「【重要】アカウントが停止されました」は詐欺？見分け方

「これ、詐欺メールですか？」——身に覚えのないメールが届いたとき、まず浮かぶのはこの疑問です。件名に【重要】とあると、指が止まる。

「【重要】アカウントが停止されました」「未納料金があります。至急お支払いください」。こういう件名は実際に出回っています。使った覚えのないサービス名だったり、逆にいつも使っているサイトの名前だったりする。だから迷います。

この記事では、届いたメールがフィッシング詐欺かどうかを自分で切り分ける手順をまとめました。見るところは送信元ドメインと、公式サイト側の通知の2か所です。もう踏んでしまった場合にやることも最後に書いています。

いきなり届いたメールはフィッシング詐欺と決まったわけではない

届いた時点では、詐欺確定でも正規確定でもありません。まだ判別する前の状態です。ここを混ぜてしまうと、本物の通知を消したり、偽物を信じたりする両方が起きる。まずは「これから確かめるもの」として扱います。

よく出回っている件名には型があります。「会員情報を更新できませんでした（自動配信メール）」。「アカウントに異常なログインがありました」。どれも緊急性を煽る作りです。読んだ人を数秒で焦らせて、リンクを踏ませるのが目的になります。

そして、こういうメールは流出したアドレスの一覧に向けて無差別に送られます。つまり、そのサービスと契約していなくても届く。「登録した覚えがないのに届いた＝乗っ取られた」ではないです。

もうひとつ大事なのが、開封とクリックは別の話だということ。リンクを踏んだり、添付ファイルを開いたり、情報を入力したりしなければ、被害の入口には入っていません。ただし、HTMLメールを開くとアドレスが有効だと判定される仕組みもあります。これは送信側の作り次第なので、断定できない部分が残ります。

送信元ドメインで見分ける手順

差出人の欄に出ている名前は「表示名」です。ここは送る側が自由に設定できます。だから「Amazon」でも「〇〇銀行カスタマーサポート」でも、文字としては誰でも書ける。表示名を見て安心するのは、いちばん外しやすいポイントになる。

見るのはメールアドレス本体です。表示名をタップまたはクリックすると、＠から始まる本当のアドレスが出てきます。＠より後ろが「ドメイン」です。そのメールがどこから出たかを示す部分になります。ここを公式ドメインと突き合わせる。ぱっと見ではなく、一文字ずつです。

個人的には、判断に迷ったらまず送信元ドメインから見るのがいちばん話が早いと思っています。文面を何度読み返しても答えは出ないので。

綴りを1文字だけ変える型：「rn」を「m」に見せる、「l」を「1」にするなど
公式ドメインの後ろに別の文字列をつける型：公式名.example-security.com のような形
公式名がドメインではなくアカウント名側にある型：公式名@フリーメールのドメイン
ドメイン自体は無関係な英数字の羅列になっている型

公式ドメインが分からないときは、そのサービスの公式サイトのヘルプページを見ます。「当社からのメールの送信元アドレス」として一覧を出している会社が多いです。

偽サイトへの誘導かを確かめる4つのチェック

宛名が個人名になっているか。「お客様」だけで終わっていないか
リンク先のURLが正規ドメインか。短縮URLでごまかしていないか
公式アプリや公式サイトの通知センターに、同じお知らせが出ているか
マイページにログインして、本当にアカウント停止や未払いの表示があるか

リンク先のURLは、スマホなら長押し、パソコンならマウスを乗せると表示されます。ここで別ドメインに飛ぶようなら、その先は偽サイトです。短縮URLになっていて行き先が読めない場合は、それ自体を判断材料にしていい。

そして4つのうち、いちばん確実なのが最後の2つです。メール内のリンクは踏まず、ブックマークか検索から公式サイトへ入る。そこから直接ログインして、通知センターとマイページを見る。本物の通知なら、必ずサービス側にも同じ内容が残っています。

逆に、文面の日本語だけで決めるのは今はもう厳しいです。以前は機械翻訳っぽい不自然な文が目印になりました。ただ、生成AIで自然な日本語がいくらでも作れます。読みやすさは判断の根拠になりません。

断定できること、断定できないことを分けて考える

たとえば、公式ドメインと1文字違う送信元から届いた。リンク先が公式とまったく別のドメインだった。公式サイトにログインしても同じ通知がどこにもない。ここまで揃えば、フィッシング詐欺だと断定していい材料になる。

一方で、断定できない例もあります。「件名が【重要】で強い」「文面がなんとなく不自然」。これだけでは正規メールの可能性を消せません。実際、本物の自動配信メールも似た書き方をします。届いたメールが特定の企業からの正規メールかどうかは、外から検索しても確定しない領域です。だから自分の手で送信元とサービス側の表示を突き合わせる必要がある。

逆方向も同じです。文面がきれいでも、宛名が個人名でも、それだけで安全とは言えません。フィッシング詐欺の目的は個人情報の搾取です。読みやすさは、その目的とまったく関係ない。

判断がつかない間の線引きはシンプルで、入力欄に何も打たないことです。IDもパスワードもカード番号も、確信が持てるまでは打たない。見るだけなら戻れます。