メールフィッシング詐欺の全て｜手口・事例・見分け方完全解説【例文30パターン付】

2025年12月04日作成

コラム

あなたの受信箱に今日届いたメールの中に、偽物が混ざっているかもしれません。メールフィッシングは全[フィッシング詐欺](/security/scams/phishing/)の68%を占め、最も一般的な攻撃手法です。警察庁の統計によると、2024年1月〜11月のメール経由フィッシング被害は116万件に達し、1件あたりの平均被害額は68万円に上ります。特にAmazon、楽天、銀行を装った[なりすましメール](/security/scams/phishing/column/techniques/spear-phishing/)が急増しており、巧妙化する手口に多くの人が騙されています。本記事では、実際の詐欺メール例文30パターンを完全解説し、件名・本文・リンクの見分け方から、HTMLメールの危険性、添付ファイル対策まで網羅的に解説します。この記事を読めば、5分でフィッシングメールを見抜くスキルが身につきます。

メールフィッシングの基本構造と仕組み

フィッシングメールを構成する5つの要素

メールフィッシングは、以下の5つの技術的要素を組み合わせて作られています。

1. 差出人偽装（Sender Spoofing）: SMTPプロトコルの仕様上、送信者のメールアドレスは簡単に偽装できます。「From」フィールドに任意のアドレスを設定できるため、amazon.co.jpやrakuten.co.jpからのメールに見せかけることが可能です。ただし、Return-Path（実際の送信元）は偽装できないため、メールヘッダーを確認すれば見破れます。
2. 件名による心理操作: 緊急性、権威性、恐怖、特典の4つの心理的トリガーを使い分けます。「【緊急】アカウント停止のお知らせ」「【重要】本人確認が必要です」など、受信者を焦らせて冷静な判断を奪います。
3. 本文の巧妙な作り込み: 正規メールを完全にコピーし、ロゴやレイアウトを再現します。ただし、日本語の不自然さ（助詞の誤用、敬語の誤り）、過度な緊急性の強調、個人情報の直接要求など、見破るポイントが必ず存在します。
4. リンク偽装: 表示テキストと実際のリンク先が異なります。「https://amazon.co.jp」と表示されていても、実際のリンク先は「http://amaz0n-security.xyz」のような偽サイトです。短縮URL、JavaScriptリダイレクト、homograph攻撃（似た文字の使用）など、複数の偽装技術が使われます。
5. 添付ファイルの悪用: [マルウェア感染](/security/devices/malware-infection/)させるため、マクロウイルス仕込みのExcel/Word、偽装PDF、実行ファイルなどを添付します。特にEmotetなどの[トロイの木馬](/security/devices/trojan/)は、請求書や見積書を装って企業を標的にしています。

差出人偽装の技術的仕組み

偽装手法	技術的説明	見破るポイント	危険度
From表示名のみ変更	「Amazon」という名前を設定し、アドレスは偽物	メールアドレス全体を確認する	★★★
類似ドメイン使用	amazon.co.jpを amaz0n.co.jp や amazon-jp.com に変更	ドメインを1文字ずつ確認する	★★★★
homograph攻撃	見た目が似た文字を使用（ラテン文字のoとキリル文字のоを混在）	URLをコピーしてテキストエディタで確認	★★★★★
Return-Path偽装	表示上のFromと実際の送信元が異なる	メールヘッダーでReturn-Pathを確認	★★★★

件名パターン分析：50種類の心理的トリガー

フィッシングメールの件名は、4つの心理カテゴリに分類されます。

1. 緊急性（Urgency）による焦燥感の演出

【緊急】アカウント停止のお知らせ
【重要】24時間以内にご対応ください
本日中に確認が必要です
最終警告：アカウントが削除されます
緊急：不正アクセスを検知しました

2. 権威性（Authority）による信頼感の悪用

Amazonセキュリティチームより
○○銀行本部からの重要なお知らせ
国税庁からの通知
警察庁サイバー犯罪対策課より
クレジットカード会社公式通知

3. 恐怖（Fear）による判断力の低下

アカウントが不正利用されています
個人情報が漏洩した可能性があります
法的措置を取らせていただきます
クレジットカードが不正使用されました
ウイルス感染の警告

4. 特典（Reward）による欲求の喚起

10万円分のポイントがもらえます
税金還付金のお知らせ
プレゼント当選のご連絡
限定キャンペーンのご案内
キャッシュバックのお知らせ

これらの件名は、受信者の感情を揺さぶり、リンクをクリックさせることを目的としています。

実際のフィッシングメール例文集2025【最重要セクション】

このセクションでは、2025年に実際に確認された、または確認される可能性の高いフィッシングメール30パターンを完全再現します。各例文には、心理的トリックの解説と正規メールとの比較を付記しています。

Amazon偽装パターン（10種）

【パターン1：アカウント停止通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【重要】お客様のAmazonアカウントは一時停止されました
差出人：Amazon.co.jp <security@arnaz0n.com>
		↑【危険ポイント】よく見ると amazon でなく arnaz0n

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様各位

お客様のAmazonアカウントで異常なアクティビティが検出されました。
セキュリティ上の理由により、アカウントを一時的に停止させて
いただきました。

【検出された異常】
・不審な地域からのログイン試行（中国・上海）
・通常と異なる購入パターン
・支払い情報の変更試行

48時間以内に本人確認を完了されない場合、お客様のアカウントは
永久に削除されます。
↑【危険ポイント】緊急性で焦らせる

下記URLより本人確認を完了してください：
https://amazon-security-verify.com/account/restore
↑【危険ポイント】amazon.co.jp ドメインではない

ご不便をおかけして申し訳ございません。

Amazon.co.jp カスタマーサービス
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

本物のAmazonメールとの比較

項目	偽物の特徴	本物の特徴
差出人アドレス	@arnaz0n.com、@amazon-jp.com等	必ず @amazon.co.jp または @amazon.com
宛名	「お客様各位」「会員様」など一般的	登録されたフルネームで呼びかけ
緊急性	48時間、24時間など過度に煽る	冷静な対応を促す表現
リンク先	amazon以外のドメイン	必ず amazon.co.jp
個人情報要求	パスワード、カード番号を直接要求	メール上で機密情報を要求しない

心理的トリック解説

このメールは3つの心理操作テクニックを使用しています。

損失回避（Loss Aversion）: 「アカウント永久削除」という損失の恐怖
希少性（Scarcity）: 「48時間」という時間制限
権威性（Authority）: Amazon名義による信頼感の悪用

【パターン2：プライム会員更新通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：Amazon Prime会員資格の自動更新に失敗しました
差出人：Amazon Prime <prime-support@amazon-member.info>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○ 様
↑【注意】名前が入っている場合もある

お客様のAmazon Prime会員資格の自動更新処理において、
お支払い情報の確認ができませんでした。

【更新失敗の理由】
・クレジットカード情報の期限切れ
・または、カード会社による承認の拒否

このままでは、Prime会員特典（お急ぎ便、Prime Video等）が
ご利用いただけなくなります。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
年会費：5,900円（税込）
次回更新日：2025年12月1日
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

下記より支払い情報の更新をお願いいたします：
https://amazon-prime-update.net/payment/

※このメールは送信専用です。返信いただいてもお答えできません。

Amazon.co.jp
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

危険ポイント分析

差出人ドメイン: @amazon-member.info は偽物（正規は @amazon.co.jp）
リンク先: amazon-prime-update.net は詐欺サイト
心理操作: Prime特典喪失の恐怖
個人情報: 名前が入っていても油断禁物（データ漏洩で入手可能）

【パターン3：不正注文通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：ご注文の確認：iPhone 15 Pro Max 256GB × 3台
差出人：Amazon.co.jp <order-confirm@amazon.co.jp.verify-account.com>
		↑【危険】amazon.co.jp の後に別ドメインが付いている

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ご注文ありがとうございます。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【ご注文内容】
商品名：Apple iPhone 15 Pro Max 256GB ナチュラルチタニウム
数量：3台
金額：569,700円（税込）

お届け先：
〒000-0000 東京都○○区○○ 1-2-3
○○マンション101号室
↑【危険】実在する住所が記載されることもある

お支払い方法：クレジットカード（****-****-****-1234）
配送予定日：2025年11月25日
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

この注文に心当たりがない場合は、第三者による不正注文の
可能性があります。

至急、下記URLよりご注文のキャンセル手続きをお願いします：
https://amazon-order-cancel.com/emergency/

※24時間以内にキャンセルされない場合、商品は発送され、
  代金が請求されます。
↑【危険】緊急性で判断力を奪う

Amazon.co.jp
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

心理的トリック

認知的不協和: 身に覚えのない高額商品注文による動揺
緊急性: 24時間という時間制限
リアリティ: 実在する住所やカード下4桁の記載

このパターンは特に巧妙で、受信者は「キャンセルしなければ」と焦り、偽サイトにアクセスしてしまいます。

【パターン4：配送業者を装ったパターン】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【Amazon】お荷物のお届けに伺いました
差出人：Amazon配送センター <delivery@amazon-jp-logistics.com>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様

本日、お荷物のお届けに伺いましたが、ご不在のため
持ち帰らせていただきました。

【配送情報】
伝票番号：4567-8901-2345
お届け物：Amazonからのお荷物 1個
配達員：田中（配送センター03）

再配達をご希望の場合は、下記URLより日時をご指定ください：
https://amazon-redelivery.net/schedule/

※48時間以内にご指定がない場合、荷物は発送元へ返送されます。

Amazon配送パートナー
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: このメールは、Amazonと宅配便偽装フィッシングを組み合わせた複合型詐欺です。

【パターン5：返金通知詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【Amazon】返金処理が完了しませんでした
差出人：Amazon返金センター <refund@amazon-payment-center.com>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

先日キャンセルされた注文の返金処理において、
お客様の口座情報の確認ができませんでした。

【返金情報】
注文番号：123-4567890-1234567
返金額：18,950円
返金予定日：2025年11月20日

現在、返金が保留状態となっております。
下記URLより口座情報の再登録をお願いいたします：

https://amazon-refund-process.net/bank-info/

※7日以内に手続きが完了しない場合、返金は取り消されます。
↑【危険】実際には返金が取り消されることはない

Amazon.co.jp 返金センター
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

正規のAmazon返金プロセス

Amazonの正規返金では、メール上で銀行口座情報を要求することは絶対にありません。返金は元の支払い方法（クレジットカード、Amazonギフト券等）に自動的に処理されます。

【パターン6：2段階認証コード詐取】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：Amazonセキュリティアラート - 2段階認証コード
差出人：Amazon Security <security@amazon.co.jp>
		↑【注意】差出人アドレスが本物に見える

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様

新しいデバイスからのログイン試行を検出しました。

【ログイン情報】
デバイス：iPhone 14（iOS 17.1）
場所：東京都新宿区
日時：2025年11月21日 14:32

これがお客様ご本人によるアクセスの場合は、
以下の認証コードを入力してログインを完了してください：

認証コード：583921
↑【危険】本物の2段階認証コードが記載されることもある

このアクセスに心当たりがない場合は、至急下記URLより
アカウントを保護してください：

https://amazon.co.jp.account-protect.info/verify/

Amazon.co.jp セキュリティチーム
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

超高度な手口の解説

このパターンは「リアルタイムフィッシング」と呼ばれる最新手口です。

攻撃者が正規のAmazonログインページでユーザーIDを入力
Amazonが本物の認証コードをユーザーにSMS送信
ほぼ同時に、このフィッシングメールが送信される
ユーザーが認証コードを偽サイトに入力
攻撃者がリアルタイムでそのコードを使用してログイン成功

対策: 自分がログインしようとしていない時に届いた認証コードは、絶対にどこにも入力しないでください。

【パターン7：アカウント情報更新要求】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【重要】お客様情報の定期確認について
差出人：Amazon.co.jp カスタマーサポート <info@amazon.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
拝啓　○○様

平素よりAmazon.co.jpをご利用いただき、誠にありがとうございます。
↑【注意】丁寧な日本語でも油断禁物

当社では、お客様に安全にサービスをご利用いただくため、
年に一度、登録情報の確認をお願いしております。

【確認が必要な情報】
□ 氏名・住所
□ 電話番号
□ クレジットカード情報
□ パスワード

お手数ですが、下記URLより情報の確認・更新をお願いいたします：
https://amazon.co.jp.account-update.verify-info.net/

ご協力のほど、よろしくお願い申し上げます。

敬具

Amazon.co.jp カスタマーサービス
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

見破るポイント

Amazonは定期的な情報確認をメールで要求しません
パスワードを要求することは絶対にありません
URLに複数のドメインが連結されている（amazon.co.jp.○○○）

【パターン8：ギフト券当選詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：おめでとうございます！Amazon ギフト券5万円分が当選しました
差出人：Amazon キャンペーン事務局 <campaign@amazon-gift.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

この度は、Amazon創業30周年記念キャンペーンに
ご応募いただき、誠にありがとうございました。

厳正なる抽選の結果、○○様が見事当選されました！

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【当選内容】
Amazonギフト券 50,000円分
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

ギフト券を受け取るには、下記URLより本人確認が必要です：
https://amazon-campaign-gift.com/winner/

※当選の権利は7日間のみ有効です。期限を過ぎると無効になります。
↑【危険】希少性による焦燥感

おめでとうございます！

Amazon.co.jp キャンペーン事務局
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: 応募した覚えのないキャンペーンからの当選通知は100%詐欺です。

【パターン9：請求書偽装（BEC型）】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：Re: 11月分請求書送付の件（Amazon Business）
差出人：Amazon Business 経理部 <accounting@amazon-business.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○株式会社
経理部　○○様

いつもお世話になっております。
Amazon Business 経理部の田中と申します。

先日お問い合わせいただいた11月分の請求書を
添付ファイルにてお送りいたします。

【添付ファイル】
Amazon_請求書_202511.xlsx
↑【危険】Excelマクロウイルスの可能性

ご確認のほど、よろしくお願いいたします。

---
Amazon Business 経理部
田中 一郎
Email: accounting@amazon-business.jp
Tel: 03-XXXX-XXXX
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

この手口の特徴

これはビジネスメール詐欺（BEC）とフィッシングの複合型です。添付ファイルにはマルウェアが仕込まれており、開くと感染します。

【パターン10：レビュー依頼を装った詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：商品レビューのお願い - 謝礼1,000円分のギフト券進呈
差出人：Amazon レビューチーム <review@amazon-customer-feedback.com>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

先日ご購入いただいた商品はいかがでしたか？

【購入商品】
ワイヤレスイヤホン Bluetooth 5.3 ノイズキャンセリング

お客様の率直なご意見をお聞かせください。
レビューをご投稿いただいた方全員に、感謝の気持ちとして
Amazonギフト券1,000円分を進呈いたします。

下記URLよりレビューをご投稿ください：
https://amazon-review-reward.net/submit/

※レビュー投稿後、3営業日以内にギフト券をメールでお送りします。

Amazon カスタマーレビューチーム
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

本物との違い

正規のAmazonレビュー依頼では、金銭的報酬を提示することはありません（Amazonの利用規約違反）。また、レビューは必ずamazon.co.jpサイト上で投稿します。

楽天偽装パターン（8種）

【パターン11：楽天ポイント失効通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天】期間限定ポイント失効のお知らせ
差出人：楽天市場 <point-info@rakuten.co.jp.member-support.net>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

お客様の楽天ポイントのうち、期間限定ポイントが
本日23:59に失効いたします。

【失効予定ポイント】
15,800ポイント（15,800円相当）
失効日：2025年11月21日 23:59
↑【危険】大きな金額で損失を煽る

ポイント失効を防ぐため、下記URLより
ポイント利用手続きをお願いいたします：

https://rakuten-point-save.com/emergency/

※ポイント失効後の復旧はできません。

楽天グループ株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

心理的トリック

損失回避: 15,800円分というリアルな金額設定
緊急性: 「本日23:59」という切迫感
回復不可能性: 「復旧できません」という不可逆性の強調

正規の楽天の対応: 期間限定ポイント失効は事前に通知されますが、メールで「失効を防ぐ手続き」を要求することはありません。

【パターン12：楽天カード利用停止通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【重要】楽天カードのご利用を一時停止しております
差出人：楽天カード株式会社 <support@rakuten-card.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○○○ 様

お客様の楽天カードにおいて、第三者による不正利用の
疑いがあるため、カードのご利用を一時停止させていただきました。

【検出された不正利用】
利用日時：2025年11月20日 23:45
利用店舗：海外オンラインショップ
利用金額：98,750円
↑【注意】実在しそうな金額と情報

つきましては、至急下記URLより本人確認をお願いいたします：
https://rakuten-card-verify.net/fraud-check/

確認が完了次第、カードのご利用を再開いたします。

ご不便をおかけし、誠に申し訳ございません。

楽天カード株式会社 不正利用対策室
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

見破るポイント

項目	偽物	本物
ドメイン	@rakuten-card.co.jp（ハイフン入り）	@rakuten-card.co.jp（正規）
リンク先	rakuten-card-verify.net	必ず rakuten-card.co.jp
カード番号要求	16桁全体を要求	カード番号を要求しない
本人確認方法	メール上のリンク	公式アプリまたは電話連絡

【パターン13：楽天市場の取引キャンセル詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天市場】ご注文キャンセルのご連絡
差出人：楽天市場 <order@rakuten.co.jp.shop-support.com>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様

誠に申し訳ございませんが、下記のご注文について、
ショップ側の在庫不足により、ご注文をキャンセルさせて
いただくこととなりました。

【キャンセル注文】
注文番号：123456-20251121-0000001
商品名：ノートパソコン Corei7 16GB SSD512GB
注文金額：89,800円

お支払い済みの代金につきましては、3-5営業日以内に
ご返金させていただきます。

返金先口座情報の確認のため、下記URLより
口座情報のご登録をお願いいたします：

https://rakuten-refund-info.com/bank/

楽天市場
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: 楽天市場での返金は、元の支払い方法（クレジットカード、楽天ポイント等）に自動処理されます。銀行口座情報をメールで要求することは絶対にありません。

【パターン14：楽天モバイル契約内容変更】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天モバイル】ご契約内容変更のお知らせ
差出人：楽天モバイル <info@mobile.rakuten.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

お客様の楽天モバイルご契約において、
第三者によるプラン変更が行われた可能性があります。

【変更内容】
変更前：Rakuten UN-LIMIT VII（月額3,278円）
変更後：海外データ無制限プラン（月額28,000円）
↑【危険】高額プランへの変更を装う

この変更に心当たりがない場合は、至急下記URLより
契約内容の確認とキャンセル手続きをお願いいたします：

https://mobile-rakuten-cancel.com/contract/

※24時間以内にキャンセルされない場合、
  次回請求より変更後の料金が適用されます。

楽天モバイル株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

心理操作: 月額28,000円という高額請求の恐怖で、冷静な判断を奪います。

【パターン15：楽天銀行口座ロック】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天銀行】お客様の口座を一時ロックいたしました
差出人：楽天銀行 <security@rakuten-bank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○○○ 様

お客様の楽天銀行口座において、不正なアクセスを検知したため、
セキュリティ保護の観点から口座を一時的にロックいたしました。

【検知した不正アクセス】
日時：2025年11月21日 03:22
アクセス元：中国（北京市）
試行回数：15回

このままでは、お振込・お引出しをはじめとする
すべてのお取引がご利用いただけません。

下記URLより本人確認を完了し、口座ロックを解除してください：
https://rakuten-bank-unlock.com/verify/

楽天銀行株式会社 セキュリティセンター
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

正規の楽天銀行の対応: 不正アクセスを検知した場合、楽天銀行は電話または公式アプリで直接連絡します。メール上のリンクから口座情報を入力させることはありません。

【パターン16：楽天ペイ不正利用通知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天ペイ】不正利用を検知しました
差出人：楽天ペイ <alert@pay.rakuten.co.jp.security.info>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様

お客様の楽天ペイアカウントで、以下の不正利用を検知しました。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
利用日時：2025年11月21日 02:15
利用店舗：コンビニエンスストア（大阪府）
利用金額：49,800円
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

この利用に心当たりがない場合は、至急下記URLより
利用履歴の確認とアカウント保護をお願いいたします：

https://rakuten-pay-security.com/fraud-alert/

楽天ペイメント株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【パターン17：楽天トラベル予約キャンセル詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天トラベル】ご予約キャンセルのご連絡
差出人：楽天トラベル <reservation@travel.rakuten.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

誠に申し訳ございませんが、下記のご予約について、
宿泊施設側の都合により、キャンセルとなりました。

【キャンセル予約】
宿泊施設：○○ホテル
チェックイン：2025年12月28日
宿泊人数：2名
予約金額：58,000円

ご返金手続きのため、下記URLより返金先情報の
ご登録をお願いいたします：

https://travel-rakuten-refund.com/return/

楽天トラベル株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

【パターン18：楽天ブックス配送トラブル】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天ブックス】配送トラブルのお詫びとご対応のお願い
差出人：楽天ブックス <support@books.rakuten.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客様

お客様がご注文された商品について、配送途中で
荷物の紛失が発生いたしました。

【対象商品】
商品名：ビジネス書籍 3冊セット
注文金額：4,980円

つきましては、下記のいずれかの対応をお選びください：

1. 商品の再送（無料）
2. 全額返金

下記URLより対応方法をご選択ください：
https://rakuten-books-support.com/lost-item/

ご迷惑をおかけし、誠に申し訳ございません。

楽天ブックス
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: 配送トラブルの場合、楽天ブックスは公式サイト上の注文履歴ページで対応します。メール上のリンクから選択させることはありません。

銀行偽装パターン（12種）

【パターン19：三井住友銀行 - 口座凍結予告】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【重要】お客さまの口座について（三井住友銀行）
差出人：三井住友銀行 <info@smbc.co.jp.customer-support.net>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま各位

平素は三井住友銀行をご利用いただき、誠にありがとうございます。

このたび、お客さまの口座において、犯罪収益移転防止法に
基づく本人確認情報の更新期限が到来いたしました。

本人確認情報の更新がなされない場合、法令に基づき、
お客さまの口座を凍結させていただく可能性がございます。
↑【危険】法令を根拠にして権威性を演出

つきましては、お手数ですが、下記URLより
本人確認情報の更新手続きをお願いいたします：

https://smbc-customer-verification.com/update/

更新期限：2025年11月30日

三井住友銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

本物の三井住友銀行の対応

項目	偽物	本物
連絡方法	メールのみ	郵送書面または店頭
更新手続き	メール上のリンク	店頭または公式アプリ
個人情報要求	暗証番号、パスワード要求	暗証番号は絶対に要求しない
緊急性	「即座に凍結」等の脅し	十分な猶予期間を提供

【パターン20：三菱UFJ銀行 - ワンタイムパスワード詐取】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【三菱UFJ銀行】ワンタイムパスワードのご案内
差出人：三菱UFJ銀行 <support@bk.mufg.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

新しいデバイスからのログイン試行を検知しました。

ご本人さまによるアクセスの場合は、下記の
ワンタイムパスワードをご使用ください：

ワンタイムパスワード：743891
有効期限：5分間
↑【危険】本物のワンタイムパスワードが記載されることもある

このアクセスに心当たりがない場合は、至急下記URLより
セキュリティ設定の変更をお願いいたします：

https://mufg-security-center.com/alert/

株式会社三菱UFJ銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

この手口の危険性

これはリアルタイムフィッシングの典型例です。攻撃者が実際にログインを試みており、本物の銀行から送られたワンタイムパスワードを、このメールで横取りしようとしています。

対策: 自分がログインしようとしていない時に届いたワンタイムパスワードは、絶対に使用・入力しないでください。

【パターン21：みずほ銀行 - システムメンテナンス詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【みずほ銀行】システムメンテナンスに伴うお手続きのお願い
差出人：みずほ銀行 <info@mizuhobank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

平素はみずほ銀行をご利用いただき、誠にありがとうございます。

このたび、当行のセキュリティシステム強化に伴い、
すべてのお客さまに再登録のお手続きをお願いしております。

【メンテナンス日時】
2025年11月25日（月）0:00 - 6:00
↑【注意】実在しそうな日時設定

メンテナンス完了後も継続してご利用いただくため、
下記URLより再登録手続きをお願いいたします：

https://mizuhobank-maintenance-registration.com/

手続き期限：2025年11月24日 23:59

株式会社みずほ銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

見破るポイント: 銀行のシステムメンテナンスで、顧客に「再登録」を要求することはありません。メンテナンス情報は公式ウェブサイトで事前に公開されます。

【パターン22：ゆうちょ銀行 - 休眠口座詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【ゆうちょ銀行】休眠口座解除のお知らせ
差出人：株式会社ゆうちょ銀行 <info@jp-bank.japanpost.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

お客さまの口座が、10年以上お取引のない休眠口座として
認定されました。

このまま放置されますと、休眠預金等活用法に基づき、
預金が国庫に移管される可能性がございます。
↑【危険】実在する法律を悪用

【対象口座】
口座番号：記号12345 番号67890123
預金残高：127,543円

口座を継続してご利用いただく場合は、
下記URLより休眠解除手続きをお願いいたします：

https://jp-yucho-account-recovery.com/dormant/

手続き期限：2025年12月31日

株式会社ゆうちょ銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実際の休眠預金制度: 休眠預金は国庫に移管されますが、解除手続きはゆうちょ銀行の店頭で行います。メール上のリンクから手続きすることは絶対にありません。

【パターン23：りそな銀行 - 不正送金検知】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【りそな銀行】不正な振込を検知しました
差出人：りそな銀行 セキュリティセンター <security@resonabank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

お客さまの口座から、以下の不審な振込を検知し、
一時的に取引を保留しております。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
振込日時：2025年11月21日 04:33
振込先：○○株式会社
振込金額：980,000円
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

この振込に心当たりがない場合は、至急下記URLより
取引のキャンセル手続きをお願いいたします：

https://resona-fraud-prevention.com/cancel/

※手続きされない場合、24時間後に振込が実行されます。

株式会社りそな銀行 セキュリティセンター
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

心理操作: 98万円という高額の不正送金を装い、「24時間後に実行」という緊急性で焦らせます。

【パターン24：PayPay銀行（旧ジャパンネット銀行）- トークン再発行】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【PayPay銀行】トークンの有効期限について
差出人：PayPay銀行 <info@paypay-bank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

お客さまがご利用のワンタイムパスワード生成トークンの
有効期限が近づいております。

有効期限：2025年11月30日
↑【危険】架空の有効期限

有効期限を過ぎますと、お振込・お振替など
すべてのお取引がご利用いただけなくなります。

下記URLよりトークンの再発行手続きをお願いいたします：
https://paypay-bank-token-renewal.com/

PayPay銀行株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: トークン（ワンタイムパスワード生成器）に「有効期限」という概念は基本的にありません。バッテリー切れの場合は、銀行から郵送または店頭で交換します。

【パターン25：楽天銀行 - カードローン勧誘詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【楽天銀行】お客さま限定カードローンのご案内
差出人：楽天銀行 ローンセンター <loan@rakuten-bank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
○○様

楽天銀行をご利用いただいているお客さまへ、
特別金利でのカードローンをご案内いたします。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
【特別金利キャンペーン】
ご融資額：最大500万円
金利：年1.9%〜3.8%（通常金利の50%OFF）
キャンペーン期限：2025年11月30日まで
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

お申し込みは下記URLより：
https://rakuten-bank-loan-special.com/apply/

この機会にぜひご検討ください。

楽天銀行株式会社 ローンセンター
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: このメールの目的は、個人情報（氏名、住所、電話番号、勤務先、年収等）を騙し取ることです。入力した情報は、名簿業者に売られたり、さらなる詐欺に悪用されます。

【パターン26：住信SBIネット銀行 - スマート認証NEO詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【住信SBIネット銀行】スマート認証NEO再設定のお願い
差出人：住信SBIネット銀行 <info@netbk.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

スマート認証NEOのセキュリティ強化に伴い、
すべてのお客さまに再設定をお願いしております。

下記URLよりアプリの再設定を行ってください：
https://netbk-smartauth-reset.com/

再設定されない場合、2025年12月1日以降、
お取引がご利用いただけなくなります。

住信SBIネット銀行株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

正規の手順: スマート認証NEOの設定・変更は、必ず公式アプリまたは公式サイト（https://www.netbk.co.jp/）から行います。メール上のリンクは使用しません。

【パターン27：新生銀行 - キャッシュカード再発行詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【新生銀行】キャッシュカード不正利用防止のお知らせ
差出人：株式会社新生銀行 <support@shinseibank.com>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

このたび、キャッシュカードのスキミング被害が
全国的に多発しております。

お客さまのカード情報が漏洩している可能性があるため、
カードの再発行をお勧めいたします。

下記URLより再発行手続きをお願いいたします：
https://shinsei-card-reissue.com/

手数料：無料（通常1,100円）
↑【危険】「無料」という特典で誘導

株式会社新生銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: カードの再発行は、電話連絡または店頭で行います。メールでの一斉案内はありません。

【パターン28：ソニー銀行 - 為替レート優遇詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【ソニー銀行】特別為替レートのご案内
差出人：ソニー銀行 <fx@sonybank.net>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

お客さま限定で、特別優遇為替レートをご案内いたします。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
USD/JPY: 148.50円（通常レート: 150.20円）
EUR/JPY: 162.30円（通常レート: 163.80円）

この優遇レートは、本日23:59まで有効です。
↑【危険】時間制限で焦らせる

下記URLより外貨購入手続きをお願いいたします：
https://sonybank-special-rate.com/

ソニー銀行株式会社
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

実態: 特別優遇レートの案内は、公式サイトまたは公式アプリ内で行われます。メール上のリンクから取引させることはありません。

【パターン29：イオン銀行 - WAON詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【イオン銀行】WAONポイント5,000ポイントプレゼント
差出人：イオン銀行 <campaign@aeonbank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

イオン銀行30周年記念キャンペーンにご当選されました！

WAONポイント5,000ポイント（5,000円相当）を
プレゼントいたします。

下記URLよりポイント受取手続きをお願いいたします：
https://aeonbank-waon-campaign.com/

受取期限：2025年11月25日

株式会社イオン銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

見破るポイント: 応募した覚えのないキャンペーンからの当選は100%詐欺です。

【パターン30：セブン銀行 - ATM利用制限詐欺】

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
件名：【セブン銀行】ATM利用制限のお知らせ
差出人：株式会社セブン銀行 <atm@sevenbank.co.jp>

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
お客さま

お客さまのキャッシュカードについて、
ATMでの不審な利用パターンを検知いたしました。

不正利用防止のため、ATM利用を一時制限しております。

制限解除には、下記URLより本人確認が必要です：
https://sevenbank-atm-unlock.com/

株式会社セブン銀行
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

正規の対応: セブン銀行がATM利用を制限する場合、電話連絡または郵送で通知します。メール上のリンクで解除手続きをすることはありません。

2025年の最新メール手口10選【危険度★★★★★】

2025年に特に警戒すべき、最新かつ巧妙なフィッシングメール手口を解説します。

1. 緊急通知型（24時間以内対応要求）

特徴: 「24時間以内」「本日中」など極端に短い時間制限を設定し、受信者の判断力を奪います。

実例:

「アカウントは24時間後に削除されます」
「本日23:59までに手続きしないと失効」
「緊急：今すぐ対応が必要です」

心理分析: 時間的プレッシャーにより、冷静な判断ができなくなります。人間は焦ると、普段なら気づく不審点を見逃します。

対策: どんなに緊急と書かれていても、まず深呼吸。公式サイトに直接アクセスして確認してください。

2. 特典・還付金型

特徴: 税金還付金、給付金、ポイント付与など、金銭的メリットを餌に個人情報を騙し取ります。

実例:

「税金還付金27,500円のお知らせ」
「コロナ給付金の追加支給」
「楽天ポイント15,000ポイント失効予告」

心理分析: 人間は「損失回避」よりも「利得獲得」に弱い傾向があります。「もらえるものはもらいたい」という心理を悪用します。

実際の被害: 2024年、還付金詐欺での平均被害額は78万円。特に高齢者が標的になっています。

3. 脅迫型

特徴: アカウント削除、法的措置、個人情報流出など、恐怖を煽って行動を促します。

実例:

「法的措置を取らせていただきます」
「お客様の個人情報が流出しました」
「警察に通報する前に至急ご連絡を」

心理分析: 恐怖による支配。理性的判断を奪い、衝動的な行動を引き起こします。

4. 支援・寄付型（社会情勢の悪用）

特徴: 災害支援、ウクライナ支援、難民支援など、社会的に意義のある活動を装います。

実例:

「能登半島地震被災者支援金のお願い」
「ウクライナ避難民支援基金」
「子ども食堂への寄付をお願いします」

悪質性: 善意を悪用する最も卑劣な手口です。実際の支援団体の評判を傷つけます。

対策: 寄付は必ず公式サイトから。メール上のリンクは使用しないでください。

5. 取引先なりすまし型（BEC）

特徴: 実在する取引先企業を装い、請求書や見積書を添付します。企業の経理部門が標的です。

実例:

「Re: 11月分請求書送付の件」
「振込先口座変更のお知らせ」
「緊急：請求書の訂正について」

関連: ビジネスメール詐欺（BEC）の詳細解説

被害規模: 1件あたりの平均被害額は2,000万円と、個人向けフィッシングの30倍近くになります。

6. AI生成メール

特徴: ChatGPTなどの生成AIを使い、完璧な日本語で作成されたメール。従来の「不自然な日本語」という見分け方が通用しません。

実例: 敬語、助詞、文脈すべてが自然な日本語。企業の公式メールと区別がつかないレベル。

対策: 日本語の自然さだけでは判断できなくなりました。差出人アドレス、リンク先URLの確認が必須です。

7. QRコード埋め込み型

特徴: メール本文にQRコードを画像として埋め込み、スマホでスキャンさせます。URLフィルターを回避できます。

危険性:

URLフィルターが機能しない
スマホでは長いURLを確認しづらい
QRコードの中身は見た目で判断不可能

関連: QRコード詐欺（クイッシング）

8. 二要素認証（2FA）突破型

特徴: 本物の二要素認証コードを、フィッシングメールで横取りする高度な手口。

攻撃フロー:

攻撃者が正規サイトでログイン試行
本物のサイトが2FAコードをユーザーに送信
同時に攻撃者がフィッシングメールを送信
ユーザーが偽サイトにコードを入力
攻撃者がリアルタイムでコードを使用

対策: 自分がログインしようとしていない時の認証コードは無視してください。

9. 多段階フィッシング

特徴: 最初は無害なメール→正規サイトに誘導→そこから別のフィッシングサイトへ、という多段階攻撃。

実例:

正規のAmazonログインページに誘導
ログイン後「セキュリティ強化」として別ページへ
そのページが詐欺サイト

巧妙さ: 最初は本物のサイトなので、警戒心が解けます。

10. ディープフェイク音声・動画添付

特徴: CEOや上司の声・映像をディープフェイクで偽造し、緊急の指示を装います。

実例:

CEOの声で「至急、この口座に振り込んでほしい」
上司のビデオメッセージで機密情報要求

被害事例: 2024年、香港の企業がディープフェイクビデオ会議で約32億円を騙し取られました。

HTMLメールの危険性と対策

HTMLメールとは

HTMLメールは、Webページと同じHTMLで作成されたメールです。画像、色、レイアウトを自由に配置でき、見栄えが良い反面、セキュリティリスクも高まります。

HTMLメール特有のリスク

1×1ピクセル画像によるトラッキング: 目に見えない1ピクセルの画像を埋め込み、メールを開いた瞬間にサーバーへ通信します。これにより、(1) メールが開封されたこと、(2) 開封日時、(3) IPアドレス、が攻撃者に通知されます。「このメールアドレスは有効で、持ち主が読んでいる」と確認されると、さらなる攻撃対象になります。
JavaScript埋め込みの危険性: 一部のメールクライアントでは、HTMLメール内のJavaScriptが実行される可能性があります。これにより、[XSS攻撃](/security/web-api/xss/)と同様の被害（個人情報窃取、セッションハイジャック等）が発生します。現代のメールクライアントは通常JavaScriptをブロックしますが、古いバージョンや設定によっては実行されるリスクがあります。
表示偽装テクニック（CSSハック）: CSSを使い、表示上のリンク先と実際のリンク先を異なるものにできます。例えば、リンクテキストが「https://amazon.co.jp」でも、CSSで上に別のテキストを重ねて表示し、実際のリンク先は「http://phishing-site.com」ということが可能です。
フォーム埋め込み: メール内に直接入力フォームを埋め込み、パスワードやクレジットカード情報を入力させます。通常のWebサイトとは異なり、メール内フォームではURLバーがないため、偽サイトと気づきにくくなります。

メールクライアント別の対策設定

Gmail の場合: Gmailは自動的にHTMLメールを安全化（サニタイズ）しますが、完全ではありません。設定→全般→「テキスト形式で表示」を選択すると、HTMLが無効化され安全性が高まります。ただし、画像やレイアウトは表示されなくなります。リンクをクリックする前に、必ずマウスオーバーで実際のURLを確認してください。
Outlook の場合: ファイル→オプション→トラストセンター→「すべての標準メールをテキスト形式で表示する」にチェックを入れます。これにより、HTMLメールは自動的にテキスト形式に変換されて表示されます。画像は「×」印で表示され、信頼できる送信者のメールのみ画像表示を許可できます。
Apple Mail（Mac/iPhone）の場合: macOS: Mail→環境設定→表示→「メッセージ内でリモートコンテンツを読み込む」のチェックを外します。iPhone/iPad: 設定→メール→プライバシー保護→「メールアクティビティを保護」をオンにします。これにより、1×1ピクセル画像などのトラッカーがブロックされます。
Thunderbird の場合: 設定→プライバシーとセキュリティ→「メッセージ内のリモートコンテンツを許可する」のチェックを外します。また、「HTMLメッセージをプレーンテキストとして表示する」をオンにすると、すべてのHTMLが無効化されます。

テキスト形式表示を推奨する理由

攻撃対象面の削減: HTML、JavaScript、CSSが無効化され、技術的な攻撃が困難になります
トラッキング防止: 画像読み込みがないため、開封追跡されません
視認性向上: 装飾がない分、本文とリンクが明確に区別できます
パフォーマンス: メール表示が高速化し、データ通信量も削減されます

デメリット: 正規の企業メールも質素な見た目になり、画像が見られません。重要なメールは送信者を確認した上で、個別にHTML表示に切り替えることも可能です。

添付ファイル型フィッシングの脅威

添付ファイル攻撃の種類

ファイル種類	攻撃手法	危険度	見分け方
Excel/Word（マクロ有効）	マクロウイルス（Emotet等）	★★★★★	「マクロを有効化してください」という指示
PDF	埋め込みリンクで偽サイト誘導	★★★	予期しない請求書・不在通知
ZIP/RAR圧縮ファイル	内部に実行ファイル（.exe）を隠匿	★★★★★	パスワード付きZIP（ウイルススキャン回避）
.exe / .scr / .pif	直接実行でマルウェア感染	★★★★★	実行ファイルが添付されている時点で危険
.js / .vbs	スクリプト実行でダウンローダー起動	★★★★	メール添付でスクリプトが来ることはまずない

Emotet（エモテット）の典型的手口

Emotetは、2014年に初めて確認されたマルウェアで、主にメール経由で拡散します。

感染フロー:

実在する取引先を装ったメールが届く
「Re:」で始まる件名（過去のメールへの返信を装う）
Word/Excelファイルが添付
「コンテンツの有効化」ボタンをクリックさせる
マクロが実行され、Emotetがダウンロード・実行
感染端末からメールアドレス帳を窃取
窃取したアドレスに対して、さらにEmotetメールを送信（感染拡大）

特徴:

過去のメールのやり取りを参照（中間者攻撃で窃取）
差出人が実在の取引先
件名が過去のやり取りの続き
非常に巧妙で見破りにくい

対策:

マクロは原則無効化
予期しない添付ファイルは開かない
「コンテンツの有効化」は絶対にクリックしない
不審な場合は、送信者に電話で確認

開く前の確認方法

VirusTotalでスキャン: VirusTotal（https://www.virustotal.com/）は、70以上のウイルス対策エンジンで同時スキャンできる無料サービスです。添付ファイルをアップロードすると、数秒で結果が表示されます。ただし、アップロードしたファイルは公開されるため、機密文書には使用しないでください。
メールヘッダーの確認: 添付ファイルのあるメールは、必ずメールヘッダーを確認してください。特にReturn-Path（実際の送信元）と、SPF/DKIM/DM ARCの認証結果を確認します。詳細は後述の「メールヘッダーの確認方法」セクションを参照してください。
サンドボックス環境で開く: 企業であれば、サンドボックス（隔離された仮想環境）で一度開いて挙動を確認する方法もあります。Windows Sandboxや、仮想マシン（VMware、VirtualBox）を使用します。個人ユーザーには難易度が高いため、不審なファイルは開かないことが最善です。
送信者に直接確認: 最も確実な方法は、送信者に電話やSMS（メール以外の手段）で「このファイルを送りましたか？」と確認することです。手間はかかりますが、被害を防ぐには最も効果的です。

ビジネスメール詐欺（BEC）との違いと見分け方

一般的なフィッシングメールとBECの比較

項目	一般フィッシング	ビジネスメール詐欺（BEC）
標的	不特定多数	特定企業の経営層・経理部門
送信数	数万〜数百万通（ばらまき型）	数通〜数十通（ピンポイント）
平均被害額	68万円	2,000万円
手口の巧妙さ	中程度（テンプレート使用）	非常に高い（事前調査済み）
カスタマイズ度	低い（同じ文面を大量送信）	非常に高い（個別に作成）
攻撃者の目的	個人情報・認証情報の窃取	直接的な金銭窃取
主な手法	偽サイトへの誘導	振込先変更・緊急送金依頼

BECの典型的シナリオ

シナリオ1: CEOなりすまし
CEOを装い、経理担当者に「極秘案件のため至急送金してほしい」とメールします。

シナリオ2: 取引先なりすまし
実在する取引先企業を装い、「振込先口座が変更になりました」と連絡します。

シナリオ3: 弁護士なりすまし
M&A案件等を装い、「守秘義務があるため社内には秘密で」と送金を要求します。

組織的対策の必要性

BEC対策には、技術的対策だけでなく、組織的なルール整備が不可欠です。

送金依頼は必ず電話で確認（メール以外の手段）
振込先口座変更は、登録されている電話番号に確認
高額送金には複数人の承認を必須化
定期的な訓練メールの実施

詳細はビジネスメール詐欺（BEC）の専用ページをご参照ください。

メールヘッダーの確認方法【上級編】

メールヘッダーとは

メールヘッダーは、メールの「配送伝票」のようなものです。送信元、経由したサーバー、認証情報など、詳細な配送情報が記録されています。

メールクライアント別のヘッダー表示方法

Gmail: メールを開く→右上の「︙」（縦三点リーダー）→「メッセージのソースを表示」をクリック。新しいタブで全ヘッダーが表示されます。
Outlook（デスクトップ版）: メールを開く→ファイル→プロパティ→「インターネットヘッダー」欄に全ヘッダーが表示されます。または、メールをダブルクリックして別ウィンドウで開く→ファイル→情報→プロパティでも同様です。
Yahoo!メール: メールを開く→右上の「詳細ヘッダー」リンクをクリック。ポップアップで全ヘッダーが表示されます。
Apple Mail: メールを選択→表示メニュー→「メッセージ」→「すべてのヘッダ」を選択。メール本文の上部にヘッダーが表示されます。

重要なヘッダー項目の読み方

【サンプルヘッダー】
Received: from mail.scammer.com (unknown [192.0.2.1])
		by mx.google.com with SMTP
Return-Path: <fake@scammer.com>
From: Amazon.co.jp <security@amazon.co.jp>
		↑ 表示上の送信者（偽装可能）
Reply-To: different@another-scammer.com
Authentication-Results: mx.google.com;
	   dkim=fail reason="signature verification failed" header.d=amazon.co.jp;
	   spf=fail (google.com: domain of fake@scammer.com 
			does not designate 192.0.2.1 as permitted sender) 
			smtp.mailfrom=fake@scammer.com;
	   dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=amazon.co.jp
	   ↑ 認証結果すべてfail = 間違いなく偽物

このヘッダーから分かる3つの危険サイン

1. Return-Pathとfromが異なる: Return-Path（実際の送信元）は `fake@scammer.com` なのに、From（表示上）は `security@amazon.co.jp` となっています。これは差出人偽装の証拠です。
2. SPF認証が失敗（spf=fail）: SPF（Sender Policy Framework）は、送信元IPアドレスが正規の送信サーバーかを検証します。`spf=fail`は、amazon.co.jpが許可していないサーバーから送信されたことを意味します。
3. DKIM認証が失敗（dkim=fail）: DKIM（DomainKeys Identified Mail）は、電子署名でメールの改ざんを検知します。`dkim=fail`は、署名が無効または改ざんされたことを示します。

ツールを使った分析

MXToolbox Header Analyzer（https://mxtoolbox.com/EmailHeaders.aspx）

ヘッダー全文をコピー＆ペーストすると、自動的に分析してくれます。

SPF/DKIM/DMARC認証結果の可視化
配送経路の地図表示
各サーバーの遅延時間
スパム判定

特に初心者には、生のヘッダーを読むより分かりやすいです。

正規メールとの見分け方チェックリスト

フィッシングメールを見分けるための、実践的なチェックリストです。

□ 差出人アドレスを完全確認（@以降のドメインが正規か）: 「@」の後ろを1文字ずつ確認してください。amazon.co.jpとamazon.jp、rakuten.co.jpとrakuten-jp.comなど、微妙な違いに注意。特にスマートフォンでは小さい文字が見づらいため、拡大して確認してください。homograph攻撃（見た目が似た文字の使用）にも注意が必要です。
□ 件名の不自然さ（過度な【重要】【緊急】【最終警告】等）: 正規企業は、件名に過度な記号や煽り文句を使いません。【至急】【本日中】【最終通告】など、緊急性を強調する件名は要警戒です。ただし、正規メールでも【重要】を使う場合があるため、件名だけで判断せず、他の項目も確認してください。
□ 本文の日本語（助詞の誤用、不自然な敬語、翻訳臭さ）: 「お客様の確認が必要です」（正しくは「ご確認」）、「アカウントを停止します」（正しくは「停止いたします」）など、敬語の誤りに注目。ただし、最近は生成AIで完璧な日本語のメールも作れるため、日本語だけで判断しないでください。
□ リンク先URL（マウスオーバーで実際のURLを確認）: 表示テキストが「https://amazon.co.jp」でも、実際のリンク先は「http://amaz0n.xyz」ということがあります。PCではマウスを重ねる（マウスオーバー）と、画面下部に実際のURLが表示されます。スマホでは長押しでURLが確認できます。短縮URL（bit.ly等）は中身が分からないため、クリック前にURL展開サービス（https://urlex.org/）で確認してください。
□ 緊急性の有無（48時間以内、24時間以内等の過度な圧迫）: 正規企業は、顧客に十分な対応時間を与えます。「今すぐ」「本日中」「数時間以内」など、極端に短い期限は詐欺の可能性が高いです。たとえ緊急と書かれていても、まず冷静に。公式サイトに直接アクセスして確認してください。
□ 個人情報要求（パスワード、暗証番号、口座番号等を直接要求）: 正規企業は、メール上で暗証番号やパスワードを要求することは**絶対にありません**。クレジットカード番号16桁全体、銀行口座の暗証番号、セキュリティコードなどを入力させるのは100%詐欺です。「本人確認のため」という理由でも、絶対に入力しないでください。
□ 添付ファイル（予期しないファイル、特に.exe .zip .doc .xls）: 取引のない企業からの添付ファイル、予期していない請求書・見積書は開かないでください。特にExcel/Wordファイルで「マクロを有効化してください」という指示がある場合、[マルウェア感染](/security/devices/malware-infection/)のリスクが非常に高いです。zipファイルも、内部に実行ファイルが隠れている可能性があります。
□ 宛名の一般性（「お客様各位」「会員様」等、名前が記載されていない）: 正規企業は、登録されたフルネームでメールを送ります。「お客様」「会員様」「ユーザー様」など一般的な呼称は、ばらまき型フィッシングの典型的特徴です。ただし、名前が入っていても安心はできません。[データ漏洩](/security/data-privacy/data-breach/)で個人情報が流出している可能性もあります。
□ 送信元の一貫性（過去の正規メールと差出人アドレスが同じか）: 過去に受け取った正規メールと、差出人アドレスを比較してください。例えばAmazonからの正規メールは常に`@amazon.co.jp`です。アドレスが少しでも異なる場合（`@amazon-jp.com`、`@amazon.co.jp.verify.com`等）は偽物です。メールソフトの検索機能で、過去のメールを探して比較してください。
□ 問い合わせ先の記載（電話番号、住所等が実在するか）: メール末尾の連絡先情報を確認してください。電話番号が記載されている場合、Googleで検索して実在するか確認します。ただし、偽の電話番号（詐欺グループの番号）が記載されていることもあるため、必ず公式サイトに掲載されている番号と照合してください。

判定基準: 上記10項目のうち、2つ以上に該当する場合は詐欺メールの可能性が高いです。特に「差出人アドレス」「リンク先URL」「個人情報要求」の3項目は最重要です。

メールフィッシング対策の実践

メールフィルター設定（各メーラー別の推奨設定）

Gmail: 設定→フィルタとブロック中のアドレス→「新しいフィルタを作成」。特定のキーワード（「アカウント停止」「本人確認」等）を含むメールを自動的に迷惑メールに分類できます。また、Gmailは機械学習でフィッシングを検知しますが、100%ではありません。フィッシング警告が表示されたメールは、絶対に開かないでください。
Outlook: ホーム→迷惑メール→迷惑メールのオプション。「受信拒否リスト」に怪しいドメインを追加します。また、「セーフリスト」に信頼できる送信者のみを登録し、「セーフリスト以外は迷惑メールに分類」を選択すると、より厳格なフィルタリングが可能です（ただし正規メールも迷惑メールに分類される可能性があります）。
Yahoo!メール: 設定→メール設定→フィルター→追加。条件に「件名に『アカウント停止』を含む」等を設定し、アクションで「迷惑メールフォルダに移動」を選択します。Yahoo!メールは比較的フィッシング検知精度が高いですが、過信は禁物です。

迷惑メール報告の重要性

フィッシングメールを受け取ったら、必ず「迷惑メール」「フィッシング報告」ボタンをクリックしてください。

報告の効果:

自分のメールフィルターの精度が向上
同じメールアドレスからの今後のメールが自動ブロック
メールプロバイダーの機械学習モデルが改善
他のユーザーも保護される

特にGmailは、報告データを全ユーザーで共有し、フィッシング検知精度を向上させています。

ドメイン拒否設定

明らかに怪しいドメイン（@scammer.com等）は、ドメイン単位で拒否設定してください。

注意点: 正規ドメインに似せた偽ドメインは無数にあるため、イタチごっこになります。ドメイン拒否だけでなく、他の対策も併用してください。

定期的な確認習慣

週1回の受信箱整理を習慣化してください。

迷惑メールフォルダを確認（誤検知の有無）
差出人不明のメールを整理
古いメールの削除（情報漏洩リスク低減）

教育の重要性

家族・同僚への共有が、最も効果的な対策の1つです。

この記事のURLを共有
実際に受け取ったフィッシングメールを（個人情報を伏せて）共有
定期的な勉強会や訓練の実施
「恥ずかしい」と思わず、分からないことは相談できる雰囲気作り

詳細な対策は、フィッシングメール対策設定ガイドをご参照ください。

よくある質問（FAQ）

Q: HTMLメールを開いただけで感染することはある？: A: 現代のメールクライアントでは、開いただけで感染することは稀ですが、ゼロではありません。古いバージョンのOutlookやメールクライアントでは、HTMLメール内のJavaScriptが実行され、脆弱性を突かれる可能性がありました。最新版にアップデートし、HTMLメールをテキスト形式で表示する設定にすれば、このリスクは大幅に低減されます。ただし、「開いただけでは安全」と過信せず、不審なメールは即座に削除してください。画像を読み込んだ瞬間に、1×1ピクセルのトラッキング画像が読み込まれ、「このアドレスは有効」と攻撃者に通知される可能性はあります。
Q: フィッシングメールに返信してしまったらどうなる？: A: 返信しただけでは、直ちに被害は発生しません。しかし、(1) メールアドレスが有効であることが確認される、(2) 返信内容に個人情報が含まれていれば流出、(3) さらなるフィッシングメールの標的になる、というリスクがあります。もし返信してしまった場合は、(1) それ以上の返信をしない、(2) 個人情報を書いていなければ様子見、(3) 個人情報を書いてしまった場合は、該当サービスのパスワードを即座に変更、(4) クレジットカード情報を書いた場合は、カード会社に連絡して利用停止、という対応をしてください。詳細は[フィッシング被害直後30分の緊急対応](/security/scams/phishing/column/incident-response/emergency-30min/)をご参照ください。
Q: フィッシングメールのリンクをクリックしたら、すぐ被害に遭う？: A: クリックしただけでは、まだ被害は発生していません。危険なのは、リンク先の偽サイトで(1) ログイン情報を入力、(2) クレジットカード情報を入力、(3) 個人情報を入力、した場合です。リンクをクリックしてしまったが、何も入力していない場合は、すぐにブラウザを閉じてください。念のため、該当サービスのパスワードを変更することを推奨します。ただし、リンク先のサイトに脆弱性がある場合、アクセスしただけで[ドライブバイダウンロード](/security/devices/drive-by-malvertising/)によりマルウェアがダウンロードされる可能性もゼロではありません。クリックしてしまった場合は、ウイルススキャンを実施してください。
Q: 本物のメールかどうか確認する最も確実な方法は？: A: 最も確実な方法は、**メール上のリンクは使わず、公式サイトに直接アクセスする**ことです。例えばAmazonからのメールなら、メールは無視して、ブラウザで「amazon.co.jp」と直接入力してアクセスし、ログイン後にアカウント情報や通知を確認してください。本当にアカウント停止や不正アクセスがあれば、公式サイト上に表示されます。もし何も表示されなければ、メールは偽物です。企業によっては、公式サイトのマイページに「当社から送信したメール一覧」を表示している場合もあります。電話で確認する場合も、メールに記載された番号ではなく、公式サイトに掲載されている番号に電話してください。
Q: フィッシングメールの例文はどこで入手できる？最新手口を知りたい: A: 最新のフィッシングメール情報は、以下の公的機関が公開しています。(1) フィッシング対策協議会（https://www.antiphishing.jp/）: 緊急情報として最新のフィッシングメールを公開、(2) 警察庁サイバー犯罪対策（https://www.npa.go.jp/cybersafety/）: 注意喚起情報、(3) IPA（情報処理推進機構）: 「安心相談窓口だより」で事例紹介、(4) 各企業の公式サイト: Amazon、楽天、銀行等が「フィッシング詐欺にご注意」ページで実例公開。ただし、公開されている例文をそのまま悪用する詐欺師もいるため、例文を見て「これと同じなら偽物」と判断するのではなく、本記事で解説した見分け方のポイントを総合的に判断してください。
Q: 企業のセキュリティ部門です。従業員向けの訓練メールを送りたいのですが、注意点は？: A: 従業員向けフィッシング訓練（標的型メール訓練）は有効ですが、注意点があります。(1) 必ず事前に経営層と人事部門の承認を得る（無断実施はパワハラとみなされる可能性）、(2) 訓練であることを事後に必ず通知、(3) クリックした従業員を責めない（教育が目的であり、処罰ではない）、(4) 実際のフィッシングと区別できるよう、件名に「【訓練】」を付ける等の配慮も検討、(5) あまりに巧妙な訓練メールは、本物のフィッシングに騙される従業員を増やす可能性があるため、段階的に難易度を上げる。専門業者に委託する場合も多く、費用は従業員100名で年間20万円〜50万円程度です。詳細は[フィッシング詐欺対策の従業員教育](/security/scams/phishing/column/defense/employee-training/)をご参照ください。
Q: スマートフォンでフィッシングメールを見分けるコツは？: A: スマートフォンは画面が小さく、URLが確認しづらいため、PCよりも危険です。対策として、(1) メールアプリの設定で「画像を自動表示しない」をオン、(2) リンクは長押しでURLを確認、(3) 怪しいメールはPCで開いて詳細確認、(4) 公式アプリを使う（メール経由ではなく、Amazon公式アプリ、銀行公式アプリで直接確認）、(5) 生体認証（指紋、顔認証）を有効化してパスワード入力を減らす、という方法が有効です。スマホでは特に、メール上のリンクを安易にタップしないことが重要です。
Q: メールプロバイダーを変えればフィッシングメールは減る？: A: プロバイダーによってフィッシング検知精度は異なります。一般的に、Gmail、Outlook.com、Yahoo!メールなどの大手プロバイダーは、機械学習による高度なフィッシング検知を実装しており、検知精度が高いです。しかし、どのプロバイダーも100%ではありません。また、メールアドレスが流出している場合、プロバイダーを変えてもフィッシングメールは減りません。根本的な対策は、(1) メールアドレスを使い分ける（重要なサービス用、ネット通販用、使い捨て用等）、(2) 定期的にパスワードを変更、(3) 二要素認証を有効化、(4) フィッシング見分けスキルを身につける、ことです。

まとめ：メールフィッシング詐欺から身を守るための5原則

差出人とリンク先を必ず確認: 表示だけでなく、実際のアドレスとURLを確認
緊急性に騙されない: 焦らず、公式サイトに直接アクセスして確認
個人情報は絶対に入力しない: メール上で暗証番号やパスワードを要求されたら100%詐欺
添付ファイルは慎重に: 予期しないファイルは開かず、送信者に確認
疑わしいメールは即削除: 「もしかしたら本物かも」と思っても、公式サイトで確認

この5原則を守れば、フィッシングメール詐欺のほとんどを防げます。本記事で紹介した30パターンの例文と見分け方を参考に、あなた自身と家族、同僚を守ってください。

【重要なお知らせ】

本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません
実際に被害に遭われた場合は、警察（#9110）や消費生活センター（188）などの公的機関にご相談ください
記載内容は2025年11月時点の情報であり、手口は日々進化している可能性があります
掲載している例文は教育目的であり、実際の犯罪を助長する意図はありません
企業名は実在のものを使用していますが、これらの企業を貶める意図は一切ありません