フィッシング詐欺の見分け方｜メール・SMSの確認手順と入力後の対処（2ページ目）

公式アプリや窓口から内容を確認する手順

通知を閉じて、普段の入り口から始めます

本物かどうか迷ったときは、届いた通知だけで決着をつけようとしなくて構いません。普段から利用している公式アプリや、正しいことを確認して保存したブックマークを使い、通知が主張している問題を調べます。自分で開いた公式画面でも、何の手続きをしているかは確かめながら進めます。

メールやSMSでは、リンク、返信、電話、添付ファイルの操作を止めます。
メッセージを閉じ、普段使う公式アプリか登録済みのブックマークを開きます。
お知らせだけでなく、注文、利用履歴、契約状況など該当する画面を確認します。
内容が一致しない場合や画面で判断できない場合は、公式に確認した窓口へ問い合わせます。
本物と確認できた手続きは、その公式の画面や窓口の案内に沿って進めます。

公式アプリに同じ通知が見当たらないから、必ず詐欺と断定できるわけではありません。通知が反映される時期や、お知らせの掲載方法はサービスによって違います。大切なのは、見当たらないことを理由に元のリンクへ戻らず、必要なら正式な窓口で確かめることです。

確認に使う入り口（通知が示す入り口と自分で選ぶ入り口の比較） — 連絡先も、届いた通知とは別の情報から選びます。

公式の入り口をまだ持っていない場合

検索を使うなら、一番上に出たという理由だけで開かないようにします。広告や似た名前のサイトが混じる場合があるため、契約書、カード、以前から使っている会員向け資料など、別の資料から公式の名称や窓口を確かめます。スマホにアプリを入れる場合も、メールのリンクから配布ファイルを入れる方法は避けます。

問い合わせでは、届いた日時と通知の要点を伝えれば、話を始められます。「利用制限というSMSが来たので、本当に対応が必要か確認したい」と説明します。相手が名乗ったからといって、パスワードや認証コードを読み上げる必要はありません。折り返し電話を受けたときも、求められる情報に違和感があれば通話を終え、自分で確認した窓口から連絡し直します。

家族に見てもらう場合は、リンクをそのまま転送して「開いて調べて」と頼むより、画面の画像と状況を伝える方が操作を広げずに済みます。相談用の画像にも、氏名、注文番号、コードが写ることがあります。共有先を絞り、公開のSNSには個人情報を載せないようにします。

開いた・入力した段階ごとの初動

最初に、何をしたかを分けます

「メールを開いた」「リンクを開いた」「パスワードを入力した」「アプリを入れた」は、必要な対応が違います。不安なまま端末の設定を次々と変えるより、したことを短く書き出します。すべて思い出せなくても、連絡を遅らせる必要はありません。分からない部分は分からないまま窓口に伝えます。

したこと・起きたこと	最初にすること	続けて確かめること
メッセージを表示しただけ	リンクなどを操作せず閉じます	添付ファイルを開いていないか確認します
ページを開いたが入力していない	ページを閉じます	ダウンロードや許可の操作を確認します
パスワードや認証コードを入力した	公式画面から保護の手続きを始めます	ログイン履歴や復旧先も確認します
カード・銀行情報を入力した	関係する金融機関へ連絡します	停止の要否と取引の確認を相談します
不審なアプリを入れた、遠隔操作を許した	通信を止めて別の端末から相談します	設定やアカウントへの影響を確認します

メールを読んだだけで、すぐに口座からお金が動くと決めつける必要はありません。リンク先の閲覧だけで入力やインストールをしていない場合も、通常はアカウント被害の状況と区別して考えます。IPAの不正ログイン対策の案内でも、閲覧と情報入力などの操作を分けて説明しています。

ただし、端末やブラウザの弱点を突く攻撃もあるため、閲覧だけなら何をしても絶対に安全、とまで言い切ることはできません。ページを閉じ、OSやブラウザを更新し、不明なダウンロードがあれば開かないようにします。突然の警告に従って、追加のアプリや「修復ツール」を入れないでください。

送信前の入力や、許可した操作も確認します

ウェブページは、送信ボタンを押す前の入力を外へ送るようにも作れます。「最後まで手続きを終えなかったから大丈夫」とは判断せず、入力欄に入れた情報を窓口へ伝えます。保存されたカード情報の自動入力を選んだ場合も、自分で一字ずつ打った場合と同様に扱います。

ファイルを保存しただけなのか、開いて実行したのか、ブラウザの通知を許可したのかも整理します。通知の許可はアプリ導入とは別ですが、後から偽の警告が出る原因になります。ブラウザの設定で不審なサイトの通知許可を取り消し、表示された警告の連絡先へ電話しないようにします。

金銭情報や認証情報を渡した場合は、画面の撮影や経緯の整理に時間をかけ過ぎず、保護と連絡を先に進めます。日時、装われた会社名、入力した情報の種類が分かれば、最初の相談に役立ちます。パスワードそのものを相談メモやメールに書く必要はありません。

パスワード・認証コード・金融情報を渡した後の対処

ログインできるうちに、アカウントを保護します

パスワードを入力した場合は、不審なページを閉じ、公式アプリや正規のサイトで変更します。不審なアプリを入れた場合や端末の安全性が分からない場合は、別の信頼できる端末を使います。同じパスワードを他でも使っていたなら、そちらも別々の新しいものへ変えます。

アカウントを保護する流れ（1. 入口を変える、2. 認証を守る、3. 接続を確認、4. 履歴を確認） — 使える機能と名称は、サービスの公式ヘルプで確かめます。

パスワードを変えただけで、相手のログイン状態がすべて終わるとは限りません。ログイン中の端末やセッションを表示できるなら、見覚えのない接続を解除します。登録メールアドレス、電話番号、認証方法、連携アプリにも、自分が設定していないものがないか確かめます。分からない項目は消して回らず、公式の復旧手順で確認します。

メールのアカウントを使われた場合は、自動転送やフィルターも点検します。受信箱に異常がなくても、外部へ転送する設定だけが残っている可能性があります。Googleのアカウント保護手順も、不審なデバイス、復旧情報、メールの転送設定などを確認対象にしています。

ログインできない場合は、公式のアカウント復旧窓口へ進みます。検索やSNSで見つけた「取り返せる」という個人に、代金や追加の認証情報を渡さないでください。仕事用のアカウントや端末であれば、勤務先の担当者にもすぐ報告し、組織の手順に従います。