ブラッシング詐欺の標的になった人は、宛名ラベルに自分の名前と住所が書かれた小さな荷物が届いて初めて気づくことが多く、オンラインの購入履歴にはその注文が残っていません。
偽の配送通知でリンクを踏ませるタイプの詐欺とは異なり、ブラッシング詐欺では実際に品物が送られてきます。ただし、近年では荷物にQRコードを添えて、それを読み取らせてphishingサイトへ誘導する手口も確認されています。
ブラッシング詐欺とは何か？
ブラッシング詐欺（英: brushing scam） — 注文していない商品をECサイトの販売者があなたに送り、配送実績を根拠に偽レビューを投稿したり売上を水増ししたりする手口です。多くの場合、販売者の目的はあなたの支払いではなく、商品のランキング向上です。
この用語は、店舗の販売実績を偽造するために注文を装う中国のEC業界のスラングに由来します。売り手は星評価や売上数を信用する他の消費者をだますためにこの手口を使い、荷物を受け取った人は通常、詐欺の実行自体には関与していません。
典型的な例は、見覚えのない販売者から無地の封筒でスマホスタンドが届く、といったケースです。
- ブラッシング詐欺は、受取人に料金を請求しないまま送りつけた荷物を使って偽レビュー投稿や売上の水増しを行います。
- 詐欺師は通常、公開記録、データブローカー、あるいは流出した顧客データなどから氏名と住所を入手します。
- ブラッシング用の荷物が届いたからといって、あなたのショッピングアカウントや決済情報が侵害されたとは限りません。
- 不審な荷物にあるQRコードは読み取らないでください。中にはログイン情報や決済情報を盗むフィッシングサイトに誘導するものがあります。
- USでは、一般に着払いなどを請求されない限り、送られてきた未請求の荷物を保持できる法律がある場合があります。
- マーケットプレイスに荷物を報告すると、販売者の調査につながる可能性がありますが、追加の荷物が届くこともあります。
ブラッシング詐欺はどのように行われるのか？
ブラッシング詐欺では、販売者があなたの名前と住所で偽のマーケットプレイスアカウントを作成し、自分で商品を購入してあなたに発送することがあります。そうして作られた偽の取引を利用して、レビューや売上ランキングを操作します。
詐欺師は通常、自分のクレジットカードや自らのメールアドレスで支払いを済ませるため、注文情報や請求はあなたのアカウントには表示されません。投稿されるレビューは彼らが管理するアカウントから行われ、時にはあなたの名前に似た表示名が使われることもあります。
多くの消費者は星評価や売上ランキングで商品を比較するため、何百件もの高評価レビューが付いた出品は上位に表示され、購入者を引き寄せます。こうした効果があるため、安価な商品を送る手間が販売者にとって採算に合うことがあります。
荷物を送るだけで「認証済み購入（Verified Purchase）」表示が自動的に付くわけではなく、各マーケットプレイスが購入の確認方法や偽レビューの削除ルールを定めています。例えばAmazonは、レビュー投稿者がAmazonで購入したことを確認できる場合に「認証済み購入」と表示し、ブラッシングはそのラベルを得るために悪用される手段の一つです。
詐欺師はどのようにあなたの氏名や住所を入手するのか？
詐欺師は通常、公開記録、データブローカー、あるいは企業の情報流出で露出した顧客データから氏名と住所を入手します。住所を持っているからといって、あなたのショッピングアカウントや決済情報にアクセスできるとは限りません。
ブラッシング詐欺で住所が使われた場合、被害者はしばしばAmazonアカウントの不正アクセスを心配しますが、氏名と住所は多くの企業や名簿が既に保有している個人識別情報です（personally identifiable information）。配送ラベルだけでは、それが流出データから取られたのか、公的ディレクトリや購入した名簿から取られたのかは判断できません。
業界の主要テストラボによる独立評価で受賞。
ブラッシング詐欺を見分けるには？
見覚えのない販売者から届き、家庭内のいずれの注文とも一致しない荷物が届いた場合、ブラッシング詐欺である可能性が高いです。商品は安価なことが多く、納品書や領収書が同封されていない場合が多いです。
販売者はスマホ用アクセサリ、ヘアクリップ、小物といった低価格商品を選ぶことが多く、これらは大量購入と発送のコストが低いため使われやすいです。報告例の多くはAmazonに関するものですが、レビューと売上で商品をランキングする他のECサイトでも同様に発生します。
荷物をブラッシングと判断する前に、それが贈り物、定期配送、同居人や近隣の誰かの注文でないかを確認してください。
ブラッシング詐欺は危険なのか？
ブラッシング詐欺は主にオンラインのレビュー操作を目的としているため、直接的な金銭被害よりもプライバシーやセキュリティ上のリスクが問題となります。中には悪意あるQRコードや危険な製品が同梱されている例もあり、受取人にとって追加のリスクとなり得ます。
販売者があなたの氏名と配送先住所を持っていることは、確認された身元窃取（identity theft）やアカウントの侵害、決済情報の盗難と同義ではありません。しかし、あなたの情報は再販・再利用される可能性があり、後でフィッシングメールや詐欺電話など別の手口に使われることがあります。
本当に深刻かどうかは、荷物自体よりも、あなたが身に覚えのない注文や不審な請求を受けていないか、といった具体的な悪用の証拠によります。
ブラッシング詐欺に悪意あるQRコードが含まれることはあるか？
はい。ブラッシング詐欺の中には、レビューを書かせるためなどの理由でカードやステッカーに悪意あるQRコードを貼り、読み取らせようとするものがあります。読み取ると、ログイン情報や決済情報、ワンタイム認証コードを盗むように作られた偽サイトが開くことがあります。
Kasperskyが予期しない小包の分析で報告しているように、QRコード付きカードの中には、レビューを書けば100ドル分のギフトカードがもらえると約束したり、誰が「贈り物」を送ったのかを明かすと主張したり、無料の受取確認を求めるものがあります。これらのコードが示すサイトの中には、インストールを促して実際にはマルウェアを導入させるアプリを配布するものもあります。
この手口はquishing（QRコードを使ったフィッシングの略）と呼ばれ、ブラッシング本来の目的に付け加えられる追加的な脅威です。コードを読み取っただけで端末が自動的に感染したりアカウントが乗っ取られるわけではなく、通常は偽サイトにパスワードやカード情報を入力したり、指示されたアプリをインストールした場合に問題が起きます。
ブラッシング詐欺の荷物を受け取ったらどうすべきか？
多くの場合、まず家庭内の注文や贈り物の可能性を確認し、荷物をマーケットプレイスに報告するだけで十分です。アカウントの乗っ取り、決済詐欺、身元の悪用を示す証拠がない限り、信用凍結やカードの差し替え、すべてのパスワードの変更は通常必要ありません。
ショッピングアカウントと決済履歴を確認する
まず同居人にその商品を注文したかどうかを確認し、忘れていた定期配送でないかを確認してください。説明がつかない場合は、マーケットプレイスの最近の注文履歴、カードや銀行の取引明細、そして新しいサインインやパスワード変更に関するセキュリティ通知を確認してください。
見覚えのない注文や請求、サインインを見つけたら、そのアカウントのパスワードを変更し、二段階認証（多要素認証（MFA））を有効にして、プラットフォームと銀行に連絡してください。
Amazonや該当するマーケットプレイスに荷物を報告する
Amazonでブラッシング詐欺を報告するには、Amazonの未請求の荷物に関するヘルプページにある報告フォームを利用してください。他のマーケットプレイスでは、荷物が届いたサイトのカスタマーサービスに連絡しましょう。発送ラベル、追跡番号、配達日を保管し、荷物と内容物の写真を撮っておくと、Amazonが追跡番号と不要な荷物の件数を尋ねる際に役立ちます。
不審な荷物がUSPSで到着した場合は、USPIS（United States Postal Inspection Service）にもオンラインの犯罪報告フォームを通じて報告できます。繰り返し送られてくる荷物に関する報告は、マーケットプレイスが販売者を特定し、あなたの名義で投稿された偽レビューを削除するのに役立つ場合がありますが、配送が完全に止まる保証はありません。
未請求の荷物はどう扱えばよいか？
USでは、一般に送られてきた未請求の荷物を支払いなしで保持、使用、破棄できる場合があります。宛先が他人の場合は誤配なので、配送業者や差出人を通じて返送してください。
未開封の荷物に差出人の住所が記載されている場合、US Postal Inspection Serviceは荷物に「差出人へ返送（RETURN TO SENDER）」と記しておけば、追加費用なしで返送されると案内しています。各国の消費者権利や返品ルールは異なるため、US以外に住んでいる場合は自国の消費者保護機関の指示を確認してください。
不審な電子機器、消耗品、種子、不明な物質には特に注意し、未知のUSBドライブを端末に接続したり、種子を植えたりせず、疑わしい液体や粉末は地元の当局に報告してください。荷物を報告する場合は、破棄する前に写真を撮っておきましょう。
不審なQRコードを読み取ってしまったら？
ページを閉じ、いかなる情報も入力しないでください。コードを読み取っただけの場合、多くはこれで十分です。もしパスワード、カード情報、あるいはワンタイム認証コードを入力したり、アプリをインストールした場合は、影響を受けたアカウントや端末を保護してください。
パスワードを入力してしまった場合は、正規サイトで直ちにパスワードを変更し、同じパスワードを使っている他のアカウントも更新し、二段階認証を有効にして不審なサインインがないか確認してください。カード情報やワンタイム認証コードを入力した場合は、カード発行会社に連絡してカードの停止や不正利用の確認を依頼してください。
リンク先のアプリをインストールしてしまった人は、そのアプリを削除し、信頼できるセキュリティソフトで端末をスキャンしてマルウェアがないか確認してください。
ブラッシング詐欺のリスクを減らすには？
オンラインで個人情報を共有しすぎない、ショッピングアカウントを固有のパスワードと二段階認証（多要素認証（MFA））で保護する、不意のQRコードは無視する——これらでリスクを減らせます。既にあなたの住所が販売者に知られている場合、荷物そのものを完全に止めることは難しい点に注意してください。
個人情報や関連アカウントを守るための具体的な対策：
- SNSのプロフィールに住所を公開しないこと、そしてオプトアウトを提供している場合は人名検索サイトに掲載削除を依頼すること。
- 各ショッピングアカウントに対して強力で固有のパスワードを使うこと。流出したパスワードが他で使い回されるのを防ぐため、パスワードマネージャーの利用が有効です。
- マーケットプレイスや決済アカウントでは二段階認証とサインイン通知を有効にし、乗っ取りの兆候を早期に察知できるようにしてください。
- 不意のQRコードは読み取らないでください。万が一読み取ってしまった場合に備え、フィッシング保護機能を備えたセキュリティソフトを使うと、偽サイトへのアクセスをブロックできることがあります。
関連記事：
おすすめ製品：
FAQs
ブラッシング詐欺で自分のショッピングアカウントが停止されることはあるか？
ブラッシング詐欺の荷物を受け取っただけでは、通常ショッピングアカウントが停止されることはありません。しかし、あなたのアカウントに詐欺行為が結び付けられた場合は、マーケットプレイスが調査や制限を行う可能性があります。不審な動きに気付いたらカスタマーサポートに連絡してください。
ブラッシング詐欺はホリデーシーズンに多くなるか？
ホリデーシーズンは荷物が増えるため、ブラッシング詐欺の見分けがつきにくくなることがありますが、これらの詐欺が季節的に一貫して増加するという十分な証拠はありません。年中発生する可能性があります。
ブラッシングで作られた偽レビューを見分けるには？
数日間に集中して投稿された★5つのレビューの群れ、製品について具体性のない漠然とした称賛、他の活動がほとんどないレビュアーなどを探してください。「認証済み購入（Verified Purchase）」の表示も、ブラッシングによる実配達で付く場合があるため、真贋の唯一の指標ではありません。
ブラッシングは違法か？
はい。USのPostal Inspection Serviceはブラッシングを違法行為と位置付けています。また、USでは、連邦取引委員会（Federal Trade Commission）の2024年の規則が、ブラッシング詐欺に関連する偽レビューの作成や購入などの一部の欺瞞的なレビュー行為を禁止しています。
