「これ、本物のメール？それとも迷惑メール？」受信ボックスを開いて、指が止まる瞬間があります。件名には【重要】、本文には「アカウントを凍結しました」。心当たりがないのに、妙に急かしてくる。
大手の通販サイトや銀行、動画のサブスク（月額サービス）を名乗るメールが多いです。リンクを押すべきか、無視していいのか。そこで迷って検索した人向けに書きます。
この記事で分かるのは3つ。件名や文面だけで断定できる範囲。送信元ドメインとリンク先URLの見方。そして、リンクを押さずに本物か確かめる手順です。うっかり入力してしまったときの動きも最後に書きます。
そのメールがフィッシング詐欺かどうか、断定できることとできないこと
まず言い切れることから。「緊急性を煽る表現でリンクへ誘導する」という形は、フィッシング詐欺の典型的な作りです。フィッシング詐欺とは、本物そっくりの偽サイトに誘導して情報を盗む手口のこと。アカウント停止、未払い、利用制限。こうした言葉で相手を急がせ、その勢いのままリンクを踏ませる。この構造そのものが、詐欺メールの設計図になっている。
一方で、断定できないこともあります。届いたそのメールが本当にその企業から出たものかどうか。これは文面を読むだけでは決まりません。実在するサービスも、料金の確認や更新のお知らせを普通に送ってきます。件名が似ているという理由だけで、白にも黒にもできない。
「開いた時点でもう終わり」という話もよく見ますが、そこは分けて考えたほうがいいです。HTMLメール（画像や装飾が入った形式のメール）には、画像を読み込むと開封が送信側に伝わる作りがあります。ただし、それと個人情報を入力してしまうことは別の話。開封そのものと、IDやカード番号を打ち込む行為は、まったく重さが違います。
よくある件名と文面の特徴を、迷惑メール側から見てみる
実際に出回っている件名には、はっきりした型があります。よく使われるのはこのあたり。
- 【重要】アカウントの異常を検知しました
- 【重要】サブスクリプション更新のお知らせ
- お支払い方法の確認が必要です
- アカウントを凍結しました
- 【重要】会費請求エラーとお支払い方法更新のお願い
文面のほうにも共通点があります。宛名が「お客様各位」「お客様」など、誰にでも当てはまる呼びかけになっているケース。本来なら登録した氏名が入るはずの場所が、ぼんやりしています。日本語の言い回しがわずかに不自然なこともある。途中でフォントや文字サイズが崩れている型もあります。
メールではなくSMS（ショートメッセージ）で来る型もあります。「未払い料金があります」と書かれ、法的措置という言葉をちらつかせてくるもの。短い文面のぶん、リンクだけが目立つ作りになっています。
ただし、こうした細かい違和感だけで本物・偽物を決めつけないほうがいいです。正規のメールでも配信システムの都合で表示が崩れることはあります。逆に、最近の詐欺メールは日本語がかなり自然です。文面の印象は参考程度にとどめます。
送信元ドメインとリンク先URLの見方（ここが判断の中心）
判断の軸になるのは、文面ではなく2か所です。送信元ドメインと、リンク先URLになる。
まず知っておきたいのが、送信者名（表示名）は自由に書き換えられるという点。メール一覧に大手企業の名前がきれいに並んでいても、それは差出人が自分で入力した文字列にすぎません。表示名だけで信じるのは、封筒に書かれた名前だけで中身を信用するのと同じです。
見るのはメールアドレスの「@」より後ろ。ここが送信元ドメインです。スマホのメールアプリだと表示名しか出ていないことが多い。その場合は送信者の部分をタップして詳細を開きます。すると本当のアドレスが出てくる。
- 送信元ドメインが、公式サイトのドメインと最後の文字まで一致しているか
- 公式の名前に余計な単語や記号が足されていないか（ハイフンや数字が挟まっている型が多い）
- ドメインの末尾部分が、公式のものと違っていないか
- 本文のリンクは、長押し（パソコンならカーソルを重ねる）で飛び先のURLを先に見る
- リンク先URLの最初のほうに出てくる文字列が、公式ドメインかどうか
とにかく、タップして開いてから判断しない。偽サイトは見た目が本物そっくりに作られます。ロゴも配色もログイン画面の配置も、並べても分からないレベルで再現されている。画面の見た目で見破ろうとするのは、そもそも勝てない勝負です。
リンクを踏まずに本物か確かめる手順
例えば、通販サイトを名乗るメールで「アカウントを停止しました」と告げられたとします。本当に停止されていたら困る。だからこそリンクを押したくなるわけですが、確かめる道は別にあります。
- メール内のリンクやボタンは押さない。メールはいったん置いておく
- ブラウザのブックマーク、または公式アプリからそのサービスにログインする
- 公式マイページのお知らせ欄を開き、同じ内容の通知が来ているか確認する
- 見当たらなければ、そのメールは削除して終わりにする
本当にアカウントに何か起きているなら、公式マイページ側にも必ず案内が出ます。逆にメールにしか書かれていない緊急事態は、それだけで説明がつく。反映に少し時間がかかることもあります。数分ほど置いて、もう一度見るくらいで十分です。
個人的には、「メール内のリンクは押さない」という1点だけ先に決めておくとラクだと感じています。判断を都度やると疲れる。入口を一つ塞いでおくほうが早いです。
うっかり入力してしまったときと、相談できる窓口
もうIDとパスワードを入れてしまった。そういうときは、順番があります。最初にやるのは公式サイトからのパスワード変更です。メールのリンクからではなく、ブックマークか公式アプリから入り直して変更する。ここを先に片づけないと、盗まれた情報がそのまま使える状態のままになる。
続けて二要素認証を有効にします。パスワードに加えて、スマホに届くコードなどでもう一度確認する仕組みのことです。これを入れておくと、パスワードを知られただけでは中に入れません。設定はアカウントのセキュリティ欄にあることが多いです。
カード番号を入力してしまった場合は、カード会社への連絡が必要です。カードの裏面か公式アプリに問い合わせ先が載っています。利用停止や再発行の対応をしてもらう。身に覚えのない請求がないかも、そのとき一緒に見てもらえます。
なお、届いたメールへの返信と、添付ファイルの開封はしないでおきます。返信するとアドレスが生きていると伝わる。判断に迷う型のメールが増えたときは、公的な情報をあたるのが早いです。迷惑メール相談センター（日本データ通信協会）は https://www.dekyo.or.jp/soudan/。フィッシング対策協議会は https://www.antiphishing.jp/。どちらも、実際に出回っている手口が随時まとめられています。
まとめ
メールの文面をどれだけ読み込んでも、答えは出にくいです。判断材料は文章の外側にある。
- 結論：緊急性を煽る表現でリンクへ誘導するメールは、フィッシング詐欺の型に当てはまります。ただし文面だけでは差出人を断定できません。見るべきは送信元ドメインとリンク先URLです
- 次にやること：メール内のリンクを押さず、公式アプリかブックマークから公式マイページを開く。同じ通知があるか確認する。入力してしまったならパスワード変更と二要素認証を先に片づける
- 覚えておくこと：送信者名（表示名）は書き換えられます。偽サイトは見た目が本物そっくりに作られる
見るのは送信元ドメインとリンク先URL、そして公式マイページの通知欄。この3か所で、緊急性を煽るフィッシング詐欺のメールはだいたい振り分けられます。
