偽の荷物配達メッセージでカード情報や銀行口座情報が盗まれる

荷物配送を装ったフィッシング詐欺は、世界中で様々な配送業者名を騙って発生している。米国では、USPS（米国郵政公社）を装ったメッセージが一般的で、荷物の住所が無効である、または配達できなかったと主張する。同様のメッセージは、フランスではColissimoとChronopost、スペインではCorreos、イタリアではPoste Italiane、オランダではPostNLを装っている。

詳細は様々だが、目的は概ね同じだ。偽の宅配業者ウェブサイトに誘導し、個人情報や金融情報を入力させることだ。

偽のbpost配達メール

ベルギーの郵便サービス会社bpostの顧客を対象とした最近のキャンペーンは、4.95ユーロの関税が支払われていないため荷物を配達できないと主張するメールから始まる。

bpostを装ったフィッシングメールで、荷物の配達前に4.95ユーロの関税を支払う必要があると主張されている。 — *bpost を装った、オランダ語のフィッシングメール*。

英語では、件名とメッセージは次のようになります。

未配達の荷物 - 関税未納（追跡番号 3232116291*******）。

関税（4.95ユーロ）が支払われていないため、2026年9月9日に荷物を配達することができませんでした。

金額は少額なので、受取人はあまり深く考えずに支払ってしまうかもしれない。しかし、このウェブサイトは、いわゆる手数料を徴収するだけでは終わらない。個人情報、カード情報、銀行口座情報などを要求してくるのだ。

詐欺の仕組み

リンクはまずURL短縮サービスを経由します（hxxps://qr[.]paps[.]jp/1GWsa）偽のbpostサイトにリダイレクトされる前に。このキャンペーンでは、以下のものを含む複数の偽のbpostドメインが使用されました。

hxxps://bpost[.]be-pakje-ontvangen-nl-recevoir-colis-fr[.]my[.]id/

bpost[.]centerこれは、以下のスクリーンショットに示されているドメインです。

このページはbpostのブランドを模倣し、「安全なSSL接続」「256ビットSSL」「SEPA準拠」「安全な支払い」といったセキュリティに関する謳い文句を表示しています。しかし、これらの表示は詐欺師によって追加されたものであり、ページや支払いが安全であることを証明するものではありません。

以下のスクリーンショットは、元のオランダ語から英語に翻訳したものです。

最初のページでは、受取人の氏名、電話番号、メールアドレス、年齢を入力するよう求められます。

資金を受け取るという記述は、関税を支払う必要があるというメールの内容とは矛盾しています。次のページでは、IBAN、カード番号、有効期限、支払い金額の入力を求められます。

そして、本当の標的であるクレジットカードと銀行口座の詳細情報を要求する。

オリジナルのオランダ語版には別の間違いもあった。ボタンの一つが「Betaal」（オランダ語で「支払う」という意味）ではなく「Indian search」（インド検索）と表示されていたのだ。このような間違いは詐欺を見破る手がかりになるが、多くのフィッシングページは巧妙に作られているため、明らかな誤字脱字や翻訳ミスは見当たらない。

一度送信されたカード情報は、不正購入に悪用されたり、他の犯罪者に売却されたりする可能性があります。また、個人情報や銀行情報は、その後の詐欺行為をより巧妙にするために利用されることもあります。

身を守る方法

配送状況はご自身でご確認ください。配送業者の公式アプリを開くか、ブラウザにウェブサイトのアドレスを入力し、追跡番号を使って配送状況を確認してください。
送信者と宛先を確認してください。メッセージは、無関係なメールアドレスから送信されたり、別のドメインにリンクされていたりするにもかかわらず、配送業者の名前を使用している場合があります。
予期せぬ手数料や返金には注意してください。少額の支払い、あるいは返金の約束は、より価値のある情報を引き出すための口実として使われることがあります。
広範な金融情報の要求には注意してください。IBANやカード情報の提供を求められた場合は、特にそれが少額の配送料に関連するとされている場合は、疑ってかかるべきです。

不審なサイトにカード情報や銀行口座情報を入力してしまった場合は、すぐに銀行またはカード会社に連絡してください。銀行アプリで可能であれば、該当のカードを凍結し、口座に不審な取引がないか確認し、サイトに入力したパスワードを変更してください。

Malwarebytes これらのキャンペーンは出現すると追跡してブロックします。メッセージが不明な場合は、 Malwarebytesに組み込まれているScam Guard を使用してください。 Windows 、 Mac 、 Android 、そしてiOS弊社で確認いたします。メッセージまたはリンクを貼り付けるか、スクリーンショットをアップロードしていただければ、すぐに評価いたします。