【偽メールの「お支払方法をご確認ください」】警察庁が10月15日に注意喚起｜リンクを押さない・使い回さない・パスキーで防ぐ、同日にはフィッシングの犯罪インフラの封じ込めも発表

こんにちは！守護者（センチネル）、シェミハザです。
今日は、「商品お届けのため、お支払方法をご確認ください」という偽メールの話です。
結論は、メールの中のリンクを押さず、ブックマークか公式アプリから自分で開くことです。

今日の実例です。警察庁は2026年10月15日、「サイバー警察局便り」Vol.20「フィッシングメールに注意！」を出しました。冒頭に赤い枠でこう書いています。「流出したメールアドレスに対する偽メールによって、更なる情報流出や金銭的被害に繋がるおそれがあります」。警察庁はこの日、マイクロソフト・日本サイバー犯罪対策センター（JC3）と連携して、フィッシングに関する犯罪インフラのテイクダウン（利用できなくする措置）を行ったことも発表しています。

先に、分かっていることと分からないことを分けます。分かっているのは、(1) 警察庁が偽メールの例と3つの対策を示したこと、(2) 警察庁がテイクダウンの経緯の日付（10月6日に提訴、8日に裁判所の命令）を公表していることです。分からないのは、このテイクダウンで日本に届く偽メールが減るのかで、警察庁の資料には書かれていません。だから、対策は変えずに続けます。

警察庁が示した偽メールの例

• ▸① 偽メールが届く。警察庁の例の件名は「●●アカウントより重要なお知らせ」。差出人は公式を思わせる表示（「●●公式メール」）で、警察庁は「送信アドレスを偽装する場合も」あると書いています
• ▸② 「お支払方法をご確認ください」とリンクを押させる。例の本文は「商品お届けのため、お支払方法をご確認ください。」と、リンクだけです。商品が届くという理由づけで、「確認しないと困る」と思わせます（当サイトの見方）
• ▸③ 偽サイトで入力させる。リンク先は「お支払方法を入力」の画面で、クレジットカード名義人とカード番号の欄があります。ここで入力した情報が盗まれます（警察庁の例）
• ▸④ 情報が盗まれる。警察庁は、更なる情報流出や金銭的被害につながるおそれがあると書いています。警察庁の「フィッシング対策」のページでは、入力を求められる情報の例として、カード番号・暗証番号・ID・パスワード・住所・氏名・電話番号・生年月日などを挙げています

「見分けよう」としすぎないでください。警察庁は「フィッシング対策」のページで、メールソフトに表示される送信元の名前とメールアドレスは、変更するのが容易で、見た目だけでは真偽を判断することは困難だと書いています。スマートフォンの画面は表示項目が少なく、さらに判断しにくいとも書いています。だから見分けるのではなく、リンクを押さない形で守ります。

今日できること：警察庁の3つの対策

• ✓★メール内のリンクを安易にクリックしない。お支払い、アカウント、配達などの通知が来たら、あらかじめブックマークしておいた公式サイトか、公式アプリから自分で開きます。警察庁は、リンクは偽装でき、本物に似たドメイン名の偽サイトも多いため、見た目でリンクの真偽を判断するのは非常に困難だと書いています
• ✓ID・パスワードの使い回しをしない。同じ組み合わせを複数のサイトで使うと、1つ盗まれただけで銀行やSNS、通販など全部が乗っ取られるおそれがあります（警察庁）。覚えられないときは、パスワード管理アプリを使います
• ✓パスキーその他の多要素認証を使う。パスワードが盗まれても、それだけではログインされにくくなります。警察庁は、ワンタイムパスワードや、指紋・顔認証も勧めています。使えるサービスから1つずつで十分です
• ✓迷惑メッセージのブロック機能を使う。携帯電話会社などが提供する機能で、フィッシングメールや不審なSMSが届きにくい設定にできます（警察庁）
• ✓OSとアプリを最新にする。広告などから偽サイトへ誘導される場合があるため、更新して安全な状態を保ちます（警察庁）

もし、カード情報やパスワードを入力してしまったら

• ▸① 被害に遭ったサービスの会社へ、すぐ連絡する。不正送金なら金融機関、カードの不正利用ならカード会社へ。補償制度や相談窓口を設けている会社があります（警察庁）。連絡先は、カードの裏面や公式サイトにある番号を使い、メールに書かれた番号は使いません（当サイトの補足）
• ▸② 同じID・パスワードを使っている全てのサービスで、パスワードを変える。入力したパスワードを使い回していたなら、全部が対象です（警察庁）
• ▸③ 警察に相談・通報する。最寄りの警察署か、サイバー事案の通報・相談のオンライン窓口へ。偽サイトを見つけたら、URLを「フィッシング110番」に通報できます（警察庁）
• ▸④ 明細を、しばらく毎日見る。身に覚えのない利用がないか確認します（当サイトの補足）

同じ日に発表された、犯罪インフラのテイクダウン

警察庁の広報資料（2026年10月）は、次の経過を書いています。令和7年（2025年）10月から、日本を狙ったフィッシングについて、関東管区警察局サイバー特別捜査部とマイクロソフト・JC3が実態の解明を進め、フィッシングに関する犯罪インフラを特定しました。今月6日にマイクロソフト等が米国の裁判所に訴訟を起こし、同8日に裁判所の命令が出て、テイクダウンを実施しました。

• ▸報道によると（マイクロソフトの発表の伝聞）：米国のThe RecordとCyberScoop（ともに2026年10月14日付）は、マイクロソフトが「YAM Store」「CoGUI」「Iron Man」の3つのサービスを標的にしたと伝えています。10億通を超えるメールとSMS、7万5千を超える組織が標的になったとされ、日本を狙ったものが使われていたと書かれています
• ▸偽の誘い文句の例（報道）：配達できない荷物、未払いの通行料、確認が必要な銀行口座、未納の税金。今回の警察庁の偽メールの例と同じ「支払い・確認」を促す型です（当サイトの見方）
• ▸この記事の限界：警察庁の資料には、サービス名や件数は書かれていません。マイクロソフト自身の発表本文は、開いて確認できていません。上の数字や名称は、報道の記述をそのまま写したものです

テイクダウンがあっても、メールの見分け方は変わりません。警察庁は同じ日に、テイクダウンの発表と一緒に「リンクを安易にクリックしない」という注意喚起を出しています。偽メールを送る手段は、1つなくなっても別のものが使われるおそれがあります（当サイトの見方。今回の件で別の手段に移るかは、公表資料に書かれていません）。

見破りクイズ

こんな場面を想像してください。

家族に送るならこの3行

• ▸「商品お届けのため、お支払方法をご確認ください」のようなメールは、まず偽物を疑う。メールの中のリンクは押さず、ブックマークか公式アプリから自分で開く（警察庁・10月15日）
• ▸★カード番号やパスワードを入力してしまったら、すぐカード会社・銀行へ。連絡先はカードの裏面や公式サイトの番号。同じパスワードを使っていたサービスは、全部変える
• ▸迷ったら #9110、お金を取られそうなら110番、契約や請求のトラブルは消費者ホットライン 188。（#9110、110、188は日本国内の番号です）

相談先

これは詐欺かどうか迷うときは、警察相談専用電話 #9110 です。緊急ではない相談を、最寄りの警察署か #9110 で受け付けます。お金を取られた、取られそうなど、今まさに被害にあっているときは、110番です（警察庁の案内にもとづく、当サイトの補足です）。
契約や請求のトラブルは、消費者ホットライン「188（いやや！）」です。お住まいの地域の消費生活センター等につながる全国共通の番号です。
偽サイトを見つけたときは、警察庁が案内する「フィッシング110番」へURLを通報できます。

確認できなかったこと

• ▸このテイクダウンで、日本に届く偽メールが減るかどうか。警察庁の資料には書かれていません。この記事は、減るとも減らないとも断定していません
• ▸テイクダウンの対象のサービス名や、日本での被害の件数・金額。警察庁の資料には、ありません。上に載せた名称と数字は、米国の報道の記述です。報道ごとに偽サイト用の画面の数が「2,300超」「2,360」と分かれており、マイクロソフトの発表本文は確認できていません
• ▸警察庁の偽メールの例が、実際に出回っている特定のメールかどうか。警察庁は、例を「●●」「example」の形で示しており、実在のブランドは書かれていません
• ▸2026年10月8日号（Vol.19「情報流出に注意」）の内容。題名は確認しましたが、本文は読んでいません。この記事の根拠にしていません

根拠にしたページ