怪しいメールは、送信元・要求内容・リンク・添付ファイル・急かし方を確認し、迷ったらメール内から手続きしないのが基本です。
2026年はAmazonやAppleなど身近なサービスを装うフィッシングが続き、文章や見た目だけで本物を見抜くことは難しくなっています。重要な確認は、公式アプリや自分で登録したブックマークから行いましょう。
怪しいメールの見分け方は？まず確認したい5つの危険サイン
怪しいメールを見分けるときは、「誰から来たか」だけではなく、「何をさせようとしているか」まで見ることが大切です。
フィッシングとは、実在する企業やサービスなどを装い、偽サイトへ誘導してID・パスワード、クレジットカード情報などを盗み取ろうとする行為です。
フィッシング対策協議会が2026年8月17日に公表した「2026/07 フィッシング報告状況」によると、2026年7月だけで66,119件のフィッシング報告が寄せられました。確認されたフィッシングサイトのURLは43,267件、悪用されたブランドは101ブランドです。アンチフィッシング
報告全体ではAmazonをかたるものが約37.0％、Appleが約11.8％、セゾンカードが約7.7％でした。JCB、イープラスを加えた上位5ブランドだけで、報告全体の約68.6％を占めています。アンチフィッシング
つまり、警戒すべきなのは「聞いたことのない会社から来るメール」だけではありません。
普段から使っている有名なサービスほど、名前を見た瞬間に安心しないことが重要ですね。
まずは次の5項目を確認しましょう。
| 確認するところ | 注意したいサイン |
|---|---|
| 送信元 | 見覚えのないアドレス、不自然な文字列 |
| 件名・本文 | 「至急」「停止」「未払い」など、強く急かす表現 |
| 要求内容 | パスワード、カード番号、認証コードなどを求める |
| リンク | メールからログインや支払いをさせようとする |
| 添付ファイル | 心当たりのない書類、圧縮ファイル、アプリなどが付いている |
ただし、一つ当てはまっただけで詐欺と断定する必要はありません。
反対に、文章が自然で送信元もそれらしく見えるからといって安全とも限りません。一つの特徴で判定するのではなく、複数の要素を見たうえで、迷ったらメールを入口にしないと覚えておくと判断しやすくなります。
Amazonや銀行の名前が表示されても安心しない
メール一覧に「Amazon」「Apple」「カード会社」「銀行」と表示されていると、それだけで本物のように感じます。
しかし、メールに表示される差出人情報だけを頼りに真偽を判断することはできません。フィッシング対策協議会の利用者向けガイドラインでも、メールの差出人情報などは詐称できるため、それだけで真偽を見抜くことは難しいと説明されています。アンチフィッシング
さらに、2026年7月に調査用メールアドレスへ届いたフィッシングメールでは、実在するサービスのメールアドレスやドメイン名を差出人に使った「なりすまし」が約26.5％確認されました。アンチフィッシング
ですから、送信者名だけでなく実際のメールアドレスを確認することは大切ですが、それでも「アドレスが本物らしいから安全」とは言い切れません。
家電販売店で15年以上、スマートフォンやパソコンの操作相談を受けてきましたが、「会社名が表示されていたので本物だと思った」という相談は珍しくありませんでした。
私は、「送信元は確認する。ただし、送信元だけでは決めない」という覚え方をおすすめします。
「至急」「停止」「未払い」と書かれていたら、逆に急がない
フィッシングメールでは、不安や焦りを利用してその場で操作させようとする文面が使われます。
たとえば次のような内容です。
- アカウントを停止しました
- お支払いを確認できません
- 不正利用を検知しました
- 本人確認が必要です
- ポイントやマイルの期限が切れます
- 商品を配達できませんでした
- 返金手続きが必要です
- 今すぐ確認してください
2026年7月にも、注文・商品配達・返金、決済情報の更新、不正利用検知、本人認証、ポイントやマイルの有効期限、アンケート回答依頼などを装う文面が多く報告されています。アンチフィッシング
もちろん、本物の企業から重要なお知らせが届くこともあります。
大切なのは、「急かしているから偽物」と決めることではなく、そのメールからログイン・支払い・個人情報入力へ進ませようとしていないかを見ることです。
「カードを停止しました」と書かれていても、メールのボタンから確認する必要はありません。
カード会社なら公式アプリ、Amazonなら普段使っているAmazonアプリ、銀行なら銀行の公式アプリを自分で開けば確認できます。
怪しいメールのURLはどう確認する？httpsや鍵マークだけでは判断できない
怪しいメールでは、表示されているボタンの文字と、実際に移動するWebサイトが一致しているとは限りません。
「お支払い情報を確認する」「本人確認はこちら」と表示されていても、その先が偽サイトという場合があります。
パソコンでは、リンクにマウスポインターを重ねると移動先のURLを確認できることがあります。
ただし、URLを確認するためにわざわざクリックする必要はありません。
スマートフォンも機種やアプリによってリンク先を確認できる場合がありますが、操作に慣れていないなら、無理にURLを調べる必要はないと私は考えています。
確認したいサービスがあるなら、そのメールはいったん閉じて、公式アプリや自分で保存したブックマークを開くほうが簡単だからです。
httpsや鍵マークは「正規サイトの証明」ではない
ここは特に勘違いしやすいポイントです。
「https://」で始まっている、あるいはブラウザーに鍵マークが表示されているからといって、そのサイトがAmazonや銀行などの正規サイトだと決まるわけではありません。
httpsは通信を暗号化するための仕組みです。
たとえるなら、「相手との会話を周囲から聞かれにくくするもの」であって、会話している相手が本当に銀行なのかまで自動的に保証してくれるものではないと考えると分かりやすいでしょう。
フィッシング対策協議会も、Webサイトを確認するときは「https」という表示だけではなく、正規のドメイン名と一致しているかを見るよう案内しています。また、Google Chromeでは現在、httpsのサイトだからといって従来の鍵マークが表示されるわけではなく、ブラウザーによって表示方法も異なります。アンチフィッシング
さらに2026年7月には、短縮URLサービスや正規サービスのドメインを経由してフィッシングサイトへ誘導するケースなどが増加し、報告全体の約25.8％を占めました。アンチフィッシング
こうなると、「URLに会社名が入っているか」「httpsか」といった一つの特徴だけで判断するのは難しくなります。
そのため私は、URLを毎回一文字ずつ見比べるより、重要なサービスへ入るための安全な入口を普段から決めておくほうが、初心者には実践しやすいと考えています。
怪しいSMSにも注意｜宅配便やカード会社を装うスミッシング
注意したいのはメールだけではありません。
SMSを使って偽サイトへ誘導するフィッシングは「スミッシング」と呼ばれます。
2026年7月には、クレジットカードブランド、東京電力、Amazon、AppleなどをかたるSMSのほか、宅配便の不在通知を装った文面がフィッシング対策協議会へ報告されています。アンチフィッシング
たとえば、
- 荷物を届けたが不在だった
- 支払いを確認できない
- アカウントの確認が必要
- カードの利用を停止した
といった短い文章にURLを付けて送る形です。
SMSはスマートフォンの通知に直接表示されるため、「荷物が届かないと困る」「カードが止まったら困る」と反射的にリンクを押してしまいやすいところがあります。
フィッシング対策協議会のガイドラインでも、SMSの送信元が携帯電話番号だから安全とは限らず、正規の発信者か事業者のWebサイトで確認し、事業者が分からない場合はリンクへアクセスしないよう注意を促しています。アンチフィッシング
宅配便なら配送会社の公式アプリ、カードならカード会社のアプリなど、SMSとは別の入口から確認する習慣をつけておきましょう。
怪しいメールを開いた・リンクを押したらどうする？
すでに怪しいメールを開いてしまい、「もう遅いのでは」と心配している方もいるでしょう。
この場合は、どこまで操作したのかを分けて考えると整理しやすくなります。
メール本文を表示しただけの場合
メール本文を表示しただけで、直ちにIDやパスワードを相手へ入力したことになるわけではありません。
まずはそれ以上操作せず、リンクや添付ファイルを開かないようにしましょう。
怪しいと判断したメールは、利用しているメールサービスの迷惑メール報告機能などを使って処理します。
また、パソコンやスマートフォンのOS、ブラウザー、メールアプリを最新の状態にしておくことも大切です。フィッシング対策協議会も、端末やソフトウェアを最新の状態に保つことを安全対策として案内しています。アンチフィッシング
リンクを押したが、何も入力していない場合
まず表示されたページを閉じましょう。
その後、対象となったサービスが心配なら、先ほど開いたページへ戻るのではなく、公式アプリや普段から使っている正規サイトから利用状況を確認してください。
また、リンク先からアプリやファイルをダウンロードするよう求められても、そのままインストールしないでください。
2026年度版の利用者向けガイドラインでも、アプリの開発元・提供元を確認し、iPhoneやiPadではApp Store、AndroidではGoogle Playなど正規のアプリストアを利用することが案内されています。アンチフィッシング
ID・パスワードやカード情報を入力した場合
ここは早めの対応が必要です。
入力した情報に応じて、次のように対応しましょう。
- ID・パスワードを入力した → 正規サイトからパスワードを変更する
- 同じパスワードを他サービスでも使っている → そちらも変更する
- クレジットカード情報を入力した → カード会社へ連絡する
- 銀行口座の情報を入力した → 金融機関へ相談する
- 認証コードを入力した → 該当サービスへ速やかに相談する
- 金銭的な被害が確認された → 警察などへ相談する
- 会社の端末だった → 情報システム・セキュリティ担当者へ報告する
フィッシング対策協議会も、重要情報を入力してしまった場合は、金融機関、クレジットカード会社、ショッピングサイトなど関係する事業者へ連絡し、入力したパスワードを変更するよう案内しています。アンチフィッシング
会社のパソコンやスマートフォンの場合は、「自分で直してから報告しよう」と考えないことも大切です。
何を開いたのか、何を入力したのかをそのまま伝えたほうが、担当者は次の対応を判断しやすくなります。
2026年の怪しいメール対策は「見破る」より「入口を固定する」
ここからは、2026年のフィッシング動向を踏まえた私の考えです。
以前は、「日本語が不自然」「URLがおかしい」「知らない送信元」といった違和感から迷惑メールを見抜く方法がよく紹介されていました。
もちろん、こうした見分け方は今でも役立ちます。
ただ、「不自然なところを探せば見破れる」という前提だけに頼るのは、難しくなっていると感じます。
フィッシング対策協議会が2026年6月1日に公開したガイドラインでも、近年は生成AIを活用した自然な文章や、個別に調整されたメッセージによって攻撃が巧妙化し、従来の「不自然な日本語」を手掛かりにした判別が難しくなっていると説明されています。アンチフィッシング
さらに2026年7月は、フィッシング報告件数が前月より6,251件、約8.6％減って66,119件となった一方、確認されたフィッシングサイトのURLは1,026件増え、43,267件となりました。アンチフィッシング
私は、この数字の組み合わせに注目しています。
「報告件数が減った＝手口が単純になった、安心できるようになった」という意味ではないからです。
実際、同協議会は、攻撃者が受信者の反応や対策のすり抜け状況を見ながら試行錯誤し、メール文面やかたるブランドを数日単位で変更していると分析しています。アンチフィッシング
そこで、怪しいメールに遭遇したときは、質問を一つ変えてみてください。
「このメールは本物かな？」ではなく、「このメールを使わずに確認できないかな？」と考える。
Amazonの支払いならAmazonアプリを開く。
カードの利用確認ならカード会社のアプリを開く。
銀行なら銀行アプリを開く。
宅配便なら配送会社の公式アプリや、以前から使っている公式サイトを開く。
こうすれば、相手の文章力やデザインの巧妙さと毎回勝負する必要がありません。
2026年度版の利用者向けフィッシング詐欺対策ガイドラインでも、新たに「フィッシング被害を防ぐ3つの基本行動」が示されています。
内容は、「技術で守る」「入力する前にひと呼吸」「迷ったら相談する」という考え方です。特に、メールやSMSのリンク先ではID・パスワードや個人情報を入力せず、ブックマークや公式アプリから開くことが勧められています。アンチフィッシング
これは、初心者にとって非常に実践しやすい考え方だと私は感じます。
家電販売店で15年以上、スマートフォンやパソコンの相談を受けてきましたが、「URLのドメインを一文字ずつ確認してください」と説明すると、それ自体が難しく感じられる方も少なくありませんでした。
その点、「大切な手続きはメールから始めない」というルールなら、Amazonでも銀行でもカードでも宅配便でも応用できます。
さらに、利用できるサービスではパスキーや多要素認証、パスワード管理機能を活用しておくと、「自分の注意力だけ」に安全を任せずに済みます。
2026年度版ガイドラインでも、IDとパスワードだけの認証では十分とはいえないとして、パスキーやワンタイムパスワード、アプリの生体認証など、サービス側が提供するセキュリティ機能の活用が勧められています。アンチフィッシング
もう一つ覚えておきたいのが、「届いた連絡とは別の経路で確かめる」という方法です。
仕事で突然振り込みを指示されたなら、普段使っている電話番号や社内の連絡手段で本人に確認する。
家族や知人を名乗る連絡なら、そのメールやSMSに書かれた番号ではなく、以前から知っている連絡先へ自分から連絡する。
メールに勝つために、毎回セキュリティの専門家になる必要はありません。
「急がされても、そのメールから動かない」ことを自分のルールにする。
私は、この「安全な入口を固定する」という考え方のほうが、手口が変化しても使い続けやすい対策だと考えています。
まとめ｜怪しいメールは「急いで押さず、公式から確認」
怪しいメールの見分け方では、まず送信元、要求内容、リンク、添付ファイル、急かす表現を確認しましょう。
ただし、2026年7月にはAmazonやAppleなど有名サービスをかたるフィッシングが多数報告され、実在サービスのメールアドレスやドメイン名を差出人に使ったなりすましも確認されています。アンチフィッシング
そのため、自然な日本語、企業名、見慣れた差出人、httpsなど、一つの特徴だけで安全かどうかを判断するのは避けたほうがよいでしょう。
そして、いちばん覚えておいていただきたいのは、怪しいメールを完璧に見破る必要はないということです。
少しでも迷ったら、メールやSMSのリンクから操作せず、公式アプリや自分で登録したブックマークから確認する。
「至急」と書かれているほど、こちらは急がない。
この習慣を一つ決めておくだけでも、怪しいメールが届いたときに「何をすればいいのか」が整理しやすくなりますね。
よくある質問
怪しいメールは開いただけで危険ですか？
本文を表示しただけで、直ちにIDやパスワードを相手へ渡したことになるわけではありません。
それ以上リンクや添付ファイルを操作せず、怪しいと判断したら迷惑メールとして処理しましょう。あわせてOSやアプリを最新の状態に保っておくことも大切です。アンチフィッシング
送信元がAmazonや銀行なら本物ですか？
企業名やメールアドレスだけでは判断できません。
2026年7月に調査用メールアドレスへ届いたフィッシングメールでは、実在サービスのメールアドレスやドメイン名を差出人に使ったなりすましが約26.5％確認されています。重要な確認は、メール内ではなく公式アプリなどから行いましょう。アンチフィッシング
怪しいメールのリンクを押してしまったらどうすればいいですか？
何も入力していなければページを閉じ、公式アプリや正規サイトからアカウント状況を確認しましょう。
ID・パスワードを入力した場合は正規サイトから変更し、カード情報ならカード会社、銀行情報なら金融機関へ速やかに相談してください。会社の端末であれば、社内の情報システムやセキュリティ担当者にも報告しましょう。アンチフィッシング
執筆：白石誠（デジタルたすけの案内役）
コメント