三井住友カードを装って「異常な利用を検知」とメール　偽リンクへ誘導【詐欺注意】

三井住友カードを名乗り、「アカウントに異常な利用を検知した」と説明して、48時間以内に別のサイトへのログインを求める偽メールが確認されています。メールには偽のVpassログイン画面などが示されており、ID・パスワードやカード情報を入れると、情報を盗み取られるおそれがあるので注意が必要です。

2026年10月ごろから、三井住友銀行をかたる偽メールが確認されている。Xにも「三井住友カードから『お客さまのアカウントに異常な利用を検知いたしました』というメールが届いた」「危うくフィッシング詐欺に引っかかるところだった」などの投稿がある(例1、例2)。

偽メールの内容は

筆者のもとにも、Xに投稿されているメールと同じようなメールが10月13日に届いた。

偽メールの件名は「【三井住友カード】お客さまのアカウントに異常な利用を検知いたしました」。本文には三井住友カードのロゴがあり、「アカウントの安全を確保するため、48時間以内にログインし、アカウントの激活（有効化）手続きを行ってください」「期限内に激活が確認できない場合、誠に勝手ながらアカウントを停止させていただきます」と急かすような文言が書かれている。

その下には「Vpassで利用明細を確認」「Web版Vpassでの確認はこちら」という文言やAppstoreなどのボタンが並ぶ。

メールには「アカウントの激活」などという不自然な文言がある。またメールの下部に、「送信元『ｓｔａｔｅｍｅｎｔ＠ｖｐａｓｓ．ｎｅ．ｊｐ』は送信専用です」と書かれているにも関わらず、送信元は「mail@dnhopk.com」というメールアドレスから送信されており、アドレスが異なる。

メールには複数のリンクがあるが、どのリンクをクリックしても同じURLに飛ぶ仕様になっている。AppstoreやLINEの友達追加などと表記されているものも含めて、メール内のリンクをクリックをしないことが大切だ。

三井住友カードも注意喚起

三井住友カードは公式サイトで「弊社を装った不審なメールやSMSにご注意ください」と注意を促している。 「弊社からお送りするメールでは、お客さまのクレジットカード番号などの個人情報をお聞きすることはございません。クレジットカード番号などは絶対に入力しないようお願いいたします」と呼びかけている。

また「不審な通知の見分け方」と題して、「フィッシングメールの特徴として、『緊急』『カード（アカウント）をロックした』『24時間以内に』など不安を煽る表現が使われています。このような件名や本文のメールは疑ってください」と述べ、「弊社からの通知ではない場合、本文記載のリンク先へアクセスせず、削除してください」と呼びかけている。

サイトでは不審なメールやSMSの見分け方について、下記のポイントなどを紹介している。

• 送信元のメールアドレスが三井住友カードのドメイン（下記は同社のもの）か
  （＊ただし、上記と同一のドメインに偽装されている場合もあるため、ほかのチェックポイントも合わせて確認が必要 )
  • contact.vpass.ne.jp
  • vpass.ne.jp
  • mail.vpass.ne.jp
  • smbc-card.com
  • prepaid.smbc-card.com
  • payment.vpass.ne.jp
  • secure.payment.vpass.ne.jp
  • contact.smbc-card.com
• SMSが「+81（日本の国番号）」以外の海外から届いている

金融庁も公式サイト（2026年10月9日更新）で、実在する証券会社を装ったフィッシングサイトなどで盗まれたログインIDやパスワードを使った不正アクセス・不正取引に注意を呼びかけている（金融庁.”インターネット取引サービスへの不正アクセス・不正取引にご注意ください”）。

「見覚えのある送信者からのメールやSMS（ショートメッセージ）等であっても、メッセージに掲載されたリンクを開かない」ことや、「事前に正しいウェブサイトのURLをブックマーク登録しておき、ブックマークからアクセスする」ことを挙げている。また、不審なサイトに情報を入力してしまったおそれがある場合は、利用している金融機関の問い合わせ窓口に連絡し、すぐにパスワードを変更するよう求めている。

あとがき

個人情報が漏れたという報道が相次ぐ中、「異常な利用を検知しました」といった不安をあおるメールが届くと、つい慌ててリンクを押してしまいがちです。不安な時こそ、いったん操作の手をとめて、公式アプリや公式サイトのブックマークから正しいURLを確認しましょう。

執筆：木山竣策
編集：古田大輔、藤森かもめ