はじめに

ある日、寝ぼけてスマホをいじっていた冷静さを欠いた私は、普段は引っかからないようなフィッシングメールから偽のAmazonサイトにログインしてしまいました。
ミスに気づいた私は、すぐに日本のAmazon（amazon.co.jp）のパスワードを変更し、セキュリティを強化しました。「これで一安心、実害もなかったし大丈夫だろう」―そう思っていた時期が、私にもありました。

しかし、その約2週間後、私のメールボックスは恐怖の戦場と化すことになります。同じ被害に遭う人を減らすため、巧妙な乗っ取り犯の手口と、裏にあるAmazonのシステム仕様について共有します。

タイムライン：事件発生から鎮火まで

1. 嵐の始まり：鳴り止まない英文メール

ある夜、突然スマホの通知が鳴り止まなくなりました。見ると、すべて Amazon.com（米国）からのメール。

Welcome to Prime! （30日間無料体験への登録通知）
Ordered: "Donkey Kong Bananza..." （見知らぬゲームソフトや日用品の注文完了メール）

配送先は 「BEAVERTON, OR（米国オレゴン州）」、宛名は知らないアルファベット。
「まさかフィッシングか？」と思いましたが、送信元には公式の認証バッジ（青いチェックマーク）がついており、紛れもなく本物のAmazon.comから送られているシステムメールでした。

すぐさまクレジットカードの利用明細を確認しましたが、この時点では怪しい請求（ドル建ての決済など）は一切上がっていませんでした。

2. 急転直下：三井住友カードからの警告メール

「お金が引かれていないなら、メールアドレスを勝手に使われてアカウントを作られただけか？」と思索していたその直後、決定的なメールが届きます。三井住友カードからの利用不可通知でした。

利用不可理由： ご利用枠超過のため
利用金額： 299.97 AUD（オーストラリアドル）
利用日： 2026/05/23 00:53
利用先： AMAZON MKTPLACE PMTS
ご利用カード： Amazonマスター

オーストラリアのAmazonで、私の「Amazonマスターカード」が直接使われようとしていたのです。今回はたまたま「ご利用枠超過」でエラーになり決済が弾かれましたが、カード情報が完全に犯人に握られていることが確定した瞬間でした。

3. カウンター：大至急の防御措置

ここから深夜のスピード勝負です。

クレカの永久停止と再発行
カード会社の緊急窓口へ即座に電話し、カードの永久停止と再発行を依頼。これで犯人が持つカード番号は一瞬で無効化されました。
Amazon.comのパスワード変更と全端末ログアウト
Amazonのアカウント保護チーム（Account Protection Services）が異常を検知してアカウントをロックしてくれたため、公式の復旧手順に従って新しい超強力なパスワードへ変更。同時に「すべてのデバイスからサインアウト」を実行し、犯人を完全にキックしました。

【考察】なぜ今回の乗っ取りは起きたのか？犯人の手口を推測する

今回、「日本（.co.jp）のパスワードは速攻で変えたのに、なぜ2週間後に米国（.com）で不正利用されたのか？」、そして「なぜカード情報まで使われたのか？」。
その原因は、Amazonの「グローバル認証システム」と「Global Wallet機能」の仕様にありました。

推測される犯人のステップ

[フィッシングサイト] でメアド・パスワードを奪取
      │
      ▼
[犯人] が即座に Amazon.com（米国版）へログインを試みる
      │  （★ここで米国側のアカウントが正式にアクティベートされる）
      ▼
[被害者] が Amazon.co.jp（日本版）でパスワードを変更
      │  （しかし、犯人は米国側で既にログイン維持＝セッション確立状態）
      ▼
[2週間後] 犯人が米国側アカウントを本格的に悪用開始
      │  （日本側で登録されていたカード情報が Global Wallet 機能で同期されていた）
      ▼
[オーストラリアAmazon] 等で爆買いアタック（枠超過でブロック！）

気付き①：Amazonの「共通認証」のタイムラグ・死角

Amazonは世界展開にあたり、メールアドレスとパスワードの認証基盤を世界共通で持っています。

私がフィッシングに引っかかった直後、犯人は日本のサイトではなく、あえて米国のAmazon.comにその情報でログインしたと考えられます。この時点で、米国側で私名義のアカウントのセッションが確立されます。
その後、私が日本側でパスワードを変更したものの、「すでに米国側で確立されていた犯人のログインセッション（Cookieなど）」が強制ログアウトされずに生き残ってしまったか、国を跨ぐシステム同期の隙を突かれた可能性があります。

気付き②：恐怖の「Global Wallet機能」（カード情報の自動連動）

一番の謎は、「なぜ犯人が私のAmazonマスターカードの番号を知っていたのか」でした。フィッシングサイトではカード番号まで入力していなかったからです。

実はAmazonには、大元のログイン情報が同じであれば、日本（.co.jp）に登録しているクレジットカード情報を、海外（.comなど）の決済時にもそのまま引き継いで使える機能があります。

つまり、犯人は私のカード番号を直接ハッキングしたのではなく、「乗っ取った米国アカウントの支払い選択画面に、私が日本で登録していたAmazonマスターカードが自動で表示されたので、それをクリックして買い物しただけ」だったのです。これが、明細に利用履歴がないのに、裏でカードが直接叩かれた理由でした。

まとめ＆教訓：もしフィッシングに引っかかったら

今回の件で得た最大の教訓は、「Amazonのパスワードを変えるときは、日本（.co.jp）だけでなく、米国（.com）側も個別にチェック・変更しなければ片手落ちになる」ということです。

もし、Amazonを騙るフィッシングに引っかかってしまった場合は、以下の3点をセットで実行してください。

Amazon.co.jp と Amazon.com の両方にログインし、それぞれパスワード変更と「全デバイスからのサインアウト」を行う。
二段階認証（MFA）やパスキー（Passkey）を確実に設定する。
万が一、海外からの不審な注文メールが届いたら、メールのリンクは絶対踏まずに、即座にクレジットカードの「利用可能枠の変動」をチェックし、カードを止める。

今回はカードの限度額とAmazonのセキュリティチームの強制ロックに救われ、実害ゼロで切り抜けることができましたが、一歩間違えれば数十万円の被害に遭うところでした。この記事が、誰かのアカウントと資産を守るヒントになれば幸いです。