宅配便に関するフィッシングキャンペーンは、世界各地でさまざまな配送業者の名を騙って出現しています。米国ではUSPSを装い、荷物の住所が無効である、あるいは配達できなかったと主張するメッセージが一般的です。フランスではColissimoやChronopost、スペインではCorreos、イタリアではPoste Italiane、オランダではPostNLを装った類似のメッセージが確認されています。
細部は異なりますが、狙いはたいてい同じです。偽の配送業者サイトへ誘導し、個人情報や金融情報を入力させることが目的です。
bpostを騙った偽の配達メール
ベルギーの郵便サービスbpostの利用者を狙った最近のキャンペーンは、関税4.95ユーロが未払いのため荷物を配達できなかったと主張するメールから始まります。
件名と本文を日本語に訳すと、次のような内容です。
未配達の荷物—関税が未払いです（追跡番号3232116291*******）。
2026年9月9日に関税（4.95ユーロ）が支払われなかったため、お客様の荷物を配達できませんでした。
金額が小さいため、受信者は深く考えずに支払ってしまう可能性があります。しかし、このサイトは名目上の手数料を集めるだけでは終わりません。個人情報、カード情報、銀行情報の入力も求めてきます。
この詐欺の手口
リンクはまずURL短縮サービス（hxxps://qr[.]paps[.]jp/1GWsa）を経由し、そこから偽のbpostサイトへリダイレクトされます。このキャンペーンでは複数の偽bpostドメインが使われており、以下のようなものが含まれます。
hxxps://bpost[.]be-pakje-ontvangen-nl-recevoir-colis-fr[.]my[.]id/
bpost[.]center（以下のスクリーンショットに表示されているドメインです）
このページはbpostのブランディングをそのまま模倣し、「Secure SSL connection（安全なSSL接続）」「256-bit SSL」「SEPA compliant（SEPA準拠）」「Secure payment（安全な支払い）」といったセキュリティを謳う表示を掲げています。これらの表示は詐欺師側が独自に追加したものであり、ページや決済が実際に安全であることを何ら証明するものではありません。
以下のスクリーンショットは、原文のオランダ語から英語に翻訳したものを日本語化しています。
最初のページでは、受信者の氏名、電話番号、メールアドレス、年齢を入力するよう求められます。
この「資金を受け取る」という表現は、メールが主張していた「関税を支払う必要がある」という内容と矛盾しています。次のページでは、IBAN、カード番号、有効期限、支払い金額の入力が求められます。
そして、ここでようやく本当の狙いであるカード情報と銀行情報の全体が求められます。
原文のオランダ語版には、もう一つのミスもありました。ボタンの一つに、オランダ語で「支払う」を意味する「Betaal」ではなく、「Indian search」という誤った文字列が表示されていたのです。こうしたミスは詐欺を見破る手がかりになることもありますが、多くのフィッシングページは、明らかな誤字や誤訳が見当たらないほど入念に作り込まれています。
情報を送信してしまうと、カード情報は不正な購入に使われたり、他の犯罪者に転売されたりする可能性があります。また、個人情報や銀行情報は、後々より巧妙な詐欺に利用されるおそれもあります。
身を守るために
- 配達に関する主張は自分で確認する。配送業者の公式アプリを開くか、ブラウザに公式サイトのアドレスを直接入力し、追跡番号を使って配達状況を確認してください。
- 送信元と誘導先を確認する。メッセージが配送業者の名前を使っていても、送信元は無関係なメールアドレスであったり、リンク先が別のドメインであったりすることがあります。
- 予期しない手数料や返金の通知には注意する。少額の支払いや返金の約束は、はるかに価値の高い情報を引き出すための呼び水として使われることがあります。
- 詳細な金融情報を求める要求には注意する。少額の配送料に関する話であるにもかかわらず、カード情報に加えてIBANまで求められる場合は、疑ってかかるべきです。
不審なサイトにカード情報や銀行情報を入力してしまった場合は、直ちに銀行またはカード会社に連絡してください。銀行のアプリでカードの利用停止（凍結）ができる場合はすぐに行い、口座に見覚えのない取引がないか監視するとともに、そのサイトで入力したパスワードはすべて変更してください。
Malwarebytesはこうしたキャンペーンを継続的に追跡し、出現次第ブロックしています。不審なメッセージに心当たりがある場合は、Windows、Mac、Android、iOS向けのMalwarebytesに組み込まれたScam Guardが代わりにチェックしてくれます。メッセージやリンクを貼り付けるか、スクリーンショットをアップロードするだけで、その場で判定結果を確認できます。
