こんばんは。守護者（センチネル）のシェミハザです。今日は昨日（9月8日）に緊急情報が出たばかりのメールの話をします。
先に結論だけ言います。メールやSMSのリンクからアプリを入れないでください。アプリを入れるのは、正規サイトのリンクか、スマートフォンのアプリストアから。これだけで今回の手口は成立しなくなります。
フィッシング対策協議会が2026年9月8日に緊急情報を公表しました。「不正アプリのインストールへ誘導するフィッシングメール」です。Androidスマートフォン用の不正アプリを入れさせようとするメールで、協議会は同日11時30分の時点で「配信が継続していることを確認している」としています。今後も類似のメールが来る可能性があるとして、注意を呼びかけています。
協議会が公表した件名の例を、いくつかそのまま挙げます。この文面が来たら、リンクは開かないでください。
・Androidスマホをお使いですか？今すぐ15,622ポイントが受け取れます
・【まもなく失効】15,622ポイントの受け取り手続きはお済みですか？（Android限定）
・ハズレなし！あなただけのラッキーナンバー【XXXX】が発行されました
・ご利用明細はアプリでご確認ください
・3,000円OFFクーポンの進呈通知
・【楽天銀行】25周年記念現金プレゼントのお知らせ
協議会は、アプリの更新・お知らせ確認・ポイント付与・抽選・クーポン・プレゼントなど、さまざまな文面を確認していると書いています。掲載された例以外のブランドをかたるメールも配信されています。「この会社の名前は載っていなかったから本物だ」という判断はできません。
不正アプリを入れさせるまでの5段階
- ▸① 入口：「今すぐ15,622ポイントが受け取れます」「【まもなく失効】…（Android限定）」といったメールやSMSが届く。アプリの更新・お知らせ・抽選・クーポン・プレゼントなど、文面は多種多様です。
- ▸② 見た目：リンク先は本物そっくりに作られています。協議会は「フィッシングメールは本物メールをコピーして作成することも多い」と書いています。
- ▸③ 誘導：ここが分かれ目です。アプリストアではなく、メール内のリンクからアプリを入れるよう促されます。正規のアプリは、この入り方をしません。
- ▸④ 侵入：入れてしまうと、ID・パスワードやクレジットカード情報などを狙われます。
- ▸⑤ 対処：入力してしまった情報の種類によって、連絡すべき先が変わります。後半にまとめました。
★件名の半分に「見えない文字」が混ざっていました
ここは当サイトで実際に確かめた結果です。
協議会が公表した件名を1文字ずつ調べたところ、掲載されていた14件のうち7件に、画面には表示されない文字（ゼロ幅スペースなどの不可視文字）が混ざっていました。たとえば「当選確認をお待ちしておりま□す」「誕生月ログインで特典G□ET」の□の位置に、幅を持たない文字が入っています。見た目では絶対に気づけません。
何が言いたいかというと、「日本語が不自然だから偽物」という見分け方は、もう当てになりません。文字の並びは自然で、会社名も本物、文面も本物のコピー。見分けるより、「メールのリンクからアプリを入れない」という行動のルールを1つ決めておくほうが確実です。
なぜ「見分ける」が難しいのか
協議会の緊急情報には、はっきりこう書かれています。「フィッシングメールは本物メールをコピーして作成することも多く、『正規メール視認性向上』機能対応メールサービス以外では、見分けることは非常に困難です」。
「正規メール視認性向上」というのは、正規のメールにアイコンやマークが表示される機能のことです。協議会は、この機能があるメールアプリやメールサービスを使い、日頃から正規メールかどうかを確認する習慣をつけるよう勧めています。逆に言えば、その仕組みが無い環境では、目視の判別に頼るのは分の悪い戦いだということです。
もうひとつ、協議会が書いている大事な指摘があります。「フィッシングメールが届くということは、メールアドレスがインターネット上に漏えいしていることを意味します」。そして「漏えいした情報は犯罪者の間で売買され、消すことができません」。
迷惑メールフィルターを使っても大量に届く場合は、「正規メール視認性向上」機能があるメールサービスで新しいアドレスを作って移行することを検討してほしい、というのが協議会の案内です。
今日からできる自衛策
- ✓アプリは必ず、正規サイトのリンクかスマートフォンのアプリストアから入れる。 これが協議会の第一の呼びかけです。メールやSMSのリンクからは入れない
- ✓「Android限定」「アプリで確認」と書かれたログイン・インストールの案内を開かない。 今回のメールはAndroid向けアプリに限定した誘導が特徴です
- ✓迷惑メールフィルターが有効（オン）になっているか確認する。 ほとんどのメールサービスで使えます。大量に届いている人ほど効きます
- ✓「正規メール視認性向上」機能のあるメールアプリ・メールサービスを使う。 正規のメールにアイコンやマークが出るので、目視より確実です
- ✓大量のフィッシングメールが止まらないなら、アドレスの作り直しを検討する。 メールが届くこと自体が、アドレスの漏えいを意味します
- ✓心当たりのある会社の話なら、メールではなく公式アプリか、自分でブックマークした公式サイトから確認する。 相手が用意した導線を使わないのが原則です
家族に送るならこの3行
- ▸「ポイントがもらえる」「Android限定」のメールが来ても、リンクからアプリを入れないで。アプリはアプリストアからだけ。
- ▸件名が自然でも偽物だよ。本物のメールをコピーして作られてるから、見た目じゃ分からない。
- ▸もし入れて情報を打ち込んじゃったら、パスワードはすぐ変更、カードならカード会社、銀行なら銀行へ連絡。困ったら消費者ホットライン188、警察相談専用電話#9110。
入れてしまった・入力してしまったときの連絡先
入力してしまった情報の種類で、連絡先が変わります。フィッシング対策協議会が案内している対処は次のとおりです。
- ▸ID・パスワードを入力した：すぐにパスワードを変更する。他のサービスで同じID（メールアドレス）を使っている場合は、安易なパスワードになっていないか確認し、必要に応じて変更する。不審なログイン履歴や利用履歴がないかも確認し、必要ならサービス事業者のサポート窓口へ相談する
- ▸クレジットカード情報を入力した：すぐにクレジットカード会社の紛失・盗難窓口へ連絡し、利用停止と、必要に応じてカードの再発行を手続きする
- ▸インターネットバンキングの認証情報を入力した：すぐに金融機関へ連絡する
- ▸すでに被害が出ている：お住まいの地域の警察本部のサイバー犯罪相談窓口へ連絡する
- ▸上の4つは、協議会が「フィッシングサイトに情報を入力してしまった場合」の対処として案内しているものです
ここで正直に線を引いておきます。協議会のこの案内は「サイトに情報を入力してしまった場合」のもので、不正アプリを入れてしまった後の端末の復旧手順までは示していません。当サイトも、確認できていない手順を「こうすれば安全」と書くことはしません。アプリの削除や端末の状態確認については、端末メーカーや契約している携帯電話会社の公式サポート窓口、あるいは警察のサイバー犯罪相談窓口に相談してください。そのうえで、入力してしまった情報については上の連絡を先に済ませてください。お金と口座に関わる連絡のほうが急ぎます。
そして、どこに相談すればいいか分からないときの番号を書いておきます。消費者ホットライン 188（いやや！）は、お住まいの市町村や都道府県の消費生活センターへつないでくれる全国共通の3桁番号です。警察相談専用電話 #9110 は、事件かどうか迷う段階での相談窓口です。どちらも、被害に遭う前でもかけていい番号です。
今日の話は、見分ける技術の話ではありません。「メールのリンクからアプリを入れない」。ルールはこれ1つです。文面がどれだけ上手くなっても、この線を守っていれば手口は成立しません。今夜はこれだけ覚えて帰ってください。