JCB「本人認証サービス（3Dセキュア）設定再確認のお願い」は詐欺？

スマホでメールを開いたら、「【JCBカード】本人認証サービス（3Dセキュア）設定再確認のお願い」という件名が届いていた。送信元を見ると、MyJCBを名乗っているのに「hkdcmf@hkdcmf.yymtjj.com」というアドレスだった。どこにもJCBの文字がない。

この件名で検索した人は、「本物なのか詐欺なのか」を知りたいはずです。今回引っかかるのは、表示名がMyJCBなのに、アドレスの中身が「yymtjj.com」というJCBと無関係な文字列になっている点。まずはこの送信元アドレスの見方から見ていきます。

この記事では、このメールがフィッシング詐欺（にせサイトへ誘い込む手口）である理由と、届いたときの動き方をまとめます。

結論：この本人認証サービス（3Dセキュア）メールはフィッシング詐欺です

先に言い切ります。このメールはフィッシング詐欺です。JCB公式サイトの注意喚起ページでも、同じような件名のメールが詐欺として名前を挙げられています。本人認証サービスの再確認を装う手口は、以前から出回っています。

いちばんの決め手は送信元です。今回のアドレスは「yymtjj.com」というドメインでした。JCBの正しいドメインは「jcb.co.jp」です。ここが違う時点で、公式とは別物です。

そもそも中身も不安をあおる作りになっています。「3Dセキュアの有効期限が切れる」「再確認しないと使えなくなる」といった言葉で、急いでリンクを押させようとする。押した先はにせのログイン画面で、カード番号やパスワードを抜き取る目的です。

MyJCBを名乗るメールが本物か見分ける確認ポイント

本物かどうかは、いくつかの場所を見れば落ち着いて判断できます。ロゴや「JCB」という文字があっても、それだけでは本物の証明になりません。にせメールもロゴくらいは平気で貼ってくる。

チェックするのは次の4つです。

送信元アドレスのドメインが「jcb.co.jp」など公式のものか
本文に不自然な日本語や誤字脱字がまざっていないか
「3Dセキュア（J/Secure）に有効期限がある」という主張が入っていないか
リンク先のURLが公式サイトのアドレスと一致しているか

ただし、送信元のドメインは日々作り変えられます。だから「このドメインなら安全」と一覧で覚えるのは危ないです。今出回っている偽装ドメインの最新リストについて、JCB公式は「随時更新される」としています（2026-07-27時点）。つまり全部を把握することはできません。特定のアドレスを丸暗記するより、「jcb.co.jp以外は疑う」と覚えたほうがいいです。

ちなみに3Dセキュア（本人認証サービス、J/Secure）そのものに、会員が慌てて更新するような有効期限の案内はありません。この主張が出てきたら、それだけで十分あやしいです。

JCBカードの詐欺メールが届いたときにやること

やることはシンプルで、3つだけです。

メール内のリンクやボタンは押さない
返信も、個人情報の入力もしない
不審なメールとして削除する

メール内のリンクは絶対にクリックしない。ここだけは強めに言っておきます。押しただけで即アウトになるわけではないですが、にせサイトに入り口を開くきっかけになる。

本当に自分のカードに何かあるのか気になるときは、メールからではなく別ルートで確認します。JCB公式アプリを開くか、自分でブックマークしておいたMyJCBのページからログインする。そこにお知らせが出ていなければ、届いたメールは無視して問題ないです。メールのリンクを踏まないことが、この手口をかわす近道になります。