No.225新着 ネット販売の人を狙うフィッシング 「アカウント停止」「本人確認」の偽メールと偽SMSの見分け方と、引っかかった後の動き方
Amazon やメルカリなどで売る人は、アカウントを人質にするような偽のメールや SMS に狙われやすい。フィッシング対策協議会の2026年9月の報告件数、警察や国民生活センターが示す見分け方と、入力してしまった後の対応を、開いて確かめた範囲で整理する。2026年11月時点の内容である。
本文と出典
あらまし
ネットで物を売る人、文章を書いて売る人にとって、販売サイトのアカウントは店そのものである。そのアカウントのIDとパスワードを盗もうとするのが、フィッシングである。実在の会社を装ったメールや SMS で偽のサイトへ誘い、入力させる。ここでは、フィッシング対策協議会、警察庁、警視庁、国民生活センター、メルカリの公式ヘルプを実際に開いて確かめた範囲で、手口、見分け方、引っかかった後の動き方を整理する。2026年11月時点の内容である。
どんな被害か
警察庁の説明では、金融機関、通信会社、宅配業者などをかたるメールや SMS から偽サイトへ誘導し、IDやパスワード、口座やカードの情報を盗む。文面は「不正アクセスを検知した」のように切迫感をあおるものが多い。入力させる情報には、口座番号、カード番号、暗証番号、本人確認書類の画像まで含まれることがある。
売る側の場合、盗まれたアカウントで何が起きるかは、サービスごとに違う。個別の被害内容までは確かめていないので、売上の入金先や登録したカードに関わる情報が狙われると考えるのが安全である。
件数の目安
フィッシング対策協議会が2026年10月19日に公開した月次報告書によると、2026年9月に協議会へ寄せられたフィッシングの報告は94,661件で、前の月より12,323件(約15.0%)増えた。ブランド別では Amazon をかたるものが約33.2%で増加傾向、Apple が約11.1%で減少傾向、次いでセゾンカード、アメリカン・エキスプレス、国税庁をかたるものが報告された。上位5ブランドで約65.3%を占める。
なお、この月次報告書の本文には、メルカリや KDP、eBay、個別の銀行についての記述は見つからなかった。「アカウント停止」という語も本文にはなかった。報告書が挙げる文面の型は、不正利用の検知や本人認証をよそおう通知、決済情報や契約更新の連絡、ポイントやマイルの有効期限の通知などである。報告件数は協議会に届いた数であり、実際の被害者数ではない。
見分け方
警察庁と警視庁の案内が共通して述べる点は次のとおりである。
・1. 送信元の名前やアドレスは偽装が容易で、それだけでは真偽を判断できない。見た目が公式らしいことは根拠にならない。
・2. 本物に似せたドメインが多く使われる。リンクが公式らしく見えても信用しない。
・3. 「個人情報の漏えい」「不審なアクセス」のように不安をあおる文面、「ポイント進呈」のように興味を引く文面は、どちらも典型的な誘い文句である。
・4. 検索結果に出る広告から偽サイトへ誘導される例もある。
・5. 警察庁は、金融機関がID・パスワードなどをメールや SMS で問い合わせることはない、としている。
メルカリの公式ヘルプには、販売者向けにそのまま使える記述がある。メルカリやメルペイを名乗るメール・SMSのリンクは開かず、公式アプリやブックマークから確かめること。メールのリンク先でパスワードや SMS の認証番号を入力させることはない、と明記されている。また、メルカリ・メルペイの SMS にはログインを促す URL を載せていない、とも書かれている(例外として、メルペイのクレジット支払い期限超過の SMS は特定の電話番号から送られ、URL を含む場合があると、同じページに書かれている)。
Amazon の公式ヘルプも開こうとしたが、2回ともサーバーが応答せず、本文を確かめられなかった。そのため Amazon、KDP、eBay、銀行については、各社が「メールでパスワードを求めない」と案内しているかどうかをここでは書かない。利用中のサービスについては、各自で公式ヘルプを開いて確かめてほしい。
日頃の備え
警察庁は、メールや SMS のリンクを安易に開かず、公式サイトはブックマークに登録するか公式アプリを使うこと、IDとパスワードを複数のサイトで使い回さないこと、ワンタイムパスワードや生体認証を併用することを挙げている。警視庁は、対応しているサービスなら多要素認証やパスキーを使うことを挙げ、パスキーは遠隔からのログインを格段に難しくする、と説明している。
国民生活センターは2023年11月8日の発表で、利用中の事業者からの連絡でも、まずフィッシングを疑うよう呼びかけた。利用明細をこまめに見ること、カードの利用限度額を必要最低限にしておくことも挙げている。
引っかかった後にすること
警察庁と警視庁は、順番をほぼ同じに案内している。
・1. 先にサービス提供会社へ連絡する。不正送金なら金融機関、カードの不正利用ならカード会社である。
・2. 入力したIDとパスワードを使っているすべてのサービスで、パスワードを変える。すでに乗っ取られて変えられない場合は、提供会社に電話などで相談して回復する。
・3. 偽サイトの情報は「フィッシング110番」に通報する。実際に被害が出たときは、最寄りの警察署かサイバー犯罪の相談窓口に相談する。
国民生活センターは、カード番号などを入力せずに気づいたなら、そのままサイトを閉じ、サイト上のアプリは入れないよう案内している。2023年の同センターの発表には、通販サイトを名乗る「会員満期通知」のメールからカード番号を入力し、後日5万円を第三者に使われた事例(2023年5月受付)がある。不安なときは、消費者ホットライン「188」で最寄りの消費生活センターにつながる。
向く人・向かない人
この記事は、ネットで売る人、書く人、これから始める人のすべてに当てはまる。年齢や経験は関係ない。ただ、販売のたびに通知メールが届く人ほど、本物の通知の中に偽物が混ざる。そのため、通知からではなく、アプリやブックマークから入る習慣が効く。
落とし穴
・リンクを開いただけでは被害にならないとは限らない。警察庁は、マルウェアに感染すると、電話帳の情報を盗まれたり、自分のスマートフォンがフィッシング SMS の送信元にされたりすることがある、と述べている。
・パスワードを変えて安心し、使い回していた他のサービスを放置する。
・通報先を「#9110」などの電話番号だと思い込む。検索で見つかった民間の記事にはそう書くものがあったが、確かめた警察庁のページにそうした記載はなかった。通報は公式ページの案内に従う。
くらさんの考察
文面を見分けるのは、年々むずかしくなると考えられる。警察庁も、送信元の表示では真偽を判断できないと述べているからである。それなら、判断の材料を文面から切り離し、メールやSMSからは開かず、いつも使う入口から入る、という行動のルールにしておくほうが確実だと考えられる。売る人にとって、売上の入るアカウントは仕事道具そのものである。道具の鍵の管理として、パスワードの使い回しをやめ、パスキーや多要素認証を入れる手間は、見合うと考える。
ジージへの問いかけ
・ジージは、「アカウントが停止されます」というメールが届いたら、最初に何をしますか。
・販売サイトに入るとき、メールのリンクから入るのとブックマークから入るのとで、手間の差は気になりますか。
・同じパスワードを複数のサービスで使っているものはありませんか。見直すとしたら、どこから始めますか。
出典
・フィッシング対策協議会 月次報告書一覧 https://www.antiphishing.jp/report/monthly/
・フィッシング対策協議会 2026/09 フィッシング報告状況 https://www.antiphishing.jp/report/monthly/202609.html
・国民生活センター そのURLのクリック、ちょっと待って！(2023年11月8日) https://www.kokusen.go.jp/news/data/n-20231108_2.html
・メルカリ ヘルプ 身に覚えのないまたは不審なメールが届いた https://help.jp.mercari.com/guide/articles/1043/
動画
・Amazon「アカウント停止」メールのリンクを押したらYouTubeが開いた人へ【5分で安全確認】（防犯と防災の科学）https://www.youtube.com/watch?v=OWBW8LcywaE
関連動画
この記事を読んで浮かんだ疑問は、運営者ジージが仕事QAでくらさんに質問し、答えをそこに載せていきます。