テック羅針盤
ツール活用

フィッシングメールを見分ける確認手順

不審なメールやSMSを受け取ったとき、差出人、リンク、添付ファイル、公式アプリを順に確認し、情報を入力した後の初動まで迷わず進める手順です。

公開日
  • #フィッシング
  • #メール
  • #SMS
  • #セキュリティ
  • #チェックリスト

「アカウントを停止します」「荷物を持ち帰りました」「支払い方法を更新してください」。このようなメールやSMSが届くと、内容が気になってすぐリンクを開きたくなります。しかし、表示されている企業名、ロゴ、差出人名、自然な日本語だけでは、本物かどうかを確定できません。

フィッシングは、実在するサービスを装ったメッセージから偽サイトへ誘導し、ID、パスワード、カード情報などを入力させる手口です。大切なのは、怪しい言い回しを暗記することではなく、メッセージの中で確認を完結させないことです。この記事では、受信してから真偽を確かめるまでを7段階に分け、最後に家族で使えるチェック表へまとめます。

1. フィッシングの典型的な誘導を知る

典型的なメッセージは、受信者を急がせ、考える時間を短くしようとします。

  • 「本日中に確認しないと利用停止」と期限を強調する
  • 不正アクセス、未払い、返金、当選など、不安や期待を刺激する
  • 宅配の再配達や行政手続きなど、日常的な用件を装う
  • 本文のリンク、添付ファイル、記載された電話番号へ誘導する
  • ID、パスワード、ワンタイムパスワード、カード情報の入力を求める

ただし、誤字がない、注文や配達に心当たりがある、実在企業のロゴがある、といった理由だけで本物とは判断できません。政府広報オンラインも、正規のメッセージやサイトをコピーした偽物が多く、見た目での判断は難しいと説明しています。

最初の判断は「偽物だと断定できるか」ではなく、「このメッセージとは別の経路で事実を確認する必要があるか」です。少しでも迷ったら、返信、リンクのタップ、添付ファイルの開封、電話をいったん止めます。メールやSMSを表示しただけなら、慌てて端末を初期化する必要はありません。IPAは、不審なメッセージを開いただけでは被害は発生せず、リンク先を開いても情報入力やアプリのインストールなどをしていなければ、基本的には被害は発生しないと案内しています。

2. 差出人と返信先を確認する

まず、差出人名だけでなくメールアドレス全体を表示します。スマートフォンでは差出人名をタップすると詳細が開く場合があります。次の点は警戒材料です。

  • 企業名と送信元アドレスのドメインが明らかに対応していない
  • 文字の置き換えや余分な単語があり、公式ドメインに似せている
  • 送信元と「返信先（Reply-To）」が異なり、説明もない
  • 普段の連絡先と違う個人用アドレスから届いている
  • 本文が、メールへの返信や別の連絡先への送信を急がせる

ただし、送信元アドレスが正しく見えても合格ではありません。警察庁は、メールの送信元名称や送信元アドレスは変更が容易で、それだけで真偽を判断することは困難だと注意しています。逆に、配信代行サービスなどのため、見慣れないアドレスが直ちに詐欺だとも限りません。

したがって、差出人確認は「怪しい点を見つける検査」であり、「本物だと証明する検査」ではありません。問い合わせが必要でも、本文に書かれた返信先や電話番号は使わず、自分で保存していた連絡先や公式サイトに掲載された窓口を使います。

3. リンク先を開く前に調べる

リンクの表示文字と実際の移動先は異なることがあります。パソコンではポインターを重ね、スマートフォンでは長押しすると移動先を確認できる場合がありますが、誤って開かないよう注意してください。短縮URL、見慣れない文字列、企業名に似せた別ドメインは警戒材料です。

一方で、URLを目視して「正しそう」と判定するだけでは不十分です。警察庁は、リンクの偽装や正規サイトに似たドメインがあるため、見た目で真偽を判断するのは非常に困難だとしています。httpsや鍵の表示も、通信が暗号化されていることを示す材料であって、運営者が正規企業である保証にはなりません。

安全側の手順は次のとおりです。

  1. メッセージ内のリンクを開かない。
  2. いつも使う公式アプリを自分で起動する。
  3. アプリがなければ、事前に登録したブックマークから公式サイトを開く。
  4. ブックマークもなければ、契約書、カード裏面、公式店舗など信頼できる資料から公式URLを確認する。
  5. ログイン後のお知らせ、注文履歴、請求、配送状況に同じ用件があるか調べる。

検索結果には広告や偽サイトが混ざる可能性があるため、「検索結果の一番上だから公式」とは決めません。確認中も、メール本文のURL、QRコード、電話番号へ戻らないことが重要です。

4. 添付ファイルを安全に扱う

心当たりのない添付ファイルは開かず、保存やプレビューもしないのが基本です。請求書、履歴書、苦情、配達票など、仕事上または生活上「開かなければ困る」と感じる題名でも、安全とは限りません。

特に、実行形式のファイル、ショートカット、スクリプト、マクロを有効にするよう求めるOffice文書、内容を確認するために別のソフトやアプリの導入を要求するファイルは、その場で操作を止めます。IPAは、文書のようなアイコンに偽装されたLNKショートカットや、それを格納したパスワード付きZIPが悪用された事例を案内しています。拡張子やアイコンだけでも安全性は証明できません。

業務上どうしても確認が必要なら、送信者へ別経路で送付の事実とファイル名を確認し、勤務先の情報システム担当者へ報告します。「ウイルス対策ソフトが反応しなかったから安全」とは判断しません。自宅の端末でも、送信者への確認が取れなければ開かず、公式窓口へ相談します。

誤って開いた後に、アプリのインストール、マクロの有効化、警告の解除、パスワード入力などを求められた場合は先へ進みません。業務端末では自己判断で再起動や削除をせず、画面の内容、受信時刻、送信元、行った操作を記録して管理担当者へ連絡します。

5. 公式アプリから事実を確認する

メールを精密に鑑定するより、正規の入口から用件の有無を確認する方が確実です。IPAと警察庁はいずれも、メッセージ内のURLや電話番号を使わず、公式サイトや公式アプリから確認する方法を勧めています。

たとえば「カードの支払いに失敗した」という通知なら、カード会社の公式アプリを直接開き、利用明細や登録情報を確認します。「荷物を持ち帰った」なら、以前から使っている配送会社の公式アプリや正規サイトへ、自分で控えている追跡番号を入力します。メールと同じ警告が公式画面になければ、メール側の操作は続けません。

公式画面にも問題が表示された場合は、その画面内の正規手順で対応します。メールのリンクへ戻る必要はありません。判断できないときは、カード裏面、契約書、公式アプリ内にある窓口へ連絡します。家族や同僚に見てもらう場合も、怪しいリンクを転送して開かせず、スクリーンショットや文面を共有して相談します。

日常の備えとして、よく使うサービスは公式アプリまたは確認済みブックマークから開く習慣をつけます。パスワードの使い回しをやめ、多要素認証やパスキーが利用できるサービスでは設定を検討します。パスキーの特徴は、既存記事「パスキーはパスワードより安全？仕組みを解説」で詳しく整理しています。

6. 情報を入力してしまった直後に対応する

入力後は、恥ずかしさから様子を見るより、入力した情報の種類ごとに動く方が被害を抑えやすくなります。

  1. ID・パスワード：怪しいページではなく、公式アプリや保存済みブックマークから正規サービスを開き、直ちにパスワードを変更します。同じパスワードを使っている全サービスも、それぞれ異なるものへ変更します。今後の使い回しを防ぐ方法は「パスワード管理アプリの始め方」で確認できます。
  2. ワンタイムパスワードや認証操作：公式窓口へ連絡し、ログイン履歴、登録端末、転送設定、復旧用メールアドレスなどに不審な変更がないか確認します。可能なら他の信頼できる端末から操作します。
  3. カード情報や口座情報：カード会社や金融機関の公式窓口へ速やかに連絡し、利用停止など必要な対応を確認します。利用明細と口座の動きも継続して確認します。消費者庁も、身に覚えのない請求があればすぐカード会社へ連絡するよう案内しています。
  4. 添付ファイルの実行やアプリの導入：業務端末はネットワーク接続を含め、勤務先の手順に従って管理担当者へ直ちに報告します。個人端末も、提供元が確認できないアプリを操作せず、IPAなどの相談窓口へ相談します。
  5. 被害や不審な取引を確認：サービス提供会社に相談し、最寄りの警察署または警察庁のオンライン窓口へ通報・相談します。メッセージ、URL、時刻、入力した項目、行った操作を消す前に記録します。

警察庁は、入力したID・パスワードを使うすべてのサービスで速やかに変更すること、金融機関やカード会社など被害に遭ったサービスの提供会社へ相談することを案内しています。金融庁も、銀行を装うメッセージから偽のログイン画面へ誘導し、ID、パスワード、ワンタイムパスワードなどを盗む手口を注意喚起しています。何も入力していない場合と、認証情報や決済情報を入力した場合では必要な初動が異なるため、「リンクを押した」という一言だけで終えず、どこまで操作したかを整理します。

操作した段階ごとの対応まとめ

どこまで操作したかまずすること追加で確認すること
メールやSMSを表示しただけ閉じて削除する同じ用件が公式アプリにあるか確認する
リンクを開いたが、入力やインストールはしていないページを閉じるダウンロード、通知許可、アプリ追加がなかったか確認する
ID・パスワードを入力した正規の入口からパスワードを変更する使い回している全サービス、ログイン履歴、登録情報を確認する
カード・口座・認証情報を入力したカード会社や金融機関の公式窓口へ連絡する利用明細、不審な送金、登録先や認証設定の変更を確認する
添付を実行、アプリを導入、警告を解除した業務端末は管理担当者、個人端末は公的な相談窓口へ連絡する操作内容と時刻を記録し、案内を受けるまで追加操作を控える

この表は初動の目安です。端末やサービスの状況、勤務先の規程によって必要な対応は異なります。特に業務端末では、自己判断でファイル削除や初期化をせず、組織の手順を優先してください。

7. 家族で共有するチェック表

不審なメッセージが届いたら、次の順で確認します。子どもや高齢の家族には、URLの細かな判読を任せるより、「迷ったらリンクを押さず、いつものアプリを開く」と一つの行動にまとめる方が実践しやすくなります。

  • 急がせる文面でも、返信、リンク、添付、電話をいったん止めた
  • 差出人名だけでなくアドレス全体を見た
  • 送信元が正しく見えても、それだけで本物と決めなかった
  • メッセージ内のURL、QRコード、電話番号を使っていない
  • 公式アプリまたは確認済みブックマークから用件を調べた
  • 添付ファイルを開かず、必要なら別経路で送信者へ確認した
  • 入力してしまった情報と、その後に行った操作を記録した
  • パスワード変更、金融機関への連絡、管理担当者への報告など必要な初動を始めた

家族内では、「誰に相談するか」「カード会社や携帯電話会社の公式連絡先をどこで確認するか」も決めておきます。怪しいメッセージを責める材料にせず、早く相談したことを評価する運用にすると、入力後の報告遅れを防ぎやすくなります。

よくある質問

フィッシングメールを開いただけで被害に遭いますか？

IPAは、メールやSMSを開いただけでは被害は発生しないと案内しています。リンク先でも情報入力、アプリのインストール、通知の許可などをしていなければ、基本的には被害は発生しません。ただし、添付を開いた、ファイルを実行した、警告を解除した場合は別の対応が必要です。

httpsや鍵マークがあれば本物ですか？

本物とは限りません。これらは端末とサイト間の通信が暗号化されていることを示す材料ですが、サイトの運営者が正規企業であることまでは保証しません。メッセージ内のリンクを使わず、公式アプリや確認済みブックマークから開いてください。

本物か分からないメールは企業へ転送して確認してもよいですか？

企業が専用の報告先を案内している場合は、その公式手順に従います。家族や同僚へ相談するときは、怪しいリンクをそのまま転送して開かせず、差出人、件名、受信時刻、文面のスクリーンショットなどを共有する方が安全です。

ワンタイムパスワードを入力した後でも、パスワード変更だけで十分ですか？

十分とは限りません。攻撃者がすでにログインしている可能性を考え、公式窓口への連絡に加えて、ログイン履歴、登録端末、転送設定、復旧先、取引履歴を確認します。利用できる場合は、認証アプリやパスキーなどを含む認証方法も見直してください。方式の違いは「二要素認証の方法を比較」で整理しています。

この記事の事実確認には、以下の一次情報・公的情報を使用しました（確認日：2026年7月24日）。