ホモグラフ攻撃とは？｜Amazon偽URLと3つの対策

Amazonから届いたように見える、支払い確認のメール。リンクを押す前にURLを読んでも、見慣れた名前なら大丈夫だと思いたくなりますよね。ところが、文字の形が似ていても、同じ文字とは限りません。

似た文字で本物のURLに見せかける手口を、ホモグラフ攻撃と呼びます。だからといって、小さな文字の違いを毎回探す必要はありません。先に変えたいのは、Amazonへ入る方法です。

この記事では、偽URLの仕組みと、被害を避ける3つの対策を紹介します。Chromeの機能や、情報を入力してしまった後の対応も整理します。見破る自信がなくても、普段の入口から確認する行動は選べます。

情報確認日：2026年10月16日。画像は手順を説明するイラストです。実際のAmazonやChromeの画面ではありません。

ホモグラフ攻撃｜先に覚える3つの対策

ホモグラフ攻撃への備えは、難しい文字の勉強から始めなくても大丈夫です。まずは、通知を受け取った後の行動を決めておきましょう。

正規のAmazonアプリで確認

支払いの問題を知らせるメールが届いても、メール内のボタンから進みません。普段使っている正規のAmazonショッピングアプリを自分で開き、注文やアカウントの状態を確認します。

通知から新しいアプリを入れるよう求められた場合も、いったん止まってください。通知のリンクと、確認に使う入口を切り離すのがポイントです。Amazonも、不審なメール内のリンクや添付ファイルを開かないよう案内しています。^[1]

確認済みのブックマークを利用

ブラウザで買い物をするなら、正規のページを保存したブックマークを使います。ブックマークは、よく使うページを保存する機能です。次回から同じ入口を使えば、メールのリンクを経由せずに済みます。

ただし、偽ページを保存しては意味がありません。保存先の作り方は、後の章で具体的に説明します。本物か迷っているページを、そのまま登録しないでください。

急がせる通知でも入力を保留

「今日中に対応」「アカウント停止」と書かれていても、入力を急ぐ必要はありません。メールを閉じ、いつもの入口から確認する順番に変えます。問い合わせ先も、疑わしいメール内の番号やボタンを使わずに探しましょう。^[1]

焦ったときに一度立ち止まる考え方は、思考停止を避けるための「疑い方」でも紹介しています。

通知のリンクから進まず、アプリやブックマークを自分で開いて確認します。

ホモグラフ攻撃｜似た文字で偽装する仕組み

ホモグラフ攻撃は、見た目の近い文字で誤認を誘う手口です。「よく似た看板を掲げた別のお店」と考えると、イメージしやすくなります。

英字とキリル文字の違い

英字の「a」とキリル文字の「а」は、見た目が似ていても別の文字です。補足すると、コンピューターが文字を区別する番号は、英字のaがU+0061、キリル文字のаがU+0430です。

画面の文字の形によっては、違いに気づきにくくなります。URLでも、使う文字が違えば別のドメインになる場合があります。ドメインとは、インターネット上でサイトを区別する名前です。^[2]

国際化ドメインと変換表記

国際化ドメインは、日本語などの文字をサイトの名前に使う仕組みです。世界中の人が自分の言語を使うためのもので、英数字以外の文字があること自体は不正ではありません。

内部では文字を英数字の形に変換して扱います。この変換方式がPunycodeで、変換後は「xn--」から始まる表記になります。「xn--」があるだけで偽物と決めることはできません。^[2][3]

フィッシングとの関係

フィッシングは、本物を装ったメールやサイトで、パスワードなどを盗む手口です。ホモグラフ攻撃は、そのために使われる偽装手段の一つです。

似た文字だけでなく、差出人名やロゴ、文面で信用させる場合もあります。文字の違いを見つけることだけに頼らず、ページを開く経路も変える必要があります。^[1][2]

ホモグラフ攻撃｜Amazon偽URLと本物の確認

日本のAmazonを利用するなら、正規の入口を自分で用意しておくと迷いにくくなります。メールの文字を調べ続けるより、買い物先へ直接入り直しましょう。

正規のアドレスを入力して保存

ブラウザを開き、画面上部のアドレス欄に、半角英数字で `amazon.co.jp` と自分で入力して移動します。ここでいうアドレス欄は、ページのURLが表示される場所です。検索サイトの検索欄に「Amazon」と入れて探す操作とは異なります。

入力後に検索結果が出たら、広告や検索結果を選ばず、アドレス欄へ戻って入力し直してください。開いたページのアドレス欄が `www.amazon.co.jp` など、日本のAmazonの正規ドメインであることを確認して保存します。メールの中の文字列をコピーして、保存先を作らないようにしましょう。

これは日本のAmazonへ直接入るための手順です。Amazonが使うドメインを、すべて一つに限定する意味ではありません。^[1][6]

メールの表示文字とリンク先の違い

メール本文に「Amazon」と書かれていても、押した後の行き先は別のサイトに設定できます。見えている文字と、実際のリンク先は別物だからです。この偽装は、似た文字を使わなくてもできます。

パソコンではリンクにマウスを重ねると行き先が出ることもありますが、表示の確認だけで安全とは決められません。不審なリンクを調べるために試しに開くより、用意したアプリやブックマークから確認してください。^[1]

メッセージセンターで内容を照合

Amazonのメッセージセンターでは、注文や発送、アカウントに関するメールを確認できます。正規のサイトを開き、「アカウントサービス」から「メッセージセンター」へ進みます。アプリでも、アカウント内のメッセージを確認できます。^[1]

受信したメールと同じ内容があるかを照合しましょう。ただし、Amazonはメールの種類によって一部対象外があると案内しています。見つからないだけで偽物と決めず、注文の状態も確認し、迷ったら公式サイトやアプリから問い合わせてください。

ホモグラフ攻撃｜Chromeの対策と限界

Chromeには、紛らわしいドメインの表示を変える機能や、似たURLへの警告があります。それでも、機能があることだけで、すべての偽リンクを避けられるわけではありません。^[2]

紛らわしい文字の表示変更

Chromeは、ドメインに使われた文字の組み合わせなどを調べて表示を決めます。公式仕様では、同じ区切り内にラテン文字とキリル文字を混ぜることを制限しています。条件に当たると、Punycodeの英数字表記へ切り替える仕組みです。^[2]

英字の一部をキリル文字に置き換えれば、現在のChromeでも必ず本物そっくりに表示される、とは言えません。メール本文の文字と、ページを開いた後のアドレス欄も区別しましょう。

警告が出ない場合の注意

似たURLへの警告は、誤ったサイトへ進むのを止める助けになります。警告が出たら、内容を確認せずに無視して進まないでください。

一方、警告がないことは、本物である証明にはなりません。通知の内容が気になったら、ブラウザの反応だけで判断せず、正規の入口から入り直します。^[2]

パスワード自動入力の活用

パスワード管理機能は、保存したサイトと違うドメインで入力を抑える助けになります。いつもと違って自動入力されないときは、手入力で急いで進めないようにしましょう。^[2]

自動入力されない理由には、設定や保存状況の違いもあります。偽物と即断するのではなく、入口を確かめるきっかけにしてください。

※今回話題になったAmazon偽URLの実験は、元投稿・再現条件・被害拡大を確認できていません。「Chromeの対策を突破した」「攻撃が急増した」とは断定しません。

ホモグラフ攻撃｜見分け方の3つの落とし穴

URLを確認する習慣は役立ちますが、一つの方法で安全を決めないようにしましょう。特に、目視・メモ帳・HTTPSには、それぞれ限界があります。

目視だけに頼る判断

スマホの小さな画面や省略された表示では、文字の違いを見落とす場合があります。見分けられない自分を責める必要はありません。似て見える文字を使うのが、この攻撃の特徴です。^[2][3]

URLの目視は補助として残しつつ、不審な通知からのログインを避けます。迷ったらページを閉じ、いつものアプリから確認しましょう。

メモ帳への貼り付けだけでの判断

メモ帳へ貼り付けても、似た文字が同じように表示されることがあります。貼るだけでは文字の種類を確定できません。厳密に区別するには、文字に割り当てられた番号などの確認が必要です。

メールの表示文字だけをコピーすると、実際のリンク先を取り出せない場合もあります。日常の買い物では、文字の解析を頑張るより、正規の入口へ戻る方法を優先してください。

HTTPSだけでの判断

HTTPSは、通信の途中で内容を読まれにくくする暗号化の仕組みです。通信相手がAmazonであることまで、保証するものではありません。偽サイトでもHTTPSを使えます。^[4]

確認方法	役立つ点	限界
URLの目視	余計な文字に気づける	似た文字を見落とす場合がある
メモ帳への貼り付け	文字列を取り出せる	貼るだけでは文字の種類が分からない
HTTPSの確認	暗号化通信か確認できる	Amazonの運営かは証明できない
正規のアプリ・ブックマーク	通知のリンクを経由せずに済む	最初のアプリ・保存先の確認が必要

ホモグラフ攻撃｜開いた後の状況別対応

リンクを開いてしまったら、何を入力し、何を実行したかを整理します。画面の指示で対処を続けず、状況に合う窓口へ相談しましょう。

開いただけの場合

まずは追加操作を止め、ページを閉じます。情報の入力や、ファイルの実行をしていないかを振り返ってください。アプリの導入や通知の許可をしていないかも確認します。

開いただけで、直ちにパスワードが盗まれたと決める必要はありません。不審なアプリを入れたなど、端末への影響が心配なら、Amazon公式窓口やIPAの情報セキュリティ安心相談窓口へ相談しましょう。会社の端末なら、社内の担当者にも知らせます。^[1][5]

パスワードや認証コードを入力した場合

正規のサイトやアプリから、速やかにパスワードを変更します。同じパスワードを使い回していたサービスも、それぞれ異なるものへ変更してください。^[1][5]

注文履歴や登録情報に、見覚えのない利用・変更がないかも確認します。認証コードまで入力した場合やログインできない場合は、その状況をAmazonの公式窓口へ伝えましょう。パスワードを変更しても、すでに起きた不正利用まで取り消せるわけではありません。

カード情報を入力した場合

カード会社へ至急連絡し、入力した事実を伝えます。連絡先は偽サイトの案内を使わず、カード裏面や公式アプリで確認してください。利用停止などの手続きは、カード会社の案内に従います。^[1]

身に覚えのない利用がないか、明細も確認しましょう。被害がまだ見えなくても相談して構いません。証拠を集めるために、偽サイトへ再アクセスする必要はありません。

ホモグラフ攻撃｜よくある質問

対策を選ぶときに迷いやすい点を、短く整理します。

ホモグラフ攻撃とは何ですか？

見た目が似た別の文字を使い、本物のURLなどと誤認させる手口です。英字とキリル文字のように、形が似ていても別の文字である点を悪用します。^[2]

ホモグラフ攻撃はChromeで防げますか？

表示変更や警告の機能はありますが、すべての偽リンクを防ぐ保証ではありません。不審な通知は、正規のアプリやブックマークから確認します。^[2]

ホモグラフ攻撃はメモ帳で見分けられますか？

貼り付けるだけでは確定できません。似た文字が同じように表示される場合があります。文字の番号などを調べる必要があるため、一般利用では正規の入口へ戻る方法を優先します。

「xn--」を含むURLは偽サイトですか？

その表記だけでは判断できません。日本語などを含むドメインを英数字で扱うためにも使われます。「xn--」の有無だけで安全性を決めないでください。^[3]

ホモグラフ攻撃｜今日から変える確認の入口

今日の一歩は、正規のAmazonアプリか、確認済みのブックマークを用意することです。支払い確認や利用停止の通知が届いたら、そこから状態を確認します。毎回の間違い探しを頑張るより、続けやすい方法です。

小さく始めて行動を続ける工夫は、ジェームズ・クリアー式の習慣づくりも参考になります。

出典・参考資料

情報確認日：2026年10月16日。個別のSNS実験を実機で再現した記事ではありません。

1. Amazon「Amazonを装ったフィッシング詐欺メールによる被害を防ぐ3つのポイント」
2. Chromium「Internationalized Domain Names (IDN) in Google Chrome」
3. Unicode「FAQ – International Domain Names (IDN)」
4. Chromium Blog「An Update on the Lock Icon」
5. IPA「インターネットサービスへの不正ログインによる被害が増加中」（入力後の対応・使い回し対策を参照。今回のAmazon偽URLの拡大を示す資料ではありません）
6. Amazon「Amazonを装った不正行為に対する取り組みについて」