クレジットカードのフィッシング対策｜偽メール・偽サイトの見分け方と入力してしまったときの対処

「カードのご利用を一時停止しました。こちらから確認してください」。カード会社を名乗るこんなメールやSMSが届いたことはないでしょうか。そのリンクの先が偽サイトで、入力した情報がそのまま盗まれます。これがフィッシング詐欺です。

この記事の結論を先に書きます。見分けようとするより、リンクを開かない運用に切り替えるほうが確実です。フィッシング対策協議会が公表している対策一覧でも、「メールやSMSのリンクは開かない」「公式サイトや公式アプリからアクセスする」が最上位の「必須」として並んでいます。見分け方を覚えることは無駄ではありませんが、それを第一の防御線にすると、精巧な偽物が来たときに破られます。

この記事では、そのうえで実際に使える確認ポイント、カード会社が聞いてこないこと、そして入力してしまったあとの動き方までを整理します。数値や記載内容はすべて記事執筆時点で公表されているものです。

フィッシングは、いまどのくらい起きているのか

フィッシング対策協議会は、寄せられた報告件数を毎月公開しています。2026年7月分の月次報告書によると、状況は次のとおりです。

項目	2026年7月の数値
フィッシング報告件数	66,119件（前月より6,251件減少）
フィッシングサイトのURL件数（重複なし）	43,267件（前月より1,026件増加）
悪用されたブランド件数	101ブランド
分野別の割合	EC系 約50.5%、クレジット・信販系 約25.4%、オンラインサービス系 約7.5%

クレジット・信販系だけで報告全体の約4分の1を占めています。1か月で6万件を超える報告がある状況で、カード会社の名前をかたるメールが自分のところに来る確率は、決して低くありません。

日本クレジット協会が公表している「クレジットカード不正利用5つの対策」のページによると、2024年のクレジットカード不正利用被害額は555.0億円で過去最多となり、その92.5%がインターネット取引における「番号盗用」でした。2025年の被害額は510.5億円となり、前年に比べて被害額・不正発生率ともに減少傾向がみられるとされています。番号を盗む主要な入り口の一つが、このフィッシングです。

カードの仕組みや安全な使い方を一度まとめて押さえておきたい方は、クレジットカードの基本を解説した本を1冊読んでおくと、怪しい連絡に気づく土台になります。

フィッシング対策協議会の「4つのしない」

日本クレジット協会は、フィッシング対策を4つの「しない」に整理して公表しています。手口と対策が対になっている構成なので、そのまま覚えてしまうのが早道です。

手口	利用者の対策
金融機関や有名企業を装ったEメールやSMSを不特定多数に送信する	不審なメールは開かない
メールやSMSに記載したURLから、精巧に作られた偽サイトに誘い込む	不審なサイトにアクセスしない（開封してしまっても、そこのリンクから先へ進まない）
偽サイトに個人情報を入力させ、盗み取る	個人情報を入力しない（サイトにアクセスしてしまっても入力しない）
盗んだID・パスワードで、他のサービスにも不正ログインする	ID・パスワードを使いまわさない

この4つが優れているのは、どの段階で気づいても引き返せる設計になっている点です。メールを開いてしまっても、サイトを開いてしまっても、入力しなければ被害は発生しません。

それでも知っておきたい「見分け方」

リンクを開かないのが原則ですが、それだけでは不安という方に向けて、実際に効く確認ポイントを挙げます。

1. 送信元のドメインを見る

メールの差出人表示名は自由に設定できます。表示名が「三井住友カード」でも、実際のアドレスがまったく別のドメインというケースは日常的にあります。表示名ではなく、＠より後ろの文字列を確認してください。

ただし、これも万能ではありません。フィッシング対策協議会の2026年7月の月次報告書には、ある調査用メールアドレスに届いたフィッシングメールのうち、差出人に実在するサービスのメールアドレス（ドメイン名）を使用した「なりすまし」が約26.5%だったと記載されています。4通に1通は、送信元アドレスを見ても本物と区別がつかないということです。

2. リンク先のURLを、開かずに確認する

パソコンならリンクにマウスカーソルを重ねると、ブラウザの左下などにリンク先が表示されます。スマートフォンならリンクを長押しすると、遷移せずにURLを確認できます。

見るべきなのは、ドメイン名の「いちばん右側」です。「smbc-card.com.example.net」のようなURLは、実際には example.net というサイトです。左側にどれだけ本物らしい文字列が並んでいても、判断材料になるのは右端のドメインです。

同じ月次報告書は、報告されたURLのTLD別内訳として .com が全体の約80.8% を占めていることや、amazonaws.com のホスト名をそのまま使うケースが報告全体の約23.2% に達したことも記しています。「.comだから安全」「有名なクラウドのドメインだから安全」とは言えないということです。

3. 急かす文面を疑う

「24時間以内に」「アカウントが停止されます」「至急ご確認ください」。時間的なプレッシャーをかけて考える余裕を奪うのは、フィッシングの定番の型です。フィッシング対策協議会も、対応を急かす表示は疑うこと、表示の指示には従わず画面を閉じることを推奨しています。

4. 心当たりのない通知はアプリで確かめる

「カードが不正利用されました」という通知が本物なら、その事実はカード会社の公式アプリやマイページにも反映されています。メールのリンクからではなく、自分でアプリを開いて確認してください。これが最も安全な確認方法です。

カード会社が聞いてこないこと

ここは判断の軸になるので、しっかり押さえてください。

クレジットカードの暗証番号は、そもそもカード会社の側でも会員に伝えない運用になっています。暗証番号を忘れた場合の照会手続きが、電話口やチャットで即答されるのではなく、登録住所への郵送で通知されるのはこのためです。日本クレジット協会がIC取引の啓発資料で案内しているとおり、暗証番号は他人に知られない限り真似されないという前提で、本人確認の手段として機能しています。

したがって、カード会社がメールやSMS、電話で暗証番号を尋ねてくることはありません。暗証番号は絶対に他人に教えないでください。相手がカード会社の職員を名乗っていても同じです。

セキュリティコードの位置づけについてはクレジットカードのセキュリティコードを解説した記事も参考にしてください。

本人認証サービス（EMV 3-Dセキュア）を登録しておく

日本クレジット協会は、不正利用対策の5つのうちの一つとして本人認証サービス（EMV 3-Dセキュア）の登録・利用を挙げています。

クレジットカード・セキュリティガイドライン6.1版の説明によると、EMV 3-Dセキュアは会員のデバイス情報等を用いてなりすましのリスク判定を行い、本人認証が必要と判断した取引についてのみ、動的（ワンタイム）パスワードの入力や生体認証等による追加認証を求める仕組みです。リスクが低いと判定された取引はパスワード入力なしで完了します。

登録しておけば、番号が漏れてもネット決済の段階で止まる可能性が上がります。3Dセキュアの設定方法を確認していない方は、この機会に済ませておくとよいでしょう。

入力してしまったときの動き方

フィッシング対策協議会は、状況別の対処法を公表しています。カードに関わる部分を中心に整理します。

状況	今すぐやること	必要に応じて行うこと
カードの利用明細に身に覚えのない取引がある	カード会社に連絡して利用を停止／カードを再発行	警察もしくは国民生活センター（消費生活センター）に相談する
個人情報を入力したのに手続きが完了しない（画面が真っ白になる等）	公式アプリ・公式サイトからパスワードを変更する	アクセス履歴を確認し、不審なアクセスがあればサポートセンターに問い合わせる
ID・パスワードを入力したがログインできない	パスワードをリセットし、サポートセンターに連絡する	多要素認証やパスキーを設定する
要求した覚えのない認証コードが届いた	パスワードを変更する	他のアカウントも設定を確認する
カード会社などを名乗る電話で情報を求められた	電話を一度切り、正規の電話番号を確認してかけ直す	情報を提供した場合はすぐにサポートセンターへ連絡する

カード情報を入力してしまった場合、様子を見るという選択肢はありません。その場でカード会社に連絡して停止・再発行を依頼してください。カードの盗難補償は届出日を基準にした一定期間の被害が対象になるため、連絡が早いほど守れる範囲が広くなります。

相談窓口としては、国民生活センター（消費生活センター）の「188」、緊急でない場合の警察相談専用電話「#9110」がフィッシング対策協議会のページで案内されています。不正送金が発生しているなど被害が進行中の場合は110番です。

今日のうちにやっておきたい設定

サービスごとに違うパスワードを覚えきれないときは、パスワード管理ノートに書き留めて自宅で保管するという方法もあります。持ち歩かない、カードと一緒にしない、の2点は守ってください。

よくある質問

Q1. 本物のメールとフィッシングメールを見分ける決定打はありますか？

単独で決定打になる方法はありません。差出人アドレスに実在するドメインを使う「なりすまし」が約26.5%を占めるという報告もあります。だからこそ、見分けようとするのではなく「メールのリンクからは開かず、公式アプリやブックマークから開く」という運用にするのが、フィッシング対策協議会も推奨する現実的な答えになります。

Q2. リンクを開いてしまいました。もう手遅れですか？

個人情報を入力していなければ、被害が発生する可能性は低いとフィッシング対策協議会は説明しています。念のため、アカウントのアクセス履歴を確認し、不審なアクセスがあればパスワードを変更してください。

Q3. SMSで届くタイプ（スミッシング）も同じ対策でよいですか？

基本は同じです。宅配便の不在通知や電力会社、カードブランドをかたる文面の報告が寄せられています。SMSフィルター機能を有効にしておくと、届く数自体を減らせます。

Q4. カード番号を入力してしまいましたが、まだ不正利用はありません。放置してよいですか？

放置しないでください。番号・有効期限・セキュリティコードが揃っている以上、いつ使われてもおかしくない状態です。カード会社に連絡して停止と再発行を依頼してください。再発行の際は、そのカードを登録しているサブスクや公共料金の支払い先の変更もあわせて行います。

Q5. 電話でカード会社を名乗る人から連絡がありました。本物か確かめる方法は？

一度電話を切り、カード裏面や公式サイトに記載された正規の番号にかけ直してください。かかってきた番号にかけ直すのではなく、自分で調べた番号にかけるのが要点です。フィッシング対策協議会も同じ手順を案内しています。

Q6. 不正利用されたら、全額補償されますか？

カード会社の会員規約に定められた条件を満たす場合に補償されます。届出日からさかのぼれる期間に上限があり、暗証番号が使われた取引や家族・同居人による利用は対象外とされることが一般的です。詳しくは不正利用の補償を請求する手順をまとめた記事をご覧ください。

まとめ

• フィッシング報告は2026年7月だけで66,119件。クレジット・信販系が約25.4%を占める
• 対策の中心は「リンクを開かない」「公式アプリから開く」
• 差出人アドレスの偽装は約26.5%。送信元だけでは判断できない
• URLはドメインの右端を見る。.comやクラウドのドメインでも安全とは限らない
• カード会社が暗証番号やセキュリティコードを聞くことはない。ワンタイムパスワードも同様
• 入力してしまったら、様子を見ずにすぐカード会社へ連絡して停止・再発行
• 本人認証サービス（EMV 3-Dセキュア）の登録と、パスワードの使いまわし解消を今日中に

※この記事の情報は執筆時点のものです。統計値は今後更新されます。最新の情報はフィッシング対策協議会および日本クレジット協会の公式サイトでご確認ください。