身に覚えのないAmazonのワンタイムパスワードが届いた時の対処｜不正アクセス・詐欺への対応

身に覚えのないAmazonのワンタイムパスワード（確認コード・OTP）がSMSやメールで届くと、「もう乗っ取られた？」と不安になります。まず落ち着いてください。結論から言うと、コードを誰かに渡さない限り、その時点で乗っ取りは成立していません。ワンタイムパスワードはログインの「最後の関門」で、あなたがコードを入力・共有しなければ、相手はログインを完了できないからです。

届く原因は大きく2つ。①誰かがあなたのパスワードでログインを試している（パスワード漏洩の疑い）か、②偽SMS・偽メールでコードを盗もうとするフィッシング詐欺です。どちらの場合も、やるべきことは共通しています。コードを教えない・リンクを踏まない・電話でコードを言わない——この3つを守った上で、公式アプリから落ち着いてパスワードを変更し、履歴を確認していきましょう。

この記事では、届いた原因の見分け方、絶対にしてはいけないこと、すぐやるべき5ステップ、本物と偽物の見分け方、そしてすでに情報を入力してしまった場合の相談先までを、Amazon公式・警察庁・フィッシング対策協議会の情報に沿って整理します。

身に覚えのないOTPが届く原因は2つ｜パスワード漏洩かフィッシング

身に覚えのないワンタイムパスワードが届いたとき、最初に切り分けたいのが「なぜ届いたのか」です。原因はおおむね次の2パターンに分かれます。SMSやメールの本文にリンクや「今すぐ確認」といった誘導があったかどうかが、見分けの手がかりになります。

パターン①：誰かがあなたのパスワードでログインを試している

相手がすでにあなたのメールアドレスとパスワードを知っていて、ログインの最終段階まで進んでいる状態です。ここで2段階認証（OTP）が要求され、そのコードが本人であるあなたに届きます。裏を返せば、コードを入力しない限り相手はログインを完了できず、2段階認証が防波堤として機能しているということです。

ただし、この状況は「IDとパスワードがすでに漏れている可能性が高い」ことを意味します。とくに同じパスワードを他のサービスで使い回していると、そちらも危険にさらされます。最優先はパスワードの変更です。

パターン②：フィッシング詐欺でコードを盗もうとしている

「アカウントが停止されました」「支払いに問題があります」などと不安を煽り、偽のログインページへ誘導する手口です。あなたがそこにIDとパスワードを入力すると、詐欺側が裏で本物のAmazonにログインします。すると本物のOTPがあなたに届き、偽ページで「コードを入力してください」と促して、それも盗み取ろうとします。

この場合、偽サイトにコードを入力した瞬間に突破されてしまいます。だからこそ「リンクを踏まない・偽ページにコードを入れない」ことが決定的に重要になります。

なお、自分でログインやパスワード再設定の操作をした直後だったり、家族が共有アカウントにアクセスしたりして届くケースもあり、必ずしも漏洩とは限りません。ただし個々の判別は難しいため、疑わしいときは安全側に倒し、パスワード変更をしておくのが無難です。

絶対にしてはいけないこと｜コードを教えない・リンクを踏まない

原因を切り分ける前でも、次のことは共通して守ってください。フィッシング対策協議会・警察庁・Amazon公式が繰り返し注意を呼びかけている、被害を防ぐうえで最も大切な行動です。

【厳守】この4つは絶対にしない – ワンタイムパスワード（確認コード）を誰にも教えない。 Amazonの正規SMSにも「誰とも共有しないでください」と書かれています。電話・チャット・メールでコードを聞いてくる相手は、すべて詐欺です。 – SMSやメール内のリンクを踏まない。 Amazonを名乗っていても、リンク先が偽サイトのことがあります。 – 偽サイトにID・パスワード・コードを入力しない。 – 「Amazonカスタマー」を名乗る電話でコードを言わない。 Amazon公式の手順に沿えば、確認コードを電話で伝える場面はありません。

あわせて、心当たりのないメールの添付ファイルを開かない、案内された番号に折り返し電話しないことも徹底してください。詐欺の狙いは「焦らせて偽サイトへ誘導すること」です。急かされていると感じたら、その時点でいったん手を止めるのが安全です。

身に覚えのないOTPが届いたらすぐやる5ステップ

ここからは実際の対処です。すべての操作で共通する大前提は、必ず公式アプリか、ブックマーク済み・検索した公式サイト（amazon.co.jp）から入ること。届いたSMSやメールのリンクは絶対に使いません。以下の5ステップを、この順番で進めてください。

1. パスワードを変更する — アカウントサービスの「ログインとセキュリティ」からパスワードを編集します。他サービスと使い回していたパスワードは、そちらもすべて変更してください。
2. 2段階認証（2SV）を確認・有効化する — 「ログインとセキュリティ」で2段階認証の設定を確認します。まだ有効でなければ有効化しておきます。
3. サインイン履歴・登録デバイスを確認する — 見覚えのないデバイスや場所からのサインインがないか確認し、不審な端末があればサインアウト・削除します（画面の名称はAmazonの公式ヘルプの最新表示に従ってください）。
4. 注文履歴・購入履歴を確認する — 身に覚えのない注文がないか確認します。とくにAmazonギフトカードの大量購入は乗っ取り被害の典型例なので要注意です。
5. 支払い方法・登録情報を確認する — 登録クレジットカード、配送先住所、メールアドレスや電話番号が勝手に変更・追加されていないか確認します。

2段階認証の方式は、SMSよりも認証アプリ（Google Authenticatorなど）を使うほうが、SMSの傍受や偽サイトでのコード盗用に強いとされています。設定を見直す際の選択肢として覚えておくとよいでしょう（対応状況はAmazonの公式手順で確認してください）。

本物のAmazon通知と偽物（フィッシング）の見分け方

「これは本物？」と迷ったときの判断材料を表にまとめます。1つでも偽物の兆候に当てはまれば、リンクは踏まず、公式アプリから状況を確認してください。

最も確実な確認方法は、メールやSMSのリンクを使わず、公式アプリかブックマークから自分でAmazonにアクセスして状況を見ることです。本物の重要な通知であれば、アプリ内のメッセージセンターにも同じ内容が残っています。リンクをたどらずに自分で入り直せば、偽サイトに情報を渡してしまうリスクをそもそも避けられます。

すでにコードや情報を入力してしまったときの相談先

「リンク先にID・パスワードやコードを入れてしまった」「カード情報を入力した」という場合は、被害を最小限に抑えるため、次の連絡・相談を速やかに行ってください。

• Amazonカスタマーサービスに連絡する — 公式アプリや公式サイトのヘルプから連絡します。アカウントが乗っ取られている場合は、ロックや復旧の案内を受けられます。
• クレジットカード会社に連絡する — カード情報を入力してしまったときは、利用停止や再発行の手続きを。不正利用の早期発見にもつながります。
• 警察に相談する — 警察庁の相談窓口、または各都道府県警のサイバー犯罪相談窓口へ。
• フィッシングを通報する — フィッシング対策協議会に情報提供すると、偽サイトの早期対処に役立ちます（通報先は協議会サイトの案内に従ってください）。
• 消費生活の相談は「188（いやや）」 — 消費者ホットラインにつながり、最寄りの消費生活相談窓口を案内してくれます。

入力してしまったこと自体を責める必要はありません。手口は年々巧妙になっており、誰でも引っかかり得ます。大切なのは、気づいた時点で速やかにパスワードを変え、関係先へ連絡することです。

今後の予防｜パスワードの使い回しをやめ、認証を強くする

同じトラブルを繰り返さないために、日ごろからできる予防策を押さえておきましょう。

• パスワードを使い回さない — 1つのサービスで漏れると、同じパスワードの他サービスも一気に危険になります。サービスごとに別々の、長く推測されにくいパスワードを使います。
• 2段階認証を有効にする — 万一パスワードが漏れても、コードという最後の関門が突破を防ぎます。認証アプリを使う方式は、より安全とされています。
• 不安を煽るメッセージを疑う習慣を持つ — 「今すぐ」「アカウント停止」という言葉が出てきたら、リンクは踏まず、公式アプリから自分で確認する。この一手間が最大の防御になります。

よくある質問（FAQ）

Q1. 身に覚えのないOTPが届いただけで、もう乗っ取られていますか？ A. 多くの場合、まだ乗っ取られていません。ワンタイムパスワードはログインの最後の関門で、あなたがコードを入力・共有しない限り、相手はログインを完了できません。ただしID・パスワードが漏れている可能性はあるため、パスワードの変更をおすすめします。

Q2. コードを入力していなければ、放置しても大丈夫ですか？ A. コードを渡していなければ即時の乗っ取りは防げます。ただし繰り返し届く場合は、パスワードが漏れているサインの可能性があります。パスワードの変更と2段階認証の見直しを行ってください。

Q3. Amazonを名乗る電話で「確認コードを教えて」と言われました。 A. 詐欺の可能性が非常に高いです。Amazon公式の手順に沿えば、確認コードを電話で伝える場面はありません。コードは絶対に伝えず、電話を切ってください。

Q4. SMSのリンクを押してしまいました。まだ情報は入れていません。 A. 情報を入力していなければ被害の可能性は低いです。リンク先には何も入力せずに閉じ、念のため公式アプリからパスワードを変更してください。不審な挙動があれば、端末のウイルスチェックも行いましょう。

Q5. すでにID・パスワード・カード情報を入力してしまいました。 A. 至急、公式アプリ・サイトからパスワードを変更し、Amazonカスタマーサービスへ連絡してください。あわせてカード会社に利用停止・再発行を依頼し、必要に応じて警察やフィッシング対策協議会、消費者ホットライン188へ相談しましょう。

参考

• Amazon公式: フィッシング詐欺メールによる被害を防ぐ3つのポイント — https://www.aboutamazon.jp/news/guide/3-key-points-to-prevent-phishing-scam-emails
• 警察庁: フィッシング対策 — https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
• 警察庁: サイバー事案に関する相談窓口 — https://www.npa.go.jp/bureau/cyber/soudan.html
• フィッシング対策協議会 — https://www.antiphishing.jp/consumer/abt_phishing.html
• 消費者ホットライン「188」（消費者庁） — https://www.caa.go.jp/policies/policy/local_cooperation/local_consumer_administration/hotline/