Trendyol・Hepsiburadaフィッシング：トルコの偽ショッピング詐欺の見分け方

トルコのEC市場はここ数年で急激に拡大し、TrendyolとHepsiburadaは毎日数百万件の注文を処理しています。この膨大な取引量は、フィッシング詐欺師にとって絶好の狩場となっています。彼らはこれらのプラットフォームを装い、決済情報、認証情報、個人データを盗もうとしています。

トルコでオンラインショッピングをしているなら、あなたもターゲットです。これらの詐欺の仕組みと自分を守る方法を紹介します。

主なECフィッシングの手口

1. 偽配送SMS（Sahte Kargo SMS）

最も一般的な攻撃手段です。「Trendyol siparisininiz kargoya verildi. Takip icin tiklayin: [悪意のあるリンク]」というSMSが届きます。リンク先は偽の追跡ページで、「関税」や「配送追加料金」としてクレジットカード情報を入力するよう求めます。

こうしたメッセージは11.11（独身の日）、ブラックフライデー、Efsane Cumaセールなどの大型ショッピングイベント期間に急増します。

2. 偽チェックアウトページ

詐欺師はTrendyolやHepsiburadaのチェックアウトページをピクセル単位で再現した偽サイトを作成します。被害者がこれらのページに辿り着く経路：

• 「信じられないほどお得な」SNS広告
• 正規の検索結果より上に表示されるGoogle広告
• 「注文確認」リンク付きのフィッシングメール

3. 偽カスタマーサービスアカウント

SNSで苦情を投稿すると、公式サポートを装うアカウントが反応。注文番号、個人情報、さらにはカード情報を要求して問題を「解決」すると持ちかけます。

4. 偽ショップ

マーケットプレイス上で、盗んだ商品画像と破格の価格で出店。支払いが完了すると「売り手」は姿を消します。有効な追跡番号を発行するために空箱や無関係な商品を送付するケースもあります。

正規URLと偽URLの見分け方

ECフィッシングを回避するための最も重要なスキルです：

チェック項目	正規	不審
ドメイン	trendyol.com、hepsiburada.com	trendyol-siparis.com、hepsiburada-kargo.net
プロトコル	常にHTTPS	HTTPSがない、または証明書の警告
URLパス	/orders/detailのようなクリーンなパス	ランダムな文字列、過剰なパラメータ
リダイレクト	直接遷移	到達までに複数回リダイレクト
証明書	有効、会社名で発行	自己署名または不明な組織が発行

URL確認のクイックステップ

1. SMSやメールのリンクをクリックしない。 TrendyolまたはHepsiburadaのアプリを直接開く。
2. ドメインを注意深く確認。 trendyo1.com（「l」の代わりに数字の「1」）やhepsiiburada.com（「i」が2つ）などのトリックに注意。
3. トルコ語の文字に注意。 偽ドメインはブラウザのアドレスバーで正規ドメインに似て見えるように「ı」や「ö」を使用する場合がある。
4. 公式アプリを使用。 注文に関する通知を受け取ったら、リンクではなく公式アプリで確認する。

フィッシング攻撃の詳細な流れ

典型的なTrendyolフィッシング攻撃の段階別解説：

1. 餌：実際に配送待ちの注文がある時期に「配送失敗」のSMSが届く
2. クリック：リンクがTrendyolブランドの説得力ある偽ページを開く
3. 情報収集：「注文状況を確認する」ためにログイン情報を要求
4. エスカレート：ログイン後、「再配送料」として9.99 TLのクレジットカード情報を要求
5. 搾取：盗んだ認証情報とカード情報で不正購入やデータ売却

季節別詐欺カレンダー

フィッシングはトルコのショッピングカレンダーに連動します：

期間	イベント	よくある詐欺の種類
1月	冬セール（Kis Indirimleri）	偽割引リンク
3月	女性の日キャンペーン	偽ギフトカードオファー
6月〜7月	夏セール（Yaz Indirimleri）	偽チェックアウトページ
8月	新学期	偽配送通知
11月	ブラックフライデー / Efsane Cuma	全タイプが3〜5倍に増加
12月	年末年始ショッピング	偽注文確認

アカウントと決済情報を守る

すべてのセキュリティ機能を有効化

• Trendyol：二要素認証の有効化、ログインアラートの設定、アプリ内ウォレットでの支払い
• Hepsiburada：Premiumセキュリティ機能の有効化、Hepsiburadaの独自決済システム（HepsiPay）の使用、通知設定の有効化

バーチャルクレジットカードの利用

トルコの多くの銀行（Garanti BBVA、Isbank、Yapi Kredi）がバーチャルクレジットカードサービスを提供しています。利用限度額付きの一時的なカード番号を生成でき、番号が盗まれても被害を最小限に抑えられます。

保存済み決済方法の確認

ECアカウントに保存された未使用の決済方法を定期的に確認・削除しましょう。保存されているカードが少ないほど、攻撃面も小さくなります。

フィッシングリンクをクリックしてしまった場合

偽サイトに認証情報を入力してしまった疑いがある場合：

1. 正規のTrendyol/Hepsiburadaサイトで直ちにパスワードを変更
2. 決済情報を入力した場合は銀行に連絡してクレジットカードをブロック
3. まだの場合は2FAを有効化
4. 不正購入がないか注文履歴を確認
5. Trendyol/HepsiburadaサポートとUSON（国家サイバーインシデント対応センター）にフィッシングURLを報告
6. 警察に届出（e-Devletまたは最寄りの警察署）

注文・決済情報を安全に共有する

多くのトルコのユーザーは、友人や家族の代理購入を調整する際に、注文の詳細、追跡番号、支払い確認をLINEやSMSで共有しています。これにより、悪用される可能性のある機密情報の痕跡が残ります。

注文の認証情報、追跡情報、または支払い確認を共有する必要がある場合は、LOCK.PUBを使用してパスワード付きメモを作成しましょう。受信者はパスワードを入力して情報を閲覧し、閲覧後に自動的に期限切れに設定できます。チャット履歴に機密データが残りません。

詐欺に強いショッピング習慣を作る

最良の防御は一貫したルーティンです：

• 正規のTrendyolとHepsiburadaのURLをブックマークし、常にブックマークからアクセスする
• Google Play StoreまたはApple App Storeからのみ公式アプリをインストールする
• SMSやメールのリンク経由で到達したページに決済情報を絶対に入力しない
• プロモーションメッセージに行動する前に公式アプリですべてのセールを確認する
• 他者に機密情報を送る際はプレーンテキストではなくLOCK.PUBのようなパスワード付き共有ツールを使用する

フィッシング詐欺師はあなたが急いでいることを当てにしています。落ち着いて、確認し、デジタルショッピングライフを守りましょう。

---

賢く買い物し、安全に。リンクに不安がある場合はクリックせず、アプリを直接開きましょう。