個人情報やカード情報、企業の情報漏洩を狙う偽メール・偽サイトに注意 共通する6つの手口は？【プレバンキング】

2026年夏以降、不正アクセスによる個人情報の大規模な流出が相次いでいます。また、SNSでは「偽メールが届いた」などの報告が多数投稿されています。

日本ファクトチェックセンター（JFC）は、カード会社や宅配業者を装って個人情報やカード情報を盗み取ろうとする偽メールについて、繰り返し注意を呼びかけてきました。同様の事例は、企業や団体名を変えて、繰り返し広がっています。今回は、これまで検証してきた事例に共通する6つの「手口」を紹介します。

この記事は、偽・誤情報の手口を知ることで、同様の情報を目にしたときに騙されにくくする「プレバンキング」という予防的な取り組みです。詳しくは、JFC用語解説「プレバンキング」をご覧ください。

広がりやすい6つの手口

1. 実在の企業になりすます

カード会社や宅配業者など、利用者の多い企業の名前やロゴを使って、公式の通知に見せかける手口です。

2026年10月、三井住友カードを名乗り「お客さまのアカウントに異常な利用を検知いたしました」という偽メールが確認されました。本文には同社のロゴや「Vpassで利用明細を確認」というボタンが並んでいましたが、実際の送信元は同社とは無関係のアドレスでした。メール内のリンクは、どれを押しても同じ偽サイトにつながりました。

JFC.”三井住友カードを装って「異常な利用を検知」とメール 偽リンクへ誘導【詐欺注意】”

同じ時期に、ヤマト運輸を名乗って「ご住所不明により再配達確認のお知らせ」と称する偽メールも出回りました。12桁の送り状番号や配送状況の図、偽メールへの注意書きまで添えられ、公式の通知と区別がつきにくいものでした。

JFC.”ヤマト運輸を名乗る偽の再配達メールが相次ぐ【詐欺注意】”

メールの送信者名やロゴや文言などは、誰でも簡単に複製できます。

2. 警察や公的機関をかたって信じさせる

警察や年金、消防など、公的機関の名前を使う手口も相次いでいます。受け取った人は公的な名前を聞くと「無視してはいけない」と感じがちなため、その心理を突く手口です。

2026年7月ごろ、警視庁を名乗り「【警視庁】マイナポータル：不審なアクセスの確認」という件名の偽メールが出回りました。本文には「警視庁サイバーセキュリティ対策本部」の名前や通知番号のほか、本物の警視庁の住所まで書かれていましたが、送信元は警視庁と無関係のドメインでした。リンク先の偽サイトにアクセスすると、ログイン情報や個人情報を盗まれるおそれがあります。警視庁は公式Xで、リンクを押さないように注意を呼びかけています。

JFC.”「マイナポータルに不審なアクセス」という偽メールに注意 警視庁「『オンライン確認画面へ』という部分は押さないで」”2026年8月4日

2026年5月には、日本年金機構を名乗って「【重要】差押予告通知書（最終通知）」という偽メールを送り、国民年金保険料が未納だと主張して、PayPayで送金させようとする手口もありました。「日本年金機構」をかたっていましたが、送信元のドメインは同機構のもの（nenkin.go.jp）とは異なりました。

JFC.”日本年金機構を騙ってPayPayで送金させる偽メールに注意 「国民年金保険料の未納」と嘘”

公的機関や有名企業の名前や住所、通知番号が書かれていても、それだけで信用できるとは限りません。

3. 「不正アクセス」や「差し押さえ」という文言で不安をあおる

「不正な利用を検知した」「差し押さえる」などの言葉で不安をあおり、すぐに手続きをとらなければいけないかのように装う手口もあります。

三井住友カードの偽メールが拡散した時は、「48時間以内にログイン」しなければアカウントを停止すると、ユーザーを焦らせました。警視庁を名乗る偽メールも手続きができる期間を短く設けていました。日本年金機構を名乗る偽メールは、手続きの期限を過ぎると「差押手続きを即刻開始する」と脅していました。

三井住友カードは公式サイトで、「緊急」「カード（アカウント）をロックした」「24時間以内に」などの不安をあおる表現はフィッシングメールの特徴だとして、注意を呼びかけています。

JFC.”三井住友カードを装って「異常な利用を検知」とメール 偽リンクへ誘導【詐欺注意】”

4. 災害に便乗する

大きな災害の時にも、偽メールが出回ります。2026年7月28日の熊本地震の直後には、日本赤十字社を名乗って「熊本地震義援金募集」と呼びかける偽メールが出回りました。偽メールには、同社のロゴや写真が使われていましたが、同社は「このようなメールを送信することはなく、当社とは一切関係がございません」と注意を呼びかけました。

JFC.”日本赤十字社を騙る「なりすましメール」に注意”

5. 電話で直接、個人情報を聞き出す

メールやSMSだけでなく、電話で直接聞き出す手口もあります。

2026年7月ごろには、総務省消防庁を名乗り「ご自宅が緊急避難先に指定された」「住所を教えてほしい」などと個人情報を聞き出そうとする不審電話が相次ぎました。同庁は公式Xで、そのような対応はしておらず、個人に電話をかけることは一切ないと注意を呼びかけています。

JFC.”「ご自宅が緊急避難先に指定された」 総務省消防庁をかたる不審電話相次ぐ【詐欺注意】”

2026年10月に情報流出を公表した企業の一部は、メールやSMSだけでなく、不審な電話にも注意するように呼びかけています。

6. 身に覚えのない「領収書」で慌てさせる

実際には購入していない商品やサービスの領収書・請求メールを送りつけて、「解約」「キャンセル」などのリンクを押させる手口も確認されています。

2026年10月、「Appleからの領収書です」という偽メールが送られてきたという投稿が拡散しました。本物の領収書とよく似ており、Xでは「一瞬本物かと思った」というコメントもありました。

Appleは公式サイトで、アカウント情報を騙し取る手口について注意喚起しています（Apple.com.”App StoreやiTunes Storeからの正規のメールを識別する"）。

Appleによると、本物の領収書メールには、Apple Accountに登録された氏名・住所などが必ず記載されています。また、本文に「解約はこちら」といったボタンやリンクはありません。送信元のアドレスが偽装されることもあるため、アドレスだけでは判断できない場合があります。

また、実際の企業のドメインから偽のメッセージが届くケースも確認されています。

JFC.”セゾンカードを名乗る偽メールが拡散　送信元は不正アクセス発覚の「アララ」【詐欺注意】”

身に覚えのない請求が届いても、メール内のリンクから手続きをせず、公式のアプリやサイトから購入履歴を確かめましょう。

偽サイト・メールを見分ける方法

1. メール・SMSのリンクからログインしない

カード会社や金融庁は、メッセージが届いた場合、そのメッセージのリンクを開かず、公式アプリや事前に登録したブックマークから内容を確認するように呼びかけています。見た目が本物に似ていても、メッセージの内容を確認する時は、自分で公式アプリやサイトにアクセスして請求内容などを確認しましょう。

2. 送信元のアドレスを確かめる

三井住友カードや日本年金機構を名乗る偽メールは、送信元のドメインが本物と異なっていました。これは一つの手がかりになりますが、送信元を本物のドメインに似せてつくらることもあるため、ドメインだけでは判断せず、ほかの点とあわせて確認しましょう。

3. 「不正利用」「差し押さえ」「◯時間以内」などの文言を見たら、いったん手を止める

手続きの期限を区切って不安をあおり、急いで手続きをさせるのは、ユーザーが考える時間を奪うためです。焦って手続きをせずに、公式のアプリ、サイトから確認しましょう。

4. 公的機関や企業からのメッセージは、公式サイトなどで直接で確かめる

気になる連絡が届いたら、まずは公式の発信を確認しましょう。情報流出の「お詫び」「補償」の連絡があった時も、企業の公式サイトで発表されているかどうかを確認しましょう。

5. 電話で住所やカード番号を聞かれたら、いったん切る

電話で住所などの個人情報を聞かれた時は、いったん電話を切り、企業や団体の公式の番号を自分で調べてかけ直しましょう。総務省消防庁は公式Xで「個人に電話をすることも一切ありません」と発信しています。

もし、送られてきたURLに、個人情報などを入力してしまった場合は、すぐにカード会社や金融機関の正規の窓口に連絡してパスワードを変えましょう。

あとがき

情報漏洩のニュースが続くと、「自分の情報も漏れて利用されるかもしれない」と不安になります。しかし、偽メールや不審電話は、そうした不安につけこみます。自分のところへ不審なメッセージが届いても、そこに個人情報などを入力しなければ、それ以上、情報が漏れることを食い止めることができます。リンクを押す前や、電話で答える前に、いったん時間をおいて、公式のサイトやアプリから内容を確かめましょう。

執筆：木山竣策
編集：古田大輔、松田史朗