「怪しい」と思ってからでは遅い。メール内リンクで「なりすまし」を見抜く

朝、仕事を始めようとしてメールを開く。

「請求書を確認してください」
「アカウントの確認が必要です」
「共有ファイルが届いています」

こうしたメールは、日常的に届きます。差出人名が見覚えのある会社名で、文章も自然、ロゴやデザインもそれっぽい。特に変な日本語もない。そうすると、多くの人はそのまま本文を読み進めます。最初から「これは本物かな？」と疑って読む人は、あまり多くありません。

多くの場合、本文の言い回し、差出人名、ロゴ、デザインなどに少し違和感を覚えてから、初めてこう考えます。「これ、本物かな？」——でも、ここに落とし穴があります。

最近のなりすましメールは、見破ることが非常に難しくなってきています。AIで自然な文章が作れますし、ロゴやデザインも本物そっくりに見せられます。つまり、違和感が出てから確認するという順番だと、気づけないことがあるのです。

「怪しいと思ったら確認する」では遅い。怪しい・怪しくないに関わらず、メール内リンクのURLは必ず確認する——という癖をつけることが必要です。

リンク先URLには、なりすましに気づくための重要な手がかりが残っていることが多いからです。では、どのように確認すればいいのか。この記事では、URLの確認ポイントを整理します。

ただし、URLの確認は少し難易度が高いため、不安な場合はメール内のリンクは押さず、公式アプリやブックマーク、または自分で検索して公式サイトを開いてから確認することをお勧めします。

リンクURLへの誘導が、なりすましメールの目的

なりすましメールの目的は、本物らしい文章で相手を安心させ、偽サイトへ誘導することです。文章や差出人名の違和感で気づけることもありますが、生成AIの影響もあって、パッと見では不自然さを見抜くことが難しくなってきています。

本文や差出人名が自然でも、リンク先が公式サイトでなければ、そのメールはなりすましの可能性が高いと言えます。たとえば、

パスワードを更新してください
請求書を確認してください
届いたメッセージを確認してください
アカウントが削除されます
支払い方法を更新してください

といったメールは、正規のサービスから届くこともあります。だからこそ、違和感があるかどうかだけで判断するのではなく、最終的にどこへ誘導しようとしているのかを見ることが大切です。

URLのうち、どこが「ドメイン」なのかを確認する

URLを見るときに一番大切なのは、ドメインを見ることです。本物のサービスかどうかを確認するとき、最終的に見るべきなのは、URLに含まれる会社名ではなく、実際のドメインだからです。

ただし、「同じドメインのように見せかける」「似たような文字列のドメインを使う」といった方法で本物のURLだと誤認させる手口があるので要注意です。たとえば、次のようなURLがあったとします。

https://amazon.co.jp.example.com/login

この中に amazon.co.jp という文字が入っているので、パッと見るとAmazonのページのように感じるかもしれません。しかし、実際のドメインは example.com です。amazon.co.jp は、前に付けられた文字列にすぎません。

URLを見るときは、https:// の後から最初の / までを確認します。この例では amazon.co.jp.example.com の部分です。そしてドメインは後ろ側が重要です。最後が example.com になっているので、Amazon公式の amazon.co.jp ではありません。

つまり、見るべきなのは「会社名が入っているか」ではなく、実際のドメインが何かです。

リンク先URLで最低限見るべき6つのポイント

URLを見るときは、次の6つを確認してください。

1. `https://` の後から最初の `/` までを見る

URLの中でまず見るべきなのは、https:// の後から最初の / までです。ここに、実際のアクセス先のドメインが入っています。長いURLを全部読む必要はありません。まずは「どこのサイトに行こうとしているのか」を見る癖をつけます。

2. 公式ドメインと一致しているかを見る

次に確認したいのは、公式サイトのドメインと一致しているかです。たとえば、

Amazonなら amazon.co.jp
Googleなら google.com
Microsoftなら microsoft.com
楽天なら rakuten.co.jp

のように、公式サイトのドメインと同じかを見ます。ただし、公式ドメインを正確に覚えていないことも多いはずです。その場合は、メール内リンクを押して確認するのではなく、自分で検索するか、普段使っているアプリやブックマークから確認する方が安全です。

3. 会社名の後ろに別のドメインが続いていないかを見る

次のようなURLは注意が必要です。

https://amazon.co.jp.example.com/login

amazon.co.jp という文字が入っていても、後ろに example.com が続いています。この場合、実際の行き先はAmazonではありません。よくある見せ方として、会社名やサービス名をURLの前の方に入れて本物っぽく見せることがあります。

amazon.example.com
rakuten-login.example.net
microsoft-support.example.org

このように、知っている名前が入っていても、それだけで本物とは判断できません。

4. 一文字違い・紛らわしい文字に注意する

公式サイトに似せて、一文字だけ違うドメインが使われることもあります。実在のサービス名に近い文字列を使ったり、見た目が似ている文字を混ぜたりする手口です。人間の目では、ぱっと見ただけで気づきにくいことがあります。特にスマートフォンでは画面が小さくURL全体も見えにくいため、無理に見分けようとしない方が安全です。

5. 短縮URLやQRコードだけの案内に注意する

bit.ly などの短縮URLは、開くまで実際の行き先が分かりにくいことがあります。また、メールやPDFにQRコードだけが載っているケースもあります。QRコードは便利ですが、読み取るまでURLが見えません。

正規の案内で短縮URLやQRコードが使われることもありますが、ログイン・支払い・本人確認・パスワード変更などを求めるメールでは慎重に扱った方がよいです。メールに短縮URLやQRコードが載っていても、公式アプリや公式サイトから同じ案内を確認できるなら、そちらを使う方が安全です。

6. `https` や鍵マークだけで安心しない

ブラウザに鍵マークが表示されていたり、URLが https:// で始まっていたりすると、安全なサイトに見えるかもしれません。でも、https は「通信が暗号化されている」という意味であって、そのサイトが本物であることを保証するものではありません。偽サイトでも https や鍵マークが付いていることはあります。

鍵マークがある＝本物、ではありません。ここはとても誤解されやすいポイントです。

パソコンで、リンクを開かずにURLを確認する方法

では、実際にリンクを開かずにURLを見るにはどうすればよいのでしょうか。パソコンでメールを見ている場合は、次の手順で確認できます。

リンクやボタンをクリックしない
リンクの上で右クリックする
「リンクのアドレスをコピー」を選ぶ
メモ帳など、文字だけを確認できる場所に貼り付ける
https:// の後から最初の / までを見る
公式ドメインと一致しているか確認する

⚠️ コピーしたURLをブラウザのアドレス欄に貼ってEnterを押すと、そのサイトへアクセスしてしまいます。確認するときは、メモ帳などに貼り付けてください。

大事なのは、ブラウザで開く前に、いったん文字として見ることです。

スマホでは、無理に見抜こうとしない

スマートフォンでは、リンクを長押ししてURLを確認できます。でも、長押しするつもりがタップしてしまい、リンクを開いてしまうことがあります。また、URLが長いと画面内に収まりきらず、どこが本当のドメインなのか分かりにくいこともあります。

スマホでメール内リンクを見るときは、無理にURLを調べようとせず、次の対応を優先してください。

メール内リンクを押さない
公式アプリから確認する
普段使っているブックマークから確認する
パソコンで改めて確認する
判断できなければ詳しい人に相談する

スマホでは「見抜く」よりも、「押さない」ことを優先した方が安全です。

AIに聞くなら、URLの構造を整理してもらう

URLを見ても判断できない場合は、AIに文字列として確認してもらう方法もあります。そのときは、次のように聞きます。

このURLにはアクセスせず、文字列だけを解析してください。実際のドメインはどこですか？公式サイトと考えてよいか、怪しい点も説明してください。

ここで大切なのは、アクセスせず、文字列だけを解析してもらうことです。AIには「安全かどうかを決めてもらう」のではなく、URLの構造や不自然な点を整理してもらう、と考えてください。

AIが「安全そう」と答えても、ログイン・支払い・個人情報の入力・パスワード変更などは、メール内リンクからではなく、公式アプリや自分で開いた公式サイトから行います。

また、URLの ? 以降には、メールアドレスや個人専用の情報が含まれていることがあります。AIへ送る前に、可能なら ? 以降を削除してください。会社や顧客の情報が含まれる場合は、社内ルールを優先してください。

迷ったら、メールの中で判断しない

URLを見ても不安が残る場合は、メール内リンクから進まないでください。サービスからの連絡であれば、公式アプリ、ブックマーク、自分で検索した公式サイトから確認します。取引先や知り合いからの連絡であれば、そのメールへ返信するのではなく、電話や別の連絡手段で確認します。

「本物かもしれない」と思っても、リンク先に不安がある場合は、メールの中で操作しないことが大切です。

社内で共有するなら、このルールだけでも十分

会社や事務所で共有するなら、まずは次のルールだけでも十分です。

メール内リンクを見るときは、まずURLを確認する。少しでも不安があれば、公式アプリ・ブックマーク・自分で検索した公式サイトから見る。判断できない場合は、一人で決めずに相談する。

全員がURLを完璧に読める必要はありません。大切なのは、メール内リンクを何となく押さず、いったん立ち止まることです。むしろ、全員が専門的に見抜こうとするよりも、「迷ったら押さない」「一人で判断しない」というルールを徹底する方が現実的です。

まとめ

怪しいメールに気をつける。それだけでは、もう足りません。これから必要なのは、怪しいかどうかを感じる前に、メール内リンクを見る時点でURLを確認することです。本文が自然でも、差出人名がそれらしくても、リンク先が偽物ならなりすましです。ただし、URLだけで安全を断定できるものではありません。

覚えておきたいポイントは次の通りです。

「怪しい」と思ってからではなく、メール内リンクを見る時点でURLを確認する
本文や差出人名だけで判断しない
リンク先URLのドメインを見る
https:// の後から最初の / までを見る
会社名が入っていても、本物とは限らない
公式ドメインと一致しているか確認する
短縮URLやQRコードだけの案内には注意する
https や鍵マークだけで安心しない
スマホでは無理に見抜こうとせず、公式ルートから確認する
判断できなければ、一人で決めずに相談する

迷ったら、メール内リンクから進まず、公式アプリ・ブックマーク・自分で検索した公式サイトから確認しましょう。

あわせて、メールの見分け方・対処法や、そもそも詐欺メールが何を狙っているのかも知っておくと、判断がぐっとしやすくなります。

メールの判断、一人で抱え込まないために

「このURL、本物かな？」を毎回一人で判断するのは負担が大きく、間違えたときのリスクも小さくありません。社内で「迷ったら押さない・相談する」というルールを共有しておくだけでも、被害はぐっと減らせます。

株式会社FREDMANの「ITまるごとサポート」では、こうした日常のメール判断も相談できます。迷惑メールや怪しいURLを見て判断に迷ったときは、弊社の公式LINE、またはお問い合わせフォームより「メールの相談」とお気軽にご連絡ください。一人で抱え込まずにご相談いただけます。