と件名など最低限の記録を残す。
管理者は、入力された名前・本文・URLを自動返信に丸ごと載せる必要があるか確認したい。不要な部分は送らず、自動投稿の抑止や送信回数の制限を検討する。Contact Form 7の公式警告も、自由に入力できる送信先へメールを送る構成の危険を指摘している。なお、今回の店が同ソフトを使ったという証拠ではない。
いちばん意味が分からないオチ
受信者は迷惑、店も評判やメール送信環境を傷つけられかねない。得を狙うのは第三者だけ。善意の自動返信を配達員にする、全方位迷惑な手口だ。
注文してないのに出前が届き、ふたを開けたらフィッシング。最悪のデリバリーである。
出典： IPA・2020年上半期の届出事例 第5章／Contact Form 7公式の安全性警告／FTC・フィッシング対策
