カード会社を名乗る詐欺メールの見分け方｜「不正利用」「お支払金額」のメールは本物？

「カード会社から『不正利用の可能性があります』『今月のお支払金額が確定しました』というメールが来た。これって本物？」

そう思って調べている人に、先に答えです。メールの見た目だけで本物かどうかを決めるのは、むずかしくなっています。いちばん確実なのは、メールのリンクを使わずに、カード会社の公式アプリか、自分で開いた公式サイトで明細を見ることです。

カード会社を名乗る詐欺メール（フィッシングメール）は、とても多く届いています。フィッシング対策協議会によると、2026年9月に寄せられた報告のうち、約35.0%がクレジットカード会社などをかたるものでした。

この記事は、こんな人に向けて書いています

• カード会社を名乗るメールやSMSが届いて、本物か分からない
• 自分の名前が書いてあるので、本物かもしれないと迷っている
• 持っていないカードの会社から届いた
• もうリンクを押した、カード番号を入れてしまった

この記事でやること

• □ 1. メールやSMSのリンクは押さない。書かれた電話番号にもかけない
• □ 2. カード会社の公式アプリか、ブックマークから開いた公式サイトで明細を見る
• □ 3. 名前が書いてあっても、それだけで本物と決めない
• □ 4. カード番号などを入れてしまったら、すぐカード会社に連絡してカードを止める

2026年11月9日に、フィッシング対策協議会とカード会社3社（JCB・三井住友カード・セゾン）の公式ページで確かめました。

よくある詐欺メールの件名

フィッシング対策協議会は、2026年9月の報告で、次のような文面が多かったとしています。

• 不正利用を見つけた、というお知らせ
• 決済の情報や、契約の更新のお知らせ
• 本人確認（本人認証）のお願い
• ポイントの有効期限や、会員の特典のお知らせ

カード会社も、自社を装ったメールの例を出しています。

• セゾンカード: 本物の「お支払金額のお知らせ」によく似せたメール、利用明細や会員サイトの停止、当選のお知らせを装ったメール
• 三井住友カード: 「緊急」「カードをロックした」「24時間以内に」のように、不安をあおる言葉を使ったメールやSMS

どれも、急いでリンクを押させるのがねらいです。件名が本物と同じでも、安心はできません。

詐欺メールを見分ける5つのポイント

カード会社の案内をまとめると、次の5つがあやしいサインです。1つでも当てはまったら、リンクは押さずに、公式アプリで確かめます。

1. 送り元のメールアドレスが、カード会社の公式ページに書かれたものと違う（JCB・三井住友カード・セゾン）
2. 「緊急」「至急」「24時間以内に」など、急がせる言葉がある（三井住友カード・セゾン）
3. リンク先のURLが、公式のものと違う。表示されているURLが正しく見えても、別のサイトへ飛ばす手口があります（JCB・セゾン）
4. カード番号、暗証番号、有効期限、セキュリティコードを入れさせようとする（セゾン）
5. 心当たりのない添付ファイルがある（JCB）

ただし、当てはまらないから本物、とは言えません。JCBや三井住友カードは、送り元のアドレスでさえまねされることがあるとしています。ポイントは「あやしいと気づくきっかけ」で、最後は公式アプリで確かめます。

本物か確かめる、いちばん確実な方法

1. メールのリンクは押さない

確かめるために、メールのリンクを押したり、書かれた電話番号にかけたりはしません。

2. 公式アプリか、ブックマークから開く

いつも使っているカード会社のアプリか、ブックマークに入れておいた公式サイトでログインします。検索して探すときは、検索結果の広告ではなく、カード会社の公式サイトかを確かめてから開きます。

3. 明細とお知らせを見る

ログインしたら、利用明細と、カード会社からのお知らせを見ます。メールに書かれた金額や「不正利用」の話が明細やお知らせになければ、そのメールは偽物の可能性が高いです。

三井住友カードは、届いたメールやSMSが本物かを質問に答えて確かめられる「不審なメール・SMSのチェックページ」と、不審なメッセージの専用ダイヤル（0120-778-808、24時間、AIが対応）を用意しています。ほかのカード会社の窓口はカードの裏か、公式アプリ・公式サイトで確かめます。

名前が書いてあっても、本物とは限らない

セゾンカードは、「お支払金額のお知らせ」など一部の本物のメールには、会員の氏名を表示しているとしています。名前のないメールは、あやしいと考えるきっかけになります。

ただし、名前が書いてあっても安心はできません。フィッシング対策協議会は、企業の情報漏えいの公表が相次いだ2026年9月に、受け取った人の氏名が書かれたフィッシングメールを確認したと報告しています（漏えいとの関係は分からない、としています）。

たとえば2026年11月9日には、ニトリホールディングスが、不正アクセスで最大3,762万件の個人情報が流出した可能性があると発表しました。氏名、メールアドレス、住所、電話番号などが対象です（ログインパスワードとクレジットカード情報は含まれていない、としています）。このような情報が漏れると、名前入りの偽メールを作れてしまいます。

名前は、本物かどうかを決める材料の1つにすぎません。企業から「個人情報が漏れたかもしれない」と連絡が来たときの順番は、個人情報が漏れたと通知が来たら？本物か確かめる方法と、漏れた情報ごとの対処にまとめています。

持っていないカードの会社から届いたら

使っていないカード会社からの「不正利用」や「お支払金額」のメールは、詐欺メールと考えてよいです。リンクは押さず、返信もせずに削除します。

たくさんの会社の名前で届くときは、メールアドレスが漏れて、犯罪者の間で出回っている可能性がある、とフィッシング対策協議会は説明しています。迷惑メールとして報告し、大事なサービスに登録しているメールアドレスの見直しも考えます。

リンクを押した・入力してしまったら

リンクを押しただけで、何も入れていなければ、ページを閉じます。何かを入れてしまったときは、入れたものによって、やることが変わります。

• カード番号・有効期限・セキュリティコード・暗証番号を入れた: すぐにカード会社の紛失・盗難の窓口に連絡して、カードを止めてもらい、再発行を頼みます（JCB）。番号はカードの裏か公式アプリで確かめます
• 会員サイトのIDとパスワードを入れた: 公式アプリか公式サイトからパスワードを変えます。そのあと、登録のメールアドレスや電話番号が変えられていないか、覚えのない利用がないかを見ます（セゾンカード）
• SMSで届いた認証コードを入れた: 支払いの確認に使われたおそれがあります。すぐにカード会社に連絡します

三井住友カードは、IDとパスワードの変更と、カードの停止の両方をするときは、IDとパスワードの変更から先にするよう案内しています。

入れたものごとの順番はフィッシングサイトに入力してしまったら？最初にすることにもまとめています。明細に覚えのない請求が見つかったときは、身に覚えのないカード請求に気づいたら｜今すぐやる4つと、補償の確かめ方の順番で進めます。

やってはいけないこと

• メールやSMSのリンクから、カード番号やパスワードを入れる
• メールに書かれた電話番号にかける。返信する
• 添付ファイルを開く
• 「本物か確かめたい」と、偽のページに少しだけ入力してみる

届いた詐欺メールを知らせる

詐欺メールは、カード会社やフィッシング対策協議会に知らせることができます。セゾンカードは報告用のメールアドレスを公式ページに載せています。フィッシング対策協議会は、迷ったメールの報告を受け付けています（報告のしかたは協議会の公式ページにあります）。知らせたら、そのメールは削除します。

メール全般の見分け方はフィッシングメールが届いたら？見分けにくい理由と確かめ方にまとめています。

よくある質問

本物のお知らせも届く？

届きます。セゾンカードのように、本物でも同じ件名のメールを送る会社があるので、件名では決めずに、アプリか公式サイトの明細で確かめてください。

SMSで届いた

SMSでも同じです。リンクは押さず、公式アプリで確かめます。SMSの見分け方は怪しいSMSが届いたら？開く前の確かめ方と、押してしまった後にまとめています。

電話でカード番号を聞かれた

答えずに電話を切ります。カードの裏の番号に、自分からかけ直して確かめます。

メールを開いただけ

開いただけで、リンクも添付ファイルも触っていなければ、削除してかまいません。気になるときは、公式アプリで明細を見ておきます。

迷ったら、リンクを押さずに、公式アプリを開くところから始めてください。

次に読む記事

参考

• フィッシング対策協議会の月次報告（2026年9月分）（2026年11月9日に確認）
• JCB「不審なメールがきた」（2026年11月9日に確認）
• 三井住友カード「弊社を装った不審なメールやSMSにご注意ください」（2026年11月9日に確認）
• セゾンカード「セゾンカードを騙る不審なメール・SMSにご注意ください」（2026年11月9日に確認）
• ニトリホールディングス「当社システムへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年11月9日に確認）