読めば身に付くネットリテラシー
その「返金のお知らせ」本物ですか？ 氏名や注文内容が正しくても詐欺メールかも……相次ぐ情報漏えいで巧妙化する手口
2026年11月6日 06:00
購入した記憶のある商品名や金額が正しく書かれた「返金のお知らせ」が届いたら、疑わずに手続きを進めてしまう人も多いのではないでしょうか。ところが、今年9月、実際の注文内容と一致する不審な返金案内が購入者に届く事件が起きました。漏えいした情報が、詐欺メールを本物らしく見せるために使われているのです。
現在、さまざまなサービスで大規模な情報漏えいが相次いでいます。株式会社MM総研が発表した「国内サイバー攻撃による情報漏えい動向調査」によると、2026年の情報漏えい件数は、10月末までに公表されているだけで約3億7600万件に上っており、すでに2025年の年間4953万件の約7.6倍という規模にまで急増しています。
企業からのお詫びに「パスワードやクレジットカード情報は漏れていません」と書かれていれば、ひとまず安心するかもしれませんが、氏名やメールアドレスだけでも、本人に向けた詐欺メールなどを送ることは可能です。警察庁も10月、漏えいしたメールアドレスに偽のメールが届き、金銭的な被害につながる恐れがあると注意を呼び掛けました。
“本物の注文情報”を使って「返金」の詐欺メールを送りつける
9月28日、ファッションブランド「アバハウス」の顧客から、注文内容と一致する不審な返金案内メールが届いたとの問い合わせが相次ぎました。同社が調査したところ、顧客の会員情報や注文情報に不正アクセスされた痕跡が見つかりました。
漏えいした可能性があるのは、氏名や住所、メールアドレスだけではありません。注文した商品の名称、日時、金額、届け先など、過去の買い物の記録も含まれていました。
実際に確認された不審なメールには、「公式LINE」と称してLINEへの連絡を促すものや、返金の受付期限を「来週水曜日まで」と区切って急がせるものがありました。“本物の注文情報”を使って信用させ、返金を口実に別の連絡先へ誘導する手口です。
ホテルや旅館の予約客も、似たような詐欺に狙われています。9月には、宿泊施設が使う予約管理システム「TEMAIRAZU」への不正アクセスが発覚しました。提供元の手間いらず株式会社によると、氏名や連絡先、宿泊施設名、宿泊日、料金など、最大約445万人分の宿泊予約情報が漏えいした可能性があります。
実際に、予約者にホテルや予約サイトを装った不審なメッセージが届きました。「事前チェックイン」や「予約の維持」を理由に偽サイトへ誘導し、クレジットカード番号の入力や支払いを求める手口です。旅行を控えた人のところに、自分が予約したホテルの名前や宿泊日が正しく書かれた連絡が届けば、必要な手続きだと思ってしまうでしょう。漏えいした宿泊情報が、さらに重要な情報やお金を奪うための道具になってしまうのです。
防災メールを送る仕組みが悪用され、142万通以上の詐欺メールが送られた
詐欺メールを見分けるために、送信元のメールアドレスを確認する人もいるでしょう。意味のない英数字が並んでいたり、有名企業に似せた別のアドレスだったりすれば、不審だと気付けます。ところが、本物のメールを送る仕組みそのものが悪用されると、メールアドレスを確認しても見抜くのは難しくなります。
静岡市では、地震や大雨などの情報を市民に知らせる「防災メール」を配信しています。ところが10月13日、このサービスに登録していた市民や市職員に、クレジットカード会社を名乗る不審なメールが届きました。
件名は「＜重要＞ご利用確認のお願い」というもので、クレジットカードの利用状況を確認するよう求め、偽サイトへ誘導する詐欺メールでした。しかも、送信元のメールアドレスは、「@」より後ろの部分（ドメイン名）が本物の防災メールと同じだったのです。
原因は、自治体などに防災メールの配信サービスを提供している株式会社アルカディアへの不正アクセスでした。犯人は同社のメール配信システムを悪用し、約6時間で142万通以上の詐欺メールを送ったのです。
厄介なのは、詐欺メールだからと送信元を受信拒否すると、本物の防災メールまで届かなくなることです。この点については静岡市も注意するよう呼び掛けています。
返金や支払いの案内が届いても、メールから手続きを始めないこと
返金や支払い、予約の確認を求めるメールが届いたら、メールに書かれたリンクや電話番号は使わないでください。普段使っている公式アプリや、自分で保存した公式サイトのURLから、注文や予約の状況を確認しましょう。判断できない場合は、公式サイトに掲載された窓口へ問い合わせてください。
万が一、偽サイトでクレジットカード情報を入力してしまったら、すぐにクレジットカード会社へ連絡してください。パスワードを入力してしまった場合は、正規のサイトから変更し、同じパスワードを使っているほかのサービスでも変更が必要です。
親や家族にも、「返金や支払いの連絡が来ても、メールから直接手続きしないこと」と伝えておきましょう。普段からこのルールを共有しておくだけでも、フィッシング詐欺に引っ掛かる危険を減らすことができます。
高齢者のデジタルリテラシー向上を支援するNPO法人です。媒体への寄稿をはじめ高齢者向けの施設や団体への情報提供、講演などを行っています。もし活動に興味を持っていただけたり、協力していただけそうな方は、「dlisjapan@gmail.com」までご連絡いただければ、最新情報をお送りするようにします。