事件・公表の直後に届く「便乗メール・SMS」と本物の公式案内の見分け方――文面ではなく「確認する経路」を変える

1導入：事案が公表された直後は「本物の社名・本物のニュース」を使った連絡が届き得る

企業が「会員情報の管理システムへの不正アクセス」や「サービスにおける不正操作の確認」を公表すると、そのニュース自体を利用した便乗メールやSMS（ショートメッセージ）が届くことが想定されます。今回の事案でも、ブックオフグループHD、岩井コスモ証券、GMOインターネットはいずれも、自社を装う連絡への注意を自ら呼び掛けています [1][2][3]。GMOインターネットの第4報では、補償の案内に便乗した偽の連絡にも注意が促されています [3]。

たとえば、ブックオフグループHDの事案（10月9日公表。対象はアプリ・オンラインストア・Web会員、項目は氏名・連絡先・暗号化されたパスワード等）[1] のように、会員番号や登録情報に関わる事案が報じられた後には、「あなたの会員番号が対象となりました」「補償・ポイント返還のためログインしてください」といった連絡が作られやすくなります（以下の文面はいずれも説明用の想定例です）。

また、証券会社やクラウドサービスに関する報道が出た直後にも、「不正取引を検知したため口座を凍結しました。解除するにはこちらから認証してください」というメッセージが届くことがあります。なお、岩井コスモ証券の事案は委託先システムへの不正アクセスによるもので、同社は「情報漏洩に起因し不正取引の被害が拡大したものではありません」と説明しており [2]、実際の事案の原因と便乗メールは区別して考える必要があります。

ここで特に危険なのは、「日本語の文章が自然だから本物だろう」「今ニュースになっている会社名だから本物だろう」と文面だけで判断してしまうことです。現在は生成AI等を使えば、誤字脱字のない自然な案内文を短時間で作ることができます。だからこそ、見分ける基準を「文章の見た目」から「確認する経路（ルート）」へ切り替える必要があります。

2メールの文面で悩まない！「別経路（公式アプリ・ブックマーク）確認」の仕組み

3本物の公式発表と「便乗連絡」を切り分ける3つの着眼点

1. 「通知欄にあるか」ではなく「別経路から同じ内容にたどり着けるか」で判断する
   重要な案内の多くは、公式サイトの「お知らせ」やアプリ内の通知にも掲載されます。ただし、対象者への個別連絡をメールだけで行う事業者もあります（ブックオフグループHDは対象会員へ登録メールアドレス宛てに順次連絡すると公表 [1]）。したがって、通知欄にないからといって偽物とは限らず、通知欄に似た案内があるからといって届いたメールが本物とも限りません。メールのリンクを使わず、公式アプリ・ブックマーク・自分で入力した公式URLから同じ内容にたどり着けるかを確かめ、たどり着けなければ公式サイト記載の窓口へ電話等で確認します。各社の公式ページ（例：岩井コスモ証券のお知らせ、GMOクリック証券のお知らせ、お名前.com デスクトップクラウドの続報）を直接開けば、安全に正確な内容を確認できます。
2. 公式の窓口は、メールやSMSのリンク先で「取引暗証番号」や「確認番号（ワンタイムパスワード）」の入力を急かさない
   「24時間以内に以下のリンクから暗証番号を入力しないと口座が停止されます」「補償金の受け取りのためパスワードを入力してください」といった誘導は、典型的ななりすましの手口です。ブックオフグループHDとGMOインターネットは、メール・SMS・電話でパスワードや認証コード、カード情報を尋ねることはないと公表しています [1][3]。ブックオフはさらに、案内メールにパスワード変更画面へ誘導するリンクを載せないと明記しています [1]。
3. 「グループ名」ではなく「自分が契約しているサービス名」を確認する
   第1回でも触れた通り、「GMO」や「〇〇グループ」といった大きな名前だけを名乗るメッセージには特に注意が必要です。自分が実際に契約しているのが「お名前.com デスクトップクラウド」なのか、「GMOクリック証券」なのか、「infoQ」なのかを落ち着いて照合してください。

4急ぎの連絡を受け取ったときの「5つの確認項目」（個人向けチェックリスト）

1. 確認1：届いたメールやSMSの中にある「URLリンク・ボタン」や「電話番号」に触れず、一度画面を閉じたか
   見る場所：リンクは長押しやタップをせず、そのままメール・SMSアプリを閉じます。金融庁も、見覚えのある送信者からのメッセージであってもリンクを開かないよう勧めています [4]。
2. 確認2：いつもの「公式アプリ」または「登録済みブックマーク」からログインし、マイページ内の通知ボックスを確認したか
   見る場所：アプリ・会員サイト内の「お知らせ」「メッセージボックス」「重要通知」。ここで同じ内容が見つかればその案内に従い、見つからなければ公式サイト記載の窓口へ確認します。
3. 確認3：公式サイトのトップページで、「発表日」と「正確な対象サービス名」を照合したか
   見る場所：各企業の公式コーポレートサイト・サービスサイトのニュースリリース欄。
4. 確認4：「補償」「返金」「口座凍結の解除」を理由に、パスワードや暗証番号・認証コードの入力を求められていないか
   見る場所：もし入力を求める画面であれば、一切入力せずに閉じます。
5. 確認5：万が一、リンク先で入力してしまった場合、入力した情報に応じて次の行動を取ったか
   • ①ID・パスワードを入れた → 公式アプリ・ブックマークから開いた正規の画面でパスワードを変更し、同時に公式窓口へ連絡する（ログインできないときは公式サイト記載の電話窓口へ）[4]。
   • ②ワンタイムパスワードや取引暗証番号を入れた → 変更より先に公式窓口へ電話で連絡する。
   • ③クレジットカード番号を入れた → カード会社へ連絡して利用停止を依頼する。
   • いずれの場合も、パスワードを変えるだけでは、すでにつながっている接続や行われた取引は解消されません。事業者の指示（セッション切断・原状回復・補償の手続き）に従います [3]。