怪しいメールやSMSを、開く・払う・コードを渡す前に確認する方法

フィッシングは、文章が不自然とは限りません。氏名や企業ロゴを使い、正しい日本語で書かれ、乗っ取られた会話の続きとして届くこともあります。そこで有効なのは「メッセージの中で判断を完結させない」ことです。一度止まり、要求を整理し、自分で公式アプリや保存済みの連絡先を開いて確認します。以下の公的情報は2026年8月7日に確認しました。

1. 01

   まず反応を止める

   確認のつもりでもリンクを押さず、添付を開かず、QRコードを読み取らず、返信もしません。通報に必要なら画面を保存し、1分だけ手を止めます。偽物だと断定するより、相手に判断の速度を決めさせないことが先です。

2. 02

   物語と要求を分けて読む

   「何が起きたと言っているか」「何をさせたいか」「なぜ今なのか」を書き出します。口座停止、再配達、未払い、還付、身に覚えのない請求、上司や家族を装う送金依頼などが典型です。急がせる、怖がらせる、得を強調する、秘密を求める場合は別経路で確認します。

3. 03

   触らずに送信元と行き先を見る

   表示名やロゴは証明になりません。送信元アドレスを最後まで表示し、ドメインを一文字ずつ確認します。PCではクリックせずリンク先を表示し、スマホでは自動プレビューが開く長押しにも注意します。QRコードも中身の見えないリンクとして扱い、鍵マークやhttpsだけで本物と判断しません。

4. 04

   メッセージを閉じ、普段の入口から確認する

   銀行やサービスの公式アプリ、保存済みブックマーク、カードや過去の明細にある番号を使います。家族や同僚からの依頼なら、保存済み番号へ電話し、同じチャットにない情報で確認します。本文のリンクや電話番号、未確認の検索広告は使いません。

5. 05

   認証コードは署名と同じと考える

   パスワード、暗証番号、カードのセキュリティコード、ワンタイムコードを渡さず、自分が始めていないログイン通知を承認しません。コードの説明にログイン、新端末、支払いの承認とあれば、担当者へ伝える確認番号ではありません。突然の電話をきっかけに画面共有や遠隔操作アプリを入れないでください。

6. 06

   反応していないなら、通報して削除する

   メールや端末のフィッシング報告機能を使い、なりすまされた組織には公式窓口から知らせ、送信元をブロックして削除します。職場では削除前に社内手順で報告します。日本の警察庁も、メールやSMS内のリンクを開かず、公式サイトやアプリで確認するよう案内しています。

7. 07

   反応したなら、漏れたもの別に動く

   パスワードは正規サービスから変更し、他のセッションを終了し、使い回し先も変えます。カード情報や送金なら、金融機関へ直ちに連絡し停止と明細確認を依頼します。ファイルやアプリを入れた場合は、感染が疑われるなら通信を切り、勤務先や端末提供者の手順に従います。先にメッセージ、URL、時刻、領収情報を保存します。

8. 08

   次回の被害経路を減らす

   自動更新と取引通知を有効にし、使い回さないパスワードまたはパスキー、利用可能な最も強い多要素認証を使います。家族では緊急送金用の合言葉、仕事では振込先変更を別経路で再確認するルールを決めます。