「アカウントに異常が見つかりました」「本日中にお支払いください」「荷物をお届けできませんでした」——このようなメールが届いたことはありませんか？
実在する企業やサービスを装い、偽のウェブサイトに誘導して個人情報やクレジットカード情報を盗み取る手口を、フィッシングといいます。被害に遭うと、アカウントの乗っ取りや不正利用、金銭被害につながる可能性があります。
厄介なのは、詐欺メールの文章やデザインが巧妙になり、一見しただけでは本物と区別しにくい場合があることです。
この記事では、怪しいメールを見分ける7つのポイントと、受信したときの対処法を分かりやすく解説します。
1. 送信元のメールアドレスを確認する
最初に確認したいのが、メールの送信元です。
詐欺メールでは、銀行、宅配業者、通販サイト、携帯電話会社などの名前を勝手に使用することがあります。表示名が有名企業の名前になっていても、本物とは限りません。
例えば、実在する企業の正式なドメインに似せて、文字を一つ変えたり、余計な文字を加えたりする手口があります。
ただし、送信元のメールアドレスが自然に見えるからといって、安全だと断定することもできません。送信元情報が偽装されるケースもあるためです。
確認するときのポイント
表示された送信者名だけで判断しない
メールアドレスの詳細を開いて確認する
公式サイトに掲載された連絡先やドメインと比較する
少しでも不審なら、メール内のリンクを使わず公式サイトや公式アプリから確認する
送信元の確認は重要ですが、それだけで真偽を決めないことが大切です。
2. 「至急」「アカウント停止」などの言葉に注意する
詐欺メールは、受信者を焦らせて冷静な判断を妨げようとすることがあります。
例えば、次のような表現です。
「24時間以内に確認しないとアカウントを停止します」
「不正アクセスを検知しました。至急ログインしてください」
「お支払い情報に問題があります」
「本人確認が完了していないため、利用を制限します」
こうした表現があるからといって、必ず詐欺とは限りません。しかし、緊急性を強調してリンクのクリックや情報入力を急がせるメールには注意が必要です。
不安を感じたときほど、すぐに操作せず、いったんメールを閉じましょう。
本当に利用制限などの問題が起きているかどうかは、公式アプリやブックマークから開いた公式サイトで確認できます。
3. メール本文の日本語や内容を確認する
以前の詐欺メールには、不自然な日本語や誤字が目立つものもありました。
しかし、最近は自然な文章で作られたものもあり、日本語が正しいという理由だけで信用するのは危険です。
文章だけでなく、内容全体に注目しましょう。
例えば、次のような点です。
利用した覚えのないサービスについて通知が届く
身に覚えのない請求や当選通知がある
説明が曖昧なのに、すぐに操作するよう求められる
本来の手続きとは異なる方法で個人情報を求められる
送信者の説明とリンク先の内容が一致しない
一方、実際に利用しているサービスからの通知でも、詐欺メールに似た文面が使われることがあります。文章の印象だけで判断せず、公式の窓口で事実を確認してください。
4. メール内のURLを安易にクリックしない
怪しいメールで特に注意したいのが、本文に記載されたURLです。
リンクをクリックすると、本物そっくりの偽サイトが表示され、ログインID、パスワード、クレジットカード番号などの入力を求められる場合があります。
また、URLの表示文字列と実際のリンク先が異なることもあります。企業名が含まれている、鍵のマークが表示されている、通信が暗号化されているといった点だけでは、安全性を保証できません。
安全に確認する方法
メール内のリンクをクリックしない。
公式アプリを開くか、普段から利用している公式サイトのブックマークを使う。
ログイン後、お知らせや利用履歴に同じ通知があるか確認する。
判断できない場合は、公式サイトに掲載された問い合わせ先へ確認する。
リンク先を直接開いて確かめようとするのではなく、自分で正規の入口からアクセスすることが基本です。
5. 添付ファイルを不用意に開かない
詐欺メールには、請求書、領収書、配送通知、重要書類などに見せかけた添付ファイルが付いていることがあります。
ファイルを開いたり、内部のリンクを操作したりすることで、悪意のあるプログラムの実行や情報の窃取につながる可能性があります。
特に、身に覚えのない請求書や、突然届いた圧縮ファイル、予想していない文書ファイルなどには注意しましょう。
仕事で必要なファイルに見える場合も、送信者本人に別の連絡手段で確認するのが安全です。
すでにファイルを開いてしまった場合は、何を操作したかを整理し、セキュリティソフトなどで確認してください。不審なプログラムを実行した疑いがある場合は、端末をネットワークから切り離し、必要に応じて専門窓口や管理者に相談しましょう。
6. 個人情報や認証コードを求めるメールに注意する
メールやリンク先のサイトで、次のような情報を求められた場合は慎重に対応してください。
ログインIDやパスワード
クレジットカード番号やセキュリティコード
銀行口座の暗証番号
ワンタイムパスワードや認証コード
マイナンバーなどの重要な個人情報
本物の企業を装って、これらの情報を入力させようとする手口があります。金融機関がメールやSMSでログインパスワードなどを問い合わせることはないと、警察庁も注意を呼びかけています。
また、正規のサービスであっても、認証コードの入力を伴う手続きはあります。だからこそ、メールのリンクから手続きを始めるのではなく、公式アプリや公式サイトから自分で手続きを確認することが重要です。
認証コードを第三者に伝えたり、内容をよく確認せずに承認操作をしたりしないでください。
7. メールだけで判断せず、公式情報で確認する
最も大切なのは、メールの見た目だけで本物か偽物かを決めないことです。
詐欺メールには、企業のロゴや正式な文章が使われることもあります。反対に、本物のメールでも、普段と異なる通知が届くことがあります。
判断に迷ったら、次の手順で確認しましょう。
メール内のリンクや添付ファイルを操作しない。
公式アプリやブックマークからサービスにアクセスする。
利用履歴や公式のお知らせを確認する。
必要であれば、公式サイトに掲載された問い合わせ先に連絡する。
不審なメールは、メールサービスの迷惑メール報告機能などを使って報告する。
周囲に相談することも有効です。急いで対応するよう求められているときほど、第三者の目で確認してもらうと冷静に判断しやすくなります。
怪しいメールを開いてしまったらどうする？
メールを開いただけで、必ず被害が発生するわけではありません。まずは、どの操作をしたかを確認してください。
メールを開いただけの場合
リンクのクリック、ファイルの実行、情報の入力などをしていなければ、慌てずにメールを削除するか、迷惑メールとして報告しましょう。ただし、端末やメールソフトの状況によってリスクは異なります。
リンクをクリックした場合
何も入力していない場合でも、ページを閉じ、ファイルがダウンロードされていないか、不審なアプリや通知がないかを確認してください。警告画面が表示された場合は、画面に記載された電話番号へ連絡しないでください。
パスワードを入力した場合
メールのリンク先で入力したパスワードを、正規の公式サイトや公式アプリから速やかに変更してください。同じパスワードをほかのサービスでも使っている場合は、そちらも変更しましょう。可能であれば、多要素認証を有効にし、不審なログイン履歴も確認してください。
カード情報や銀行情報を入力した場合
カード会社や金融機関の公式窓口へ速やかに連絡し、不正利用の確認や利用停止などの対応を相談してください。被害が疑われる場合は、警察への相談も検討しましょう。
まとめ：迷ったらクリックせず、公式サイトで確認する
怪しいメールを見分けるには、送信元、本文、URL、添付ファイル、個人情報の要求など、複数のポイントを確認することが大切です。ただし、どれか一つの特徴だけで安全だと判断することはできません。
日頃から、公式アプリや正規サイトのブックマークを利用する習慣をつけておきましょう。
「急いで対応してください」と書かれていても、焦る必要はありません。リンクをクリックする前、情報を入力する前に立ち止まることが、サイバー犯罪から自分を守る第一歩です。
参考情報
警察庁「フィッシング対策」https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
IPA（情報処理推進機構）「企業組織を狙うメールを悪用した攻撃の手口とその対策」https://www.ipa.go.jp/security/support/abuse_email.html
※本記事は一般的な予防・対処情報です。具体的な被害が疑われる場合は、利用しているサービスの公式窓口や警察などに相談してください。