Pontaメールの偽CAPTCHA、閉じただけなら大丈夫？

Pontaポイントのキャンペーンメールだと思って、リンクを開きました。すると「私はロボットではありません」のチェック画面だけが出てきました。そんな場面で、思わず手が止まった人は多いです。

怪しいと感じてチェックせずにブラウザを閉じたものの、本当に大丈夫だったのか気になりますよね。Geminiに聞くと「チェックせず、登録せず、ダウンロードもしていなければ大丈夫」と返ってきました。ただ、それをそのまま信じていいのか迷っている人もいます。

この記事では、その画面の正体である偽CAPTCHAの仕組みを説明します。そのうえで、閉じただけで言えること・言えないことを分けて書きます。最後に、念のため見ておきたい端末の場所も3つまとめました。

「私はロボットではありません」だけの画面は偽CAPTCHAの入り口

そもそも本物のreCAPTCHAは、ロボットかどうかを見分けるGoogleの仕組みです。ふつうはログイン画面や申し込みフォームの途中に出てきます。リンクを開いた直後に、その画面だけがぽつんと表示されることはあまりありません。

偽CAPTCHAは、本物の画面に似せて作った見た目だけのページです。これはソーシャルエンジニアリング（人の思い込みを利用してだます手口）の一つです。「見慣れた画面だから安全」という感覚につけ込んできます。偽CAPTCHAによくある特徴は、次の3つです。

👉 関連：WhatsApp「Metaの安全なサービスを利用して」は詐欺？

画面にチェックボックスしかなく、ほかの文章やメニューが見当たらない
アドレスバーのURLが、公式サイトのもの（ponta.jpなど）と違う
チェックした後に、キーボード操作など別の指示が出る

なお、今回のメールがPonta公式から送られたものか、なりすましかはまだ分かっていません。公式からの発表は見当たりません（2026-10-25時点）。ただし、メールが本物かどうかに関係なく、この画面の出方そのものが不自然です。

クリックフィックスの手口は「チェックした後」に始まる

偽CAPTCHAの多くは、チェックしたところから本番が始まります。たとえば、こんな流れです。

「私はロボットではありません」にチェックを入れる
「認証を完了するには、Windowsキー+Rを押してください」のような指示が出る
続けて「貼り付けてEnterを押してください」と案内される
自分の手で、悪いコマンド（パソコンへの命令文）を動かしてしまう

この手口はクリックフィックスと呼ばれています。チェックボックスをクリックした時点で、裏で悪いコマンドがコピーされる仕組みです。あとは本人に実行させるだけ。本人が自分で操作するので、ブラウザの警告にも引っかかりにくいのが厄介なところです。

見分けるポイントは、指示が「クリックするだけ」で終わるかどうかだと個人的には感じています。「キーボード操作やファイル実行」まで求めてきたら、まず偽物です。本物のreCAPTCHAが、キーボードでのコマンド入力を求めることはありません。一方で今回は、チェックもキー操作もしないまま閉じています。つまり、この流れのスタート地点にすら立っていないということです。

閉じただけで断定できること・断定できないこと

チェックもキー操作も入力もしていなければ、クリックフィックス型のマルウェア感染の手順は進んでいません。

さっきの流れのとおり、この手口は本人が操作して初めて動きます。チェックしていないので、コマンドのコピーも起きていない状態です。

一方で、断定できないこともあります。アクセスしたURLが、改ざんされた正規サイトだったのか、最初から作られた偽サイトだったのかは分かりません。ブラウザが最新の状態だったかどうかも、この情報だけでは判断できない部分です。

そのうえで、Geminiの「チェックせず、登録せず、ダウンロードもしていなければ大丈夫」という答えを見てみます。これは大筋で合っていると見るのが自然です。ただし、「ブラウザを閉じたから全部安全」という意味ではありません。もしメールアドレスやパスワードを入力していたり、何かのファイルをダウンロードしていたりしたら、話は別です。その場合は、パスワードの変更など別の対応が必要になります。

マルウェア感染がないか、念のため見ておく3か所

①ダウンロードフォルダ：身に覚えのないファイル（とくに .exe や .zip など）がないか
②ブラウザの履歴と設定：最初に開くページや拡張機能（ブラウザに追加する小さな機能）が勝手に変わっていないか
③セキュリティソフト：手動でフルスキャン（端末全体の検査）をかける

やることは3つだけです。ダウンロードフォルダは、ファイルを日付の新しい順に並べると、リンクを開いた日のファイルがすぐ分かります。

ブラウザの履歴では、閉じた前後に知らないサイトが勝手に開かれていないかを見てください。拡張機能の一覧に、入れた覚えのないものがあれば削除しましょう。

端末の動作が急に重くなっていないか、知らないポップアップが何度も出ていないかも、あわせて見ておくと安心です。フルスキャンは時間がかかることもあるので、手が空いているときに始めるのがおすすめです。

Pontaを名乗るフィッシング詐欺メールの見分け方

いちばん分かりやすいのは、リンク先のURLです。Pontaの公式サイトは、ponta.jpのドメイン（サイトの住所）を使っています。「ponta」の文字が入っていても、後ろに別の文字列が続く似たアドレスは別物と考えてください。

送信元アドレスも確かめましょう。メールアプリに出る表示名は、誰でも自由に「Ponta」などと名乗れます。表示名ではなく、@の後ろのアドレス部分まで開いて見るのがコツです。

ブラウザ側のヒントもあります。ページを開いたときに「危険なサイト」のような警告が出たら、その時点で閉じて問題ありません。むしろ、警告を無視して先へ進むボタンを押さないことのほうが大事です。

迷ったときは、公的な相談先も使えます。IPA（情報処理推進機構）のサイトには、手口の解説や相談窓口の案内が載っています。総務省の「国民のためのサイバーセキュリティサイト」も、フィッシング詐欺の基本をおさらいするのに役立つサイトです。

まとめ

今回のポイントを3つに絞ります。

結論：チェックもキー操作もせずに閉じたなら、偽CAPTCHAからクリックフィックスに進む手順は止まっています
次にやること：ダウンロードフォルダ・ブラウザ履歴と拡張機能を確認して、セキュリティソフトでフルスキャンをかける
覚えておくこと：本物のreCAPTCHAが「Windowsキー+R」や「貼り付けてEnter」を指示することはありません

Pontaのキャンペーンを名乗るメールから、「私はロボットではありません」だけの画面に飛ばされることがあります。それは偽CAPTCHAを疑うサインです。チェックの後にキーボード操作を求められたら、クリックフィックスだと覚えておきましょう。そうすれば、次に同じ画面を見ても迷わずに閉じられます。