フィッシングメール・SMS詐欺の見分け方｜7つのチェックポイントと緊急対処法【2026年最新】

「このメール、本物？偽物？」——身に覚えのないメールやSMSが届いて不安になった経験はありませんか。フィッシング対策協議会の報告によると、2025年のフィッシング報告件数は約245万件と過去最多を更新し、被害総額は推定6,000億円を超えました。

この記事では、防犯設備士の監修のもと、フィッシングメール・SMS詐欺（スミッシング）の見分け方を7つのチェックポイントに整理し、開いてしまった場合の緊急対処法からiPhone/Androidの迷惑メールブロック設定まで網羅的に解説します。高齢のご家族に伝えやすい「3つのルール」も掲載していますので、ぜひご活用ください。

フィッシングメール・SMS詐欺（スミッシング）とは？

フィッシングメールとは、実在する企業やサービスを装い、メールやSMSで偽サイトに誘導して個人情報やクレジットカード情報を盗み取る詐欺の手口です。近年はメールだけでなくSMSを使った手口（スミッシング）も急増しており、スマホユーザーを狙った被害が拡大しています。

フィッシングメールの定義と仕組み

フィッシングメール（phishing mail）とは、銀行・クレジットカード会社・通販サイトなどを装った偽メールのことです。「アカウントが停止されました」「不正アクセスを検知しました」などの文面で不安を煽り、本文中のリンクから偽サイトへ誘導します。偽サイトでID・パスワードやカード情報を入力させ、それらを窃取するのが典型的な手口です。

フィッシングの語源は「fishing（釣り）」の変形で、「不特定多数にエサ（偽メール）をばらまき、引っかかった人から情報を釣り上げる」ことに由来します。

SMS詐欺（スミッシング）の定義と特徴

スミッシング（smishing）とは、SMS（ショートメッセージサービス）を使ったフィッシング詐欺のことです。「SMS」と「phishing」を組み合わせた造語で、携帯電話番号宛にメッセージを送りつける手口を指します。

スミッシングがメールと比べて危険な理由は以下のとおりです。

比較項目	フィッシングメール	スミッシング（SMS）
到達手段	メールアドレス	携帯電話番号
迷惑フィルタ	比較的充実	すり抜けやすい
開封率	約20〜30%	約90%以上
送信元の偽装	ドメインで判別可能	番号の偽装が容易
表示の特徴	PCで詳細確認しやすい	スマホの小画面で判断しにくい

SMSは電話番号さえあれば送信できるうえ、メールと比べて迷惑フィルタをすり抜けやすいため、犯罪者にとって「コストが低く、成功率が高い」手段となっています。

2025〜2026年の被害統計

フィッシング対策協議会の報告によると、フィッシング被害は年々深刻化しています。

指標	2023年	2024年	2025年
フィッシング報告件数	約119万件	約172万件	約245万件
前年比増加率	—	+45%	+42%

※出典：フィッシング対策協議会「フィッシングレポート2025」

2026年3月時点でも報告件数は増加傾向にあり、1日あたり約7,000件のフィッシング報告が寄せられている計算です。特にスミッシング（SMS型）の被害報告は前年比で約1.5倍に増加しており、宅配便の不在通知や銀行のセキュリティ警告を装うパターンが急増しています。

AI生成フィッシングメールの登場で見分けが困難に

2025年以降、生成AI（ChatGPT等）を悪用したフィッシングメールが確認されています。従来のフィッシングメールは「日本語が不自然」「誤字脱字が多い」といった特徴で見分けられましたが、AI生成メールでは自然な日本語が使われるため、文面だけで判断するのが難しくなっています。

さらに「PhaaS（Phishing as a Service）」と呼ばれる、フィッシング攻撃をサービスとして提供するビジネスモデルも確認されており、技術的な知識がない犯罪者でも高度なフィッシング攻撃を仕掛けられる環境が整いつつあります。

フィッシングメールの見分け方｜7つのチェックポイント

不審なメールを受信したら、以下の7つのポイントを順番に確認してください。1つでも当てはまれば、メール内のリンクは絶対にクリックしないでください。

1. 送信元メールアドレスのドメインが公式と異なる
2. 「緊急」「停止」「至急」など不安を煽る件名
3. 宛名が「お客様」など不特定多数向け
4. 本文中のURLが公式ドメインと一致しない
5. 日本語が不自然（助詞の誤用、機械翻訳的な表現）
6. 正規サービスがメールで要求しない情報を求めている
7. 不審な添付ファイル（.zip .exe .html）が付いている

①送信元メールアドレスのドメインを確認する

最も確実なチェックポイントは送信元メールアドレスのドメイン（@以降）です。正規の企業メールは公式ドメインから送信されます。

確認のポイントを以下にまとめます。

正規のドメイン例	偽装ドメイン例	見分けるポイント
@amazon.co.jp	@amazon-security.xyz	公式にないサブドメイン
@rakuten.co.jp	@rakuten.co.jp.verify.cn	公式ドメインの後に別ドメイン
@smbc.co.jp	@smbc-card.net	似て非なるドメイン

スマホではメールアドレスが省略表示される場合があるため、送信者名をタップして完全なアドレスを確認する習慣をつけましょう。

②「緊急」「停止」「至急」など不安を煽る件名に注意

フィッシングメールの件名には、受信者を焦らせて冷静な判断を妨げる表現が多用されます。

以下のような件名は要注意です。

• 「【重要】お客様のアカウントが停止されました」
• 「【緊急】不正アクセスを検知しました。至急ご確認ください」
• 「【警告】24時間以内にご対応いただけない場合、アカウントを凍結します」
• 「お支払い方法に問題があります。更新してください」

正規の企業が「24時間以内に対応しなければ凍結する」といった脅迫的な期限を設けることはほとんどありません。焦りを感じたときほど、一度メールを閉じて公式サイトやアプリから直接確認してください。

③宛名が「お客様」など不特定多数向けでないか

正規の企業メールでは、登録された氏名やアカウント名で宛名が記載されるのが一般的です。「お客様各位」「ご利用者様」など、不特定多数向けの宛名は注意が必要です。

ただし、AI生成メールでは個人名を含むケースも報告されています。宛名だけで安全と判断せず、他のチェックポイントも併せて確認してください。

④本文中のURLをクリック前にマウスオーバーで確認

メール本文に記載されたリンクは、表示テキストと実際のリンク先が異なる場合があります。PCの場合はリンクの上にマウスカーソルを合わせる（マウスオーバー）と、画面左下に実際のURLが表示されます。

スマホの場合はリンクを長押しするとURLのプレビューが表示されます。表示されたURLが公式ドメインと異なる場合は、絶対にタップしないでください。

短縮URL（bit.ly、t.co等）が使われている場合は、リンク先が隠されている可能性が高いため、特に注意が必要です。

⑤日本語の不自然さ（助詞の誤用、機械翻訳的な表現）

従来のフィッシングメールは海外から送信されることが多く、機械翻訳特有の不自然な日本語が見分けのポイントでした。

よくある不自然な表現の例を紹介します。

• 「あなたのアカウントは異常ログインされています」（「に」が抜けている）
• 「お客様のカード情報を確認する必要がございます」（敬語の不統一）
• 「このリンクを通じて情報を更新してください」（「通じて」が不自然）

ただし、前述のとおりAI生成メールでは自然な日本語が使われるケースが増えています。日本語が自然だからといって安全とは限らないため、必ず複数のチェックポイントで総合的に判断してください。

⑥正規サービスがメールで要求しない情報を求めていないか

銀行やクレジットカード会社、大手通販サイトがメールでクレジットカード番号・暗証番号・パスワードの入力を求めることはありません。

以下の情報をメールで求められた場合は、ほぼ確実にフィッシングです。

• クレジットカード番号・セキュリティコード
• 銀行口座の暗証番号
• マイナンバー
• パスワードの再入力（「本人確認のため」と称するもの）

⑦添付ファイル（.zip .exe .html）に注意

フィッシングメールには、マルウェア（ウイルス）を仕込んだ添付ファイルが含まれる場合があります。

特に注意すべきファイル形式を以下にまとめます。

ファイル形式	危険度	説明
.exe .scr	極めて高い	実行ファイル。開くとマルウェアがインストールされる
.zip .rar	高い	圧縮ファイル内にマルウェアが含まれている可能性
.html .htm	高い	偽のログインページが表示される場合がある
.doc .xls（マクロ付き）	中〜高	マクロ実行でマルウェアがダウンロードされる

身に覚えのない添付ファイルは絶対に開かないでください。正規の企業がメールで実行ファイル（.exe）を送ることはありません。

SMS詐欺（スミッシング）の見分け方｜5つの特徴

SMSで届く詐欺メッセージには、メールとは異なる特徴があります。以下の5つのポイントで見分けましょう。

①送信元が080/090など携帯番号でないか

正規の企業からのSMSは、企業名または専用の短縮番号（5〜6桁）で表示されるのが一般的です。080や090で始まる個人の携帯番号から届いた場合は、乗っ取られたスマホから不正送信されている可能性があります。

ただし、送信元番号が偽装されるケースもあるため、番号だけで安全と判断するのは危険です。

②短縮URL（bit.ly等）でリンク先が隠されていないか

SMSは文字数制限があるため、URLが短縮されていること自体は不自然ではありません。しかし、正規の企業がbit.lyやt.coなどの汎用短縮URLをSMSに記載することはほとんどありません。

正規のSMSでは、企業独自の短縮ドメイン（例：smbc.jp、rakuten.link等）が使われます。汎用の短縮URLが記載されている場合は、リンクをタップせず公式アプリから確認してください。

③宅配不在通知・銀行通知など実在サービスを装っていないか

2025〜2026年に多発しているスミッシングの典型例を以下にまとめます。

偽装パターン	メッセージ例	正規との見分け方
宅配便不在通知	「お荷物のお届けにあがりましたが不在のため持ち帰りました」	正規の不在通知は追跡番号を記載。URLは公式ドメイン
銀行セキュリティ	「お客様の口座に不審なアクセスがありました」	銀行はSMSで口座操作を求めない
通信キャリア	「料金のお支払いが確認できません」	キャリアは公式アプリ・マイページで通知
国税庁・年金	「還付金の受取手続きが未完了です」	行政機関はSMSで還付金手続きを案内しない
通販サイト	「ご注文の確認ができません。アカウントをご確認ください」	公式アプリの注文履歴で確認する

④リンクをタップせず公式アプリから確認する習慣

SMSに記載された内容が本当かどうか確認したい場合は、SMS内のリンクをタップせず、以下の方法で確認してください。

• 公式アプリを起動して通知・お知らせを確認する
• ブラウザのブックマークから公式サイトにアクセスする
• 公式サイトの電話番号に問い合わせる

この「SMSのリンクは使わない」習慣を身につけるだけで、スミッシング被害の大半を防ぐことができます。

⑤本物の企業SMSとの見分け方（公式番号一覧）

主要なサービスの公式SMS送信元番号を知っておくと、偽SMSとの判別に役立ちます。

サービス	公式SMS送信元	備考
NTTドコモ	「NTT DOCOMO」表示 / 専用短縮番号	dアカウント関連の認証コードのみ
au（KDDI）	157 / 「au」表示	料金案内は「au PAY」アプリで通知
ソフトバンク	「SoftBank」表示 / 専用番号	My SoftBankアプリで確認可能
Amazon	「Amazon」表示 / 09090097540	注文確認はアプリの注文履歴で確認
楽天	「Rakuten」表示	楽天市場アプリで確認可能

※各社の公式番号は変更される場合があります。2026年3月時点の情報です。不明な場合は各社の公式サイトで最新の情報をご確認ください。

実際のフィッシングメール・SMS事例（2025〜2026年版）

実際に報告されている最新の手口を把握しておくことで、被害を未然に防ぐことができます。

Amazon・楽天を装う購入確認メール

「ご注文の確認」「お支払い方法の更新」を装うメールが最も多く報告されています。

• 件名例：「【Amazon】お支払い方法に問題があります。更新してください」
• 手口：メール内の「確認する」ボタンをクリックすると、Amazon公式そっくりの偽ログインページが表示される
• 見分け方：Amazonからの正規メールは「メッセージセンター」（Amazon公式サイト内）でも確認可能。メッセージセンターに同じ内容がなければフィッシング確定

※出典：フィッシング対策協議会 緊急情報

宅配便の不在通知を装うSMS

スミッシングで最も被害件数が多いのが、宅配便の不在通知を装うパターンです。

• メッセージ例：「お荷物のお届けにあがりましたが不在のため持ち帰りました。下記よりご確認ください。http://xxx.xxx」
• 手口：リンク先でアプリのインストールを求められ、マルウェアに感染。または偽サイトでID・パスワードを入力させる
• 見分け方：正規の不在通知は追跡番号が記載される。URLは各社公式ドメイン（kuronekoyamato.co.jp、sagawa-exp.co.jp等）

銀行・クレジットカード会社を装うセキュリティ警告

「不正アクセスを検知しました」「カードの利用を一時停止しました」などの文面で、偽のログインページに誘導する手口です。

• 件名例：「【三井住友カード】ご利用確認のお願い」
• 手口：本物とほぼ同一デザインの偽サイトでカード情報を入力させる。入力後は正規サイトに転送されるため、被害に気づきにくい
• 見分け方：銀行・カード会社がメールでカード番号や暗証番号の入力を求めることは絶対にない。公式アプリから利用明細を確認する

国税庁・年金機構など公的機関を装うメール

「還付金の受取手続きが未完了です」「年金の届出に不備があります」などの文面で、個人情報やカード情報を盗み取る手口です。

• メッセージ例：「【国税庁】税金の還付手続き未完了のお知らせ。期限までにお手続きください」
• 手口：偽サイトでマイナンバー・銀行口座・クレジットカード情報を入力させる
• 見分け方：国税庁・年金機構がメールやSMSで還付金手続きのリンクを送ることはない。不安な場合は各機関の代表電話に直接問い合わせる

※出典：警察庁 フィッシング対策ページ

フィッシングメール・SMSを開いてしまった場合の緊急対処法

不審なメールやSMSを開いてしまった場合、状況に応じて適切な対処を行ってください。落ち着いて行動することが最も重要です。

メールを開いただけ（本文を閲覧のみ）の場合

メールを開いて本文を読んだだけであれば、基本的に被害は発生しません。念のため以下を実施してください。

URLをクリック（タップ）してしまった場合

偽サイトを閲覧しただけ（情報を入力していない）であれば、すぐにブラウザを閉じてください。

Androidの場合、偽サイトからアプリのインストールを求められることがあります。不審なアプリをインストールしてしまった場合は、すぐにアンインストールし、端末を機内モードにした状態でセキュリティソフトでスキャンしてください。

偽サイトにID・パスワードを入力してしまった場合

ID・パスワードを入力してしまった場合は、以下の手順で速やかに対処してください。

1. 該当サービスのパスワードを直ちに変更する（公式サイト・アプリから直接アクセス）
2. 同じパスワードを使い回している他のサービスもすべて変更する
3. 二段階認証（2FA）を設定する
4. 該当サービスのログイン履歴を確認し、不審なアクセスがないかチェックする
5. 不正ログインが確認された場合は、サービスのサポート窓口に連絡する

パスワードの使い回しは非常に危険です。1つのサービスで漏洩した認証情報が、他のサービスへの不正ログインに悪用される「パスワードリスト攻撃」の被害が増えています。カード番号・住所・マイナンバーなど入力した情報の種類別の対処法は「偽サイトに個人情報を入力してしまった場合の緊急対処法」で詳しく解説しています。

クレジットカード情報を入力してしまった場合

クレジットカード情報を入力してしまった場合は、最優先でカード会社に連絡してください。

カード会社への届出が早いほど、不正利用分の補償を受けられる可能性が高くなります。多くのカード会社では届出日から60日前までの不正利用を補償していますが、届出が遅れると対象外になる場合があります。

クレジットカードの返金手続き（チャージバック申請）の具体的な流れは「偽ショッピングサイトの見分け方」の対処法セクションでも解説しています。

添付ファイルを開いてしまった場合

不審な添付ファイルを開いてしまった場合は、マルウェアに感染している可能性があります。

1. デバイスをインターネットから切断する（Wi-Fiオフ・機内モード）
2. セキュリティソフトでフルスキャンを実行する
3. マルウェアが検出された場合は、セキュリティソフトの指示に従って駆除する
4. 重要なアカウント（銀行・メール等）のパスワードを別のデバイスから変更する
5. 必要に応じて端末の初期化を検討する

初期化が必要になる場合に備えて、日頃からデータのバックアップを取っておくことを強くおすすめします。

迷惑メール・SMSをブロックする設定方法

フィッシングメール・SMSの被害を予防するために、デバイスやサービスのブロック機能を活用しましょう。

iPhoneの迷惑メッセージフィルタ設定

iPhoneには、連絡先に登録されていない差出人からのメッセージを自動的にフィルタリングする機能があります。

設定手順：

1. 「設定」アプリを開く
2. 「メッセージ」をタップ
3. 「不明な差出人をフィルタ」をオンにする

この設定をオンにすると、連絡先に登録されていない番号からのSMSは「不明な差出人」フォルダに自動的に振り分けられます。通知も表示されなくなるため、うっかりタップする心配が減ります。

Androidの迷惑メッセージブロック設定

Androidでは、Googleの「メッセージ」アプリにスパム保護機能が搭載されています。

設定手順：

1. 「メッセージ」アプリを開く
2. 右上の「︙」（メニュー）をタップ
3. 「設定」→「スパム保護」を選択
4. 「スパム保護を有効にする」をオンにする

また、特定の番号をブロックするには、該当メッセージを長押しして「ブロック」を選択します。

キャリア別の迷惑メールフィルタ

各携帯キャリアが提供する迷惑メールフィルタサービスを以下にまとめます。

キャリア	サービス名	料金	設定方法
NTTドコモ	あんしんセキュリティ	月額220円	My docomoから設定
au（KDDI）	迷惑メールフィルター	無料	My auから設定
ソフトバンク	迷惑フィルター	無料	My SoftBankから設定
楽天モバイル	迷惑メールフィルタ	無料	my 楽天モバイルから設定

※料金・サービス内容は2026年3月時点の情報です。最新情報は各キャリアの公式サイトでご確認ください。

Gmailのフィッシング警告機能

Gmailにはフィッシングメールを自動検知する機能が標準搭載されています。

Gmailが不審なメールを検知すると、メール上部に「このメッセージにはご注意ください。個人情報を不正入手するために使用された可能性があります」という警告バナーが表示されます。この警告が表示された場合は、メール内のリンクをクリックしないでください。

さらに、Gmailの「迷惑メール」フォルダに振り分けられたメールは30日後に自動削除されますが、まれにフィッシングメールが受信トレイに届く場合もあります。不審なメールを発見した場合は「フィッシングを報告」をクリックして報告しましょう。

【高齢者・家族向け】フィッシング詐欺から守る3つのルール

高齢のご家族にフィッシング対策を伝える場合は、技術的な説明よりも「やらないこと」をシンプルに3つだけ覚えてもらうのが効果的です。

ルール1：メールやSMSのリンクは絶対にタップしない

「メールやSMSに書いてあるリンク（青い文字）は、どんなに本物っぽくても絶対に押さない」と伝えてください。

確認したいことがある場合は、ブックマーク（お気に入り）やアプリから公式サイトにアクセスする方法を一緒に設定しておくと安心です。

ルール2：不安なときは家族か188に電話する

「変なメールやSMSが来て不安になったら、まず家族に電話する。家族に連絡がつかないときは188（消費者ホットライン）に電話する」と伝えてください。

消費者ホットライン（188）は、「いやや」の語呂合わせで覚えられます。この番号に電話すると、最寄りの消費生活センターにつながり、専門の相談員が対応してくれます。

ルール3：公式アプリ・ブックマークからしかログインしない

「銀行やショッピングサイトにログインするときは、必ずアプリかブックマークから開く。メールに書いてあるリンクからは絶対にログインしない」と伝えてください。

この3つのルールを紙に書いてスマホの近くに貼っておくと、いざというときに確認できます。

よくある質問（FAQ）

Q1. フィッシングメールを開いただけで被害はありますか？

メールを開いただけ（本文を閲覧しただけ）であれば、基本的に個人情報が盗まれることはありません。ただし、添付ファイルを開いたりリンクをクリックした場合はリスクが生じます。念のためセキュリティソフトでスキャンし、不審な動作がないか確認してください。

Q2. フィッシングメールかどうか確認する方法はありますか？

送信元メールアドレスのドメイン確認が最も確実です。公式サービスのドメインと一致しない場合はフィッシングの可能性が高いです。判断に迷う場合は、メール内のリンクをクリックせず、公式サイトやアプリから直接ログインして通知内容を確認してください。

Q3. SMSのリンクをタップしてしまったらどうすればいい？

リンクをタップしただけで偽サイトを閲覧した段階であれば、すぐにブラウザを閉じてください。ID・パスワードやカード情報を入力してしまった場合は、該当サービスのパスワード変更とカード会社への連絡を最優先で行ってください。

Q4. フィッシング詐欺に遭ったらお金は戻りますか？

クレジットカードの不正利用であれば、カード会社に届け出ることで補償される可能性があります。ただし届出が遅れると補償対象外になる場合があるため、不正利用に気づいたらすぐにカード会社へ連絡してください。銀行口座の不正送金は、振り込め詐欺救済法に基づく返金手続きが可能な場合があります。

Q5. 迷惑メールを通報するにはどうすればいいですか？

フィッシングメールはフィッシング対策協議会（info@antiphishing.jp）に報告できます。迷惑SMSは各キャリアの迷惑メール報告窓口に転送可能です。また、警察庁のサイバー犯罪相談窓口や消費者ホットライン（188）でも相談を受け付けています。

Q6. 高齢の親にフィッシング対策を教えるコツは？

「メールやSMSのリンクは絶対にタップしない」「不安なときは家族か188に電話する」「公式アプリかブックマークからしかログインしない」の3つのルールに絞って伝えるのが効果的です。ルールを紙に書いてスマホの近くに貼っておくと、いざというときに確認できます。

まとめ

フィッシングメール・SMS詐欺（スミッシング）は年々巧妙化しており、2025年には報告件数が約245万件に達しました。AI生成メールの登場により文面だけでの判別が難しくなっていますが、送信元アドレスの確認やリンク先URLのチェックなど、基本的な見分け方を身につけることで被害を大幅に防ぐことができます。

フィッシング被害は「自分は大丈夫」と思っている方ほど狙われやすいといわれています。この記事のチェックポイントを活用し、不審なメールやSMSを受け取ったときに冷静に対処できるよう備えておきましょう。ご家族、特に高齢のご家族にも3つのルールを共有し、家族全体でフィッシング詐欺から身を守ってください。

偽ショッピングサイトの見分け方や特殊詐欺の全10種類の手口と対策も併せてご確認ください。その他の防犯情報は「じぶん防犯」トップページからご覧いただけます。