- メール内リンク・電話番号・添付を使わない
- 差出人表示だけで本物と判断しない
- 要求内容と自分の利用状況を分けて確認する
- 公式アプリ/サイトを自分で開き、通知・請求・アカウント状態を確認する
- 必要なら公式サポートへ確認する
- AI判定は追加材料として使う
「差出人が公式」だけでは足りない
警察庁は、メールの見かけ上の送信元名称や送信元メールアドレスは変更・偽装が可能で、それだけで真偽を判断することは困難だと案内しています。IPAも、見かけ上の送信元情報を安易に信じないよう注意喚起しています。
そのため、表示名が銀行・通販サイト・行政機関になっている、見覚えのあるドメインに見える、自分のアドレスから来たように見える、といった点だけでは本人確認になりません。
リンクの文字列を読むだけで最終判断しない
リンク先表示が公式サイトに似ていても、似た文字列のドメインや、表示テキストと実際のリンク先が異なる方法があります。警察庁は、メールやSMS内リンクを安易にクリックせず、公式アプリやブックマークなどから正しいサイトへ接続するよう案内しています。
「URLのスペルを全部チェックしてから開く」という方法だけに依存するより、そもそも受信メールのリンクを使わない方が判断を単純にできます。
メールが求めている行動を分類する
| 要求 | 確認ポイント |
|---|---|
| ログイン・本人確認 | 公式アプリ/サイトを自分で開き、本当に確認要求が出ているかを見る。 |
| 支払い・カード更新 | 公式アカウントの請求情報を確認し、メールの決済リンクは使わない。 |
| 不正アクセス警告 | 公式サービスのセキュリティ通知・ログイン履歴等を確認する。 |
| 添付ファイルを開く | 想定していない添付は開かない。マルウェア懸念はScamScanの守備範囲外。 |
| 電話をかける | メール内番号ではなく公式サイトに掲載された連絡先を確認する。 |
文章やデザインの「違和感」は補助材料にする
不自然な日本語、文脈に合わない敬語、宛名の違和感、ロゴの粗さなどは警戒のきっかけになります。しかし、現在のフィッシングは正規メールやサイトに似たデザイン・自然な文章を使うこともあるため、違和感がないことを安全判定には使いません。
反対に、正規サービスでも翻訳やテンプレートの都合で不自然な文章が含まれる可能性はあります。特徴は単独ではなく、要求内容・公式側の事実と組み合わせます。
公式サービス側から事実確認する
アカウント異常、未払い、本人確認などが本当に必要かを、メールを経由せず確認します。
ブックマークや自分で検索した公式ページからログインし、通知・請求・注文履歴などを確認します。
問い合わせ先もメール本文からではなく、公式サイト側から取得します。
添付ファイルや端末感染は、メッセージ判定とは別問題
ScamScanは、入力した本文や画像の内容から詐欺リスクを整理するアプリです。添付ファイルのマルウェア解析、端末のウイルススキャン、メールボックスのセキュリティ診断は行いません。
不審な添付を開いた、アプリやファイルをインストールした、端末の挙動がおかしいなどの場合は、一般的なフィッシングメールの見分け方ではなく、端末・情報セキュリティの対応へ切り替えます。
すでに操作した場合
ScamScanでメールを確認する場合
メール本文を手動入力するか、メール画面のスクリーンショットを画像として分析できます。ScamScanは受信箱へ接続してメールを自動監視するものではありません。
AI判定で表示されるリスクスコアや分類は、差出人の本人確認やリンク先の安全性を証明するものではありません。公式サービス側の確認と組み合わせてください。