【決定版】銀行・カードのフィッシング詐欺メール一覧と対処法|三井住友・三菱UFJ・アメックス等の見分け方

銀行やカード会社を名乗る「利用停止」「振込完了」「ポイント進呈」のメールが届いたら、メールのリンクではなく、普段使っている公式アプリやブックマークから確認してください。宛名・日本語の自然さ・ドメイン末尾の一項目だけで、本物か偽物かを即断しないことが重要です。

このページでは、銀行・クレジットカード・決済サービスを名乗る文面を掲載し、それぞれの確認点と入力後の対応を解説します。引用中のURL・電話番号などは、誤操作を防ぐため一部を伏せたり、操作できない文字列にしたりしています。

銀行・カードのメールで最初に確認すること

アメックスの招待と高額ポイントを案内するメール

「最大169,000ポイント獲得可能◆2026年9月、アメリカン・エキスプレス・百夫長カードの特典・サービスが進化」という件名で、次の本文が届きました。ここに記載された特典は、メールの内容を見比べるための引用です。

The Centurion® Card Invitation
American Express Centurion Card Invitation
AMERICAN EXPRESS
PRIVATE INVITATION
アメリカン・エキスプレス®・カード会員様
選ばれた方に、
究極の象徴を。
平素は格別なるお引き立てを賜り、厚く御礼申し上げます。
この度、会員様の揺るぎないご信頼への感謝を込めまして、センチュリオン・カードへのご招待を差し上げます。センチュリオン・カード会員様だけの特別な「入会ベネフィット」をご用意いたしました。
■ センチュリオン・ウェアラブル(会員専用リング)
職人の手作業により仕上げられた、決済機能付きオリジナル・セラミックリングを贈呈いたします。
※カード発行後、専任コンシェルジュよりサイズ計測キットの送付またはフィッティングのご案内(14日以内)を差し上げます。
■ 期間限定・ウェルカムポイント
本招待を通じてご入会いただいた会員様へ、
50,000
メンバーシップ・リワード®・ポイントを特別に進呈いたします。
ACCEPT INVITATION
RSVP CODE:
CNT-8800-2026-PRIV
※リングの製作にはサイズ確定後、約4〜6週間のお時間をいただきます。
※本メールは完全招待制であり、第三者への転送や共有は固くお断りいたします。
※審査によりご希望に沿えない場合もございます。入会金および年会費の詳細はリンク先をご確認ください。

件名と本文で、ポイントの条件がつながっているか

件名には「最大169,000ポイント」、本文には「50,000」のウェルカムポイントとあります。複数の特典がある正規の案内でも合計と内訳が異なることはありますが、この文面だけでは両者の関係が分かりません。高額な数字に反応する前に、自分が対象となる案内か、付与条件を公式窓口で確認してください。

「完全招待制」「転送や共有は固くお断り」といった文言や、RSVP CODEという招待番号があっても、本物の招待を受けた証明にはなりません。リングなどの特典の説明が詳しいことと、差出人が正規であることも別です。身に覚えのない招待は、メール内のACCEPT INVITATIONを使わず、手元のカードのお問い合わせ先から確認します。

アメックスも、不審なメールはリンクではなく公式サイトや公式アプリで確認するよう案内しています。利用明細に異常がないことだけで、招待メールまで本物と判断しないでください。

公共料金・銀行を名乗るメールの実例

【実例A:電気料金の異常通知】
件名:
iPhoneから送信
送信元:
xxwez@yu-i.co.jp
誘導先URL:
hxxps://www[.]missbattery[.]com/[.][.][.]
本文:
iPhoneから送信
電気料金に異常があります。速やかにご確認・ご対応ください。

「電気料金に異常があります」とありますが、契約先の電力会社や対象の請求が特定できません。「iPhoneから送信」という件名も、料金の連絡内容を説明していません。契約している電力会社の会員画面で請求を確かめてください。送信元の表示だけで、表示された企業が発信した、あるいはその企業のシステムが侵害されたとは判断できません。

【実例B:りそな銀行 マイゲート手続完了】
件名:
りそな銀行「マイゲート」振込・振替等の手続完了のご案内
送信元:
xmc@welco.co.jp
本文:
下記受付番号の振込・振替……の手続きが完了しましたので、ご連絡いたします。……(中略)……
◆マイゲートサポートセンター [電話番号省略]

身に覚えのない振込完了通知では、メールの取消リンクへ進む前に、公式アプリの入出金明細を確認します。本文に正規の窓口と同じ番号が書かれていたとしても、メール内の他のリンクの安全性まで保証されるわけではありません。電話する場合も、公式サイトや契約書類から番号を確認してください。

【実例C:GMOあおぞらネット銀行 本人確認】
件名:
【重要なお知らせ】お客様情報のご確認をお願いいたします
送信元:
sso-gmo-aozora-jp@092c0e9718.nxcli.io
本文:
セキュリティ保護の一環として、アカウント情報のご確認をお願いしております。ご確認が完了していないお客様には、一部機能のご利用を制限させていただく場合がございます。

表示された送信元にはGMOあおぞらを思わせる文字が含まれていますが、メールアドレスの@以降は092c0e9718.nxcli[.]ioです。@より前の名前は、銀行の本人確認を受けた印ではありません。本人確認が必要かどうかは、銀行の正規の会員画面で確認します。

【実例D:三井住友銀行・カード 異常ログイン】
件名:
【重要なお知らせ】三井住友銀行 ご利用確認のお願い
誘導先URL:
hxxp://www[.]smbc-cacd[.]com[.]ftmlfrw[.]cn/
本文:
弊社では最近、お客様のアカウントの別の場所に別のIPアドレスでログインしていることを発見し、カードの資金を盗もうとしました。……アカウント確認情報とカードを再度有効にしてください。

「カードの資金を盗もうとしました」という文は、誰の行為を説明しているのか不自然です。また、示されたURLはftmlfrw[.]cnの下に、銀行名に似せた文字が置かれています。「smbc」の文字があるかではなく、正規のドメインと一致するかを見ます。ドメインの末尾から犯人の国籍や所在地を決めることはできません。

カードの請求確定・利用制限を装う実例

【実例E:American Express(アメックス)の文字化けメール】
件名:
=?UTF-8?Q?[AMERICAN EXPRESS] =E3=81=943D?= 請求金額確定のご案内
送信元アドレス:
lddyumkmn@kakokishoji.co.jp
誘導先URL:
hxxps://www[.]amenetgame[.]com/
本文:
お客様のアカウントに関する重要なお知らせ。カード番号(下5桁): 02009。平素はアメリカン・エキスプレスのカードをご利用いただき、誠にありがとうございます。ご請求金額が確定しましたので、「オンライン・サービス」へログインのうえ、ご確認ください。

件名に=?UTF-8?Q?などの文字が露出しています。メールの文字コード処理や表示の問題でも起こり得るため、文字化けだけで偽物とは決められません。この例では、案内されたサイトのドメインと、自分のカードの末尾番号を別に確認する必要があります。本文中の番号が一致しない場合は手続きを進めないでください。一致していても、それだけで安全とはいえません。

【実例F:VISA / Mastercard / JCB の共通テンプレート】
件名:
【重要】Mastercard からの緊急の連絡 / お支払い方法変更のご案内[VISAカード]
誘導先URL:
www[.]myjas[.]jcoeod[.]com / www[.]n[.]moateaeod[.]com等
本文:
【MyJCBカード】利用いただき、ありがとうございます。このたび、ご本人様のご利用かどうかを確認させていただきたいお取引がありましたので、誠に勝手ながら、カードのご利用を一部制限させていただき……(後略)

件名のブランドと本文のMyJCBという名称が一致しているか、自分が持つカードの発行会社からの通知なのかを確認します。VISAやMastercardなどのブランド名だけでは、契約先のカード会社は特定できません。カード裏面や公式アプリに記載された発行会社を確認先にしてください。

漢字の形やフォントの違いは、端末やメールの表示設定でも起こります。海外の攻撃者が作成した証拠とはいえません。不自然な表現は確認のきっかけとし、請求・利用制限の事実は会員画面や窓口で確かめてください。

カードのポイントを理由にアプリを入れさせるメールは、楽天カードのポイント受取・e-NAVI終了メールの実例で詳しく解説しています。

SMSの「最後通告」と、決済サービスの送金通知

【実例G:利用料金・最後通告系】
文面:
ご利用料金のお支払い確認が取れておりません。本日中にお客様データセンター0343292217までご連絡下さい。
文面:
NTTドコモお客様センターです。サイト利用料金に関する最後通告になり連絡ない場合法的手続きに入ります。[電話番号省略]

「本日中」「法的手続き」という記載は、相手の番号へ急いで電話する理由にはなりません。契約先の公式の問い合わせ先を自分で調べて確認します。SMSの表示名や過去の通知と同じスレッドに入っていることだけでも、本物とは判断できません。

電話先でギフトカードやVプリカの購入、コードの読み上げを求められても応じないでください。通知に驚いて連絡した場合も、そのまま送金や遠隔操作の案内を進めず、いったん切って公式窓口へ確認します。

【実例H:PayPay銀行(旧ジャパンネット銀行)】
件名:
【PayPay銀行】送金失敗通知
送信元アドレス:
japannetbank@bvmbinsz.cn
本文:
お客様の口座が異常のため、お客様の口座に振り込む際に、入金することが完了できません、。ご振込み金額は一応こちらで預かりますので、下記リンクから制限を解除してください。

「一応こちらで預かります」という説明や、「入金することが完了できません、。」という文章が不自然です。送金した覚えがある場合ほど自分の取引だと結びつけやすいので、メールとは別に銀行の取引履歴を確認してください。送信元に旧銀行名が入っていても、現在の銀行からの通知である証明にはなりません。

銀行・カード会社を装う不審メールで情報を入力した場合の対処

ここでの対象は、掲載したような不審メールのリンク先や、そこに書かれた偽の窓口へ情報を渡してしまった場合です。自分で開いた銀行の公式アプリや、カード裏面の連絡先で本人確認したこととは区別します。閲覧のみ、認証情報の入力、カード情報の提供、送金のどこまで行ったかを確かめてください。

メールを開いた・リンクを表示しただけ

操作を止め、情報の入力、ファイルの保存、アプリの導入、通知の許可をしたか確認します。表示したことと、情報を渡したことは同じではありません。異常がなければそれ以上操作せず、メールソフトの迷惑メール報告で処理してください。

パスワード・カード情報・認証コードを入力した

銀行やカード会社の公式窓口へ至急連絡します。伝えるのは、入力した項目、日時、実際の支払いや送金の有無です。カードの一時停止や再発行、ネットバンキングの利用制限など、必要な手続きを確認してください。安全な端末から入力したパスワードを変更し、使い回し先も変更します。

アメックスでは、カード情報を偽サイトに入力した場合の対応を案内しています。請求が出てからではなく、情報を渡した段階で連絡することが大切です。

送金した・ギフトカードのコードを伝えた

銀行振込なら利用した銀行へ、ギフトカードなどなら発行元へ直ちに連絡し、停止や回収の余地があるか確認してください。取り戻せると保証はできませんが、「もう何もできない」と決めつけて連絡を遅らせないでください。購入控え、振込記録、メール、相手とのやり取りを保管し、警察にも相談します。

補償の対象と期限は、契約先で確認する

不正利用の補償は、銀行・カード会社の規約、取引の種類、本人の状況、届出時期などによって異なります。「発覚から一律60日」「個人の不正送金は必ず全額補償」とは考えないでください。いつから何日以内の申告が必要なのか、どの書類が必要かを、利用先の窓口で確認します。

警察への相談が必要な場合は、警察相談専用電話#9110や最寄りの警察署を利用できます。消費者トラブルの相談先は消費者ホットライン188です。メールの中に書かれた「返金代行」へ手数料を支払うのではなく、まず契約先と公的な窓口を使ってください。

よくある疑問

本名やカードの末尾番号が書かれていれば本物ですか?

それだけでは判断できません。自分の情報と一致しない場合は不審な点になりますが、一致していても、公式サイト・アプリから利用状況を確認してください。

アプリに異常がなければ、不審な通知は無視していいですか?

請求などの反映には時間差もあります。利用停止や取引の通知で判断できない場合は、公式の窓口で確認してください。一方、メールに従って不明なサイトにログインする必要はありません。

正規の会社もSMSで本人の利用確認をしますか?

はい。例えばアメックスの公式セキュリティ案内には、SMSで利用確認をする例が掲載されています。SMSだから一律に偽物と決めず、通知された内容を別の正規の経路で確認してください。

差出人やメール認証の見方は、なりすましメールの確認方法で解説しています。