DHLを装ったフィッシング詐欺に注意:パスワードを盗む偽リンクの見分け方

2026年4月29日 16:44 EDT 公開

筆者:Sara Heritage(テック・ゲーム系ジャーナリスト)。IGN、GAMINGbible、The Gamerなどに寄稿経験があり、現在は『Pokemon Champions』でマスターボールランクを目指して奮闘中。普段はテクノロジーをいじったり、古いゲーム機の修復に没頭したりしており、そばにはいつも3匹の猫のうちの1匹がいる。Twitter(@SHeritageJourno)で交流可能。

要点まとめ

• DHLを装ったフィッシング詐欺は、表示名の偽装と偽のOTP認証フローを利用し、パスワード、IPアドレス、位置情報、端末情報を盗み出します。
• 「荷送り状の確認」という日常的な操作と、人工的に仕込まれた遅延によって、利用者の警戒心を低下させます。
• 対策としては、URLの確認、パスワードマネージャーの使用、画面上のコード入力を絶対にしないこと、そしてDHL公式サイトでの照合が有効です。

セキュリティ企業Forcepoint X-Labsの最新レポートにより、世界中のユーザーを標的とした高度なDHLフィッシングキャンペーンの実態が明らかになりました。攻撃者は有名ブランドへのなりすましと偽のOTP認証ステップを駆使し、一般ユーザーからパスワード、IPアドレス、位置情報、端末の詳細情報を収集しています。

この詐欺の恐ろしい点は、「アカウントが乗っ取られました」のような緊急性の高い警告文——私たちが警鐘を鳴らすようなメッセージ——をあえて避けているところです。代わりに、「荷送り状の確認」というありふれた作業を装うことで、利用者の油断を巧みに誘います。

実は筆者自身、この記事を執筆中にDHLで荷物を受け取る予定があり、「荷送り状を確認」ボタンを無意識にクリックしてしまい、数秒後にようやく異変に気づいた経験があります。なんとも皮肉な話ですが、テックに詳しいユーザーでも時折引っかかってしまう現実を如実に示すエピソードです。本記事では、この最新のDHL詐欺について知っておくべきすべての情報と、万一被害に遭った場合の対処法を詳しく解説します。

関連記事

DHL詐欺の仕組み

クレジット:Forcepoint

この非常に洗練されたキャンペーンは、いわゆる「セキュリティ・シアター」を演じながら、利用者から個人情報を搾り取ります。届くメールは本物のDHL Express通知と瓜二つの外観です。しかしTechRadarの指摘によれば、最初の赤信号は送信元のドメインにあります。今回のケースでは、メールはcupelva[.]comから送信されており、DHLとは一切関係のないドメインです。モバイルデバイスでは見落としやすく、「表示名」には単に「DHL Express」としか表示されません。これは、ハッカーが表示名なりすまし(display name spoofing)を使って、利用者の初期段階の疑念を回避する典型例といえます。

この詐欺で最も悪質なのは、リンクをクリックした後に展開される流れです。いきなりログインページへ誘導すれば不審に思うかもしれませんが、攻撃者は一連の「検証」ステップを踏ませることで安心感を演出します。

• 本人確認のためと称して、画面上に表示された偽の追跡番号(小包コード)を入力させる
• ウェブサイトのデータベースが実際に処理を行っているように見せかけるため、意図的に遅延を挟む

これらのステップを経るうちに、利用者の警戒心は着実に低下していきます。メールアドレスとパスワードの入力を求められる頃には、脳内ですでに「取引は正当なものだと確認済み」の状態になっているのです。

有効な対策のひとつが、評判の良いパスワードマネージャーの使用です。これらのツールは保存先を特定のドメインに紐付けているため、たとえページの見た目がDHLそのものでも、偽サイトではパスワードの「オートフィル」を拒否してくれます。

万が一この詐欺に引っかかってしまった場合、データの窃取は瞬時に行われます。攻撃者はEmailJDという正規サービスを悪用し、盗み取った情報を直接自分たちの受信箱へ送り込んでいるのです。

偽のDHLワークフローを見分ける方法

オンラインでの安全を守るために、以下の重要なポイントを必ず押さえておきましょう。

• 必ずアドレスバーを確認し、必要であればWebリンクチェックツールを使ってサイトの正当性を検証する
• 画面上のコードは絶対に入力しない。本物のワンタイムパスワード(OTP)は、SMSまたはメールで自分宛てに送られてくるものだ
• パスワードマネージャーを使う。ブラウザやツールがそのサイトを認識しなければ、それは偽物だと判断できる
• 注文状況は必ずDHL公式サイトで再確認し、追跡番号は手動で入力する

すでに被害に遭った可能性があると思われる場合は、「オンライン詐欺の被害に遭った後の対処法」ガイドを参考に、手遅れになる前に速やかにアカウントの保護措置を講じてください。