「これはフィッシングメールでは」「ウイルスが仕込まれていないか」と迷うメールは、日常的に届きます。見分けるポイントはいくつかありますが、見た目だけで100％判定するのは正直難しいです。
だからこそ実務では、「怪しい特徴を見つける」＋「開かず確認する」という運用で対処するのが現実的です。本記事では、確認すべき具体的なポイントと、社内で回せる運用ルールを整理します。
メールを起点とした攻撃の全体像は、 メール起点のウイルス・攻撃の種類と対策 で整理しています。攻撃の種類から知りたい場合はこちらもあわせてご覧ください。
見分けるポイントは多岐にわたりますが、実務では次の7項目を確認すれば、大半の怪しいメールに気づけます。
| 確認項目 | 怪しい例 |
|---|---|
| 送信元アドレス | 表示名は「Amazon」でも、実際はxxx@amazon-security123.comなど |
| URL | 公式っぽく見えて、実際のドメインが違う |
| 添付ファイル | .exe .zip .html .isoなど、予期しない添付 |
| 緊急性を煽る | 「24時間以内に停止」「今すぐ確認してください」 |
| 金銭・認証要求 | カード番号、パスワード、認証コードを入力させる |
| 日本語の違和感 | 不自然な敬語、文字化け、会社名の表記ゆれ |
| 普段と違う依頼 | 社長・取引先を名乗り、振込やファイル開封を急がせる |
この中でも特に重要なのが、送信元アドレスとリンク先の確認です。メール本文に「Amazon」「Microsoft」「銀行」などと表示されていても、その文字列と実際の送信元・リンク先は別物にできます。この後の体験デモをより深く理解するために、先に「ドメインの仕組み」を整理しておきます。
URLは、いくつかの部分に分けて読むことができます。例えばhttps://mail.google.com/mail/u/0/というURLなら、次のように分解できます。
| 部分 | この例での該当箇所 | 意味 |
|---|---|---|
| スキーム | https:// |
通信方式。見分け方の判断材料としては重要度が低い |
| サブドメイン | mail. |
ドメインの持ち主が自由に追加できる「枝」の部分 |
| ドメイン本体 | google.com |
唯一の「本物の住所」。TLD（.comなど）の直前の文字列で決まる |
| パス（枝ディレクトリ） | /mail/u/0/ |
サイト内のページの場所。ドメインの判定とは無関係 |
ここで重要なのは、1つのURLに「ドメイン本体」は必ず1つしか存在しないという点です。それは、TLDの直前にある文字列だけで決まります。サブドメインの部分にも、パス（枝ディレクトリ）の部分にも、ドメインの持ち主は好きな文字列を自由に入れられます。攻撃者はこの仕組みを悪用し、ブランド名を「サブドメインのように見える位置」や「パスの中」に混ぜ込むことで、本物らしく見せかけます。
例えば、この後の体験デモにも登場するsample-shop.co.jp.account-verify-jp.netというURLでは、次のようになります（sample-shop.co.jpは説明用の架空の通販サイトです）。
| 見え方 | 実際の役割 |
|---|---|
sample-shop.co.jp. |
サブドメイン（攻撃者が自由に設定できる部分。sample-shop.co.jpとは無関係） |
account-verify-jp.net |
ドメイン本体。攻撃者が管理するサイトそのもの |
同じ手口は、パス（枝ディレクトリ）側でも使われます。例えばaccount-verify-jp.net/sample-shop.co.jp/loginのようなURLでは、/sample-shop.co.jp/は単なるフォルダ名であり、ドメインの判定には一切関係しません。この場合もドメイン本体はaccount-verify-jp.netのままです。
つまり見るべき場所はいつも同じで、TLDの直前にある1つの「ドメイン本体」だけです。ブランド名がサブドメインやパスなど、URLのどこかに含まれているからといって、公式であることの証明には一切なりません。
ここまでの仕組みを踏まえて、実際のメールに近い形で確かめてみましょう。以下は「よくあるフィッシングメール」を模したサンプルです。ボタンを押して、表示名やリンク文字の裏側に何が隠れているかを見てみてください。
以下は「よくあるフィッシングメール」を模したサンプルです。ボタンを押して、表示名やリンク文字の裏側に何が隠れているかを確認してみてください。
【重要】お客様のアカウントが一時的に制限されました
support@sample-shop-verify-jp.com
「サンプル通販カスタマーサービス」という表示名は、送信者が自由に設定できる文字列にすぎません。実際に信頼できるかどうかは、@より後ろの実アドレス（この例ではsample-shop-verify-jp.com）でしか判断できません。
https://sample-shop.co.jp.account-verify-jp.net/login
「sample-shop.co.jp」という文字列が含まれていても、実際にアクセス先を決めているのは/より前のドメイン部分です。この例の本体はaccount-verify-jp.netであり、サンプル通販のドメインではありません。
PCではリンクをクリックせずマウスを乗せるだけで実際のURLを確認できます（多くのメールソフトで、画面下部などに表示されます）。スマホの場合はリンクを長押しすると同様にプレビューできます。
リンクの実URLに出てきたsample-shop.co.jp.account-verify-jp.netは、先ほど整理した通り、sample-shop.co.jpがサブドメイン、account-verify-jp.netがドメイン本体です。ドメインが1つに定まるという前提を知っていれば、「知っているブランド名っぽい文字が入っているから安全」ではなく、「ドメイン本体はaccount-verify-jp.netであり、サンプル通販ではない」と機械的に判断できます。
ここで、よくある疑問に答えておきます。
Q. メール本文のリンクが、表示されている文字としては正しいURL（例：https://www.amazon.co.jp/login）に見える場合、それは信用していい？
A. いいえ、確認が必要です。画面に表示されているリンクの文字列は、送信者が自由に設定できる「ラベル」にすぎません。実際にクリックしたときの飛び先とは、完全に別物にできます。これは、先ほどのデモで確認した「差出人の表示名」とまったく同じ考え方です。文字として正しいURLに見えることは、飛び先が正しいことの証明にはなりません。
そのため、リンクの文字が正しく見えるかどうかに関わらず、必ず実際の飛び先を確認します。PCならクリックせずマウスを乗せる（ホバーする）、スマホならリンクを長押しすることで、実際のURLをプレビューできます。
Q. 送信元アドレスが正規のドメインだと確認できれば、リンクは確認しなくていい？
A. いいえ、それでも別途確認が必要です。Amazonなど大手企業を騙る典型的なフィッシングは、送信元アドレスの時点で偽物と分かることが多く、ドメインチェックだけでほぼ判別できます。しかし、取引先や同僚のメールアカウントそのものが乗っ取られているケースでは話が別です。この場合、メールは本物の相手の正規アドレスから届くため、送信元アドレスを確認しても異常は見つかりません。危険は本文中のリンクや添付ファイルの側に仕込まれています。つまり、送信元が正規だと分かった場合でも、リンク先の確認は省略できない別工程として必ず行う必要があります。
「実際の飛び先を確認する」を言葉で説明されるより、実際に手を動かしたほうが身につきます。以下のリンクにマウスを乗せて（スマホは指を置いたままにして）、クリックせずに行き先が分かることを確かめてみてください。「リンクのアドレスをコピー」ボタンでは、開かずに文字だけを取り出す方法も体験できます。
下のリンクに、実際にマウスを乗せてみてください。ブラウザの実物の挙動と同じように、画面の下から本当の行き先が浮き上がって表示されます。
本人確認のため、以下のリンクからログインしてください。
アカウント情報はこちら
マウスを乗せている間だけ、実際にこのリンクの行き先が有効になります。試しに右クリックして「リンクのアドレスをコピー」を選び、メモ帳やメモアプリに貼り付けてみてください。ブラウザを開かなくても、文字としてURLを確認できます。あとはドメイン本体（TLDの直前の文字列）を見るだけです。
| 操作 | 実際のメールソフト・ブラウザでの操作 |
|---|---|
| ホバー | PCでリンクにマウスを乗せる（クリックしない） |
| リンクのコピー | 右クリック→「リンクのアドレスをコピー」→メモアプリに貼り付け |
スマホの場合、リンクの長押しで同様のメニューが出ますが、誤操作で別のアプリが開いたり、意図せず操作が進んでしまうことがあります。まずはPCでの体験をおすすめします。
どちらの方法でも、実際にそのページへアクセスすることなく、URLを文字として確認できたはずです。あとは、ここまで整理してきた通りTLDの直前にある「ドメイン本体」だけを見れば、公式サイトかどうかを機械的に判断できます。コピーしたURLは、確認できたらブラウザのアドレス欄には貼り付けず、そのまま削除してください。文字として確認するだけにとどめ、実際にアクセスしないことが重要です。
Q. 確認した結果、リンク先のドメインがおかしい場合はどうする？
A. そのリンクは絶対にクリックせず、メールの内容自体を信用しないでください。緊急の対応が必要そうに見えても、メール内のリンクからは進まず、公式サイトを自分でブックマークや検索から開き直す、または公式アプリから直接ログインして状況を確認します。個人での判断に迷う場合は、開かずに管理者や送信元企業へ別経路で確認するのが安全です。送信元が取引先や同僚本人であっても、リンク先がおかしい場合は同様に対応し、電話など別経路で「そのメールを本当に送ったか」を確認しましょう。
特徴を1つずつ言葉で説明されるより、実際に自分で見つけたほうが記憶に残ります。以下のカードをすべてタップして、隠れている不審ポイントを探してみてください。
以下のカードをすべてタップ（クリック）して、隠れている不審ポイントを見つけてください。
このように、送信元・緊急性を煽る文言・リンク先のドメイン・不自然な日本語という4つの特徴が重なるメールは、フィッシングメールである可能性が非常に高いといえます。1つだけでは判断が難しくても、複数が重なっていれば「怪しい」と判断する材料になります。
ここまではサンプルのメールで練習してきましたが、最後に、実際に今あなたの手元にある「気になっているメール」や「怪しいと感じたリンク」で試してみましょう。件名や本文はコピーせず、送信元のメールアドレス、またはリンクのURLだけを貼り付けてください。
気になっているメールアドレスやURLをコピーして、下の欄に貼り付けてみてください。送信も保存も一切行わず、あなたのブラウザの中だけで文字を分解して表示します。
「ドメイン部分」の欄を、あなたが知っている公式サイトのドメインと見比べてください。1文字でも違えば、そのメール・リンクは公式のものではありません。
この判定は、co.jpなど代表的な形式に対応した簡易的なルールで行っており、すべてのドメイン形式を完全に判定できるわけではありません。最終的には、自分の目でTLD（.comや.jpなど）の直前の文字列を確認してください。入力した内容はどこにも送信・保存されません。
この分解ツールは、入力された文字列をあなたのブラウザの中だけで処理しており、どこにも送信・保存されません。実際にそのリンク先へアクセスすることもありません。表示された「ドメイン部分」を、普段使っている公式サイトのドメインと見比べる習慣をつけておくと、初見のメールでも同じ手順で確認できるようになります。ただし、これは判断材料の1つであり、一致していれば必ず安全と保証するものではない点にも注意してください。
見分けるポイントを押さえても、巧妙な偽メールを100％見抜くのは困難です。そこで有効なのが、メールからログインしない運用にすることです。
銀行、Amazon、Microsoft、Googleなどから「確認してください」という連絡が来ても、メール内のリンクは押さず、自分のブックマークや公式アプリからログインして通知を確認します。この運用を徹底するだけで、リンクの真偽を都度見極める必要がなくなり、被害の大部分を防げます。
見分け方に加えて、次の運用を組み合わせるとウイルス感染のリスクをさらに下げられます。
特に多要素認証は、万が一フィッシングでパスワードが漏れてしまった場合でも、不正ログインそのものを防げる対策です。詳しくは 多要素認証（MFA）とは？導入のポイント で解説しています。
個人の注意力だけに頼ると、忙しいときや疲れているときに見落としが起きます。企業で運用するなら、次の4項目を確認し、1つでも怪しければ開かず管理者へ確認するというルールにすると分かりやすく、社員教育にもそのまま使えます。
社内のメール運用全体を見直したい場合は、 メール誤送信を防ぐ方法 もあわせて確認すると、誤送信対策と攻撃対策の両面から運用を整理できます。
フィッシング・ウイルスメールは、見た目だけで100％見分けることはできません。送信元アドレス、URL、添付ファイル、緊急性、金銭・認証要求、日本語の違和感、普段と違う依頼という7つのポイントを確認し、少しでも怪しければ開かず確認する運用にすることが、実務上もっとも現実的な対策です。
あわせて、メールからログインしない運用と多要素認証を組み合わせれば、万が一見抜けなかった場合の被害も大きく抑えられます。