「当選しました」は詐欺？ポイント・ギフト・返金を装う偽サイトの見分け方

「5000ポイント当選、今日まで」って来たよ。リンクを見るだけならいいよね？

そのリンクは使わず、公式アプリを自分で開こう。同じ当選やポイントが表示されなければ、その時点で受け取りを止めればいいよ。

先に結論：「受け取る前の3確認」だけで止める

メッセージの日本語、ロゴ、送信者名だけで本物を見分けるのは難しくなっています。見る場所を変えてください。自分が応募したか、景品の受取に支払いが必要か、公式アプリにも同じ案内があるか。この3つなら、ブランドや文面が変わっても使えます。

いま実際に増えている：ポイント・マイル・クーポンの通知

これは珍しい手口ではありません。フィッシング対策協議会の2026年6月報告では、ポイントプレゼント、マイル有効期限、アプリ更新、クーポンプレゼントを装う文面が多く寄せられたとされています。

2025年全体では、警察庁がフィッシング報告245万4,297件を挙げています。インターネットバンキングの不正送金は4,747件、約103億9,700万円で、フィッシングが手口の約9割を占めました。受取画面で入力した情報が、口座やカードの被害へつながります。

報告件数は、実際の被害人数や金額と同じではありません。ここでは手口が日常的に大量発生していることを示す指標として掲載しています。

「報酬型フィッシング」とは何か

報酬型フィッシングは、恐怖ではなく、当選、ポイント、返金、ギフト、割引、クーポンなどの利益を見せて偽サイトへ誘導するフィッシングを説明する呼び方です。警察庁などが統計分類として使う正式名称ではありませんが、「得をする通知でもフィッシングになる」と理解するには分かりやすい考え方です。

入口の感情は違っても、目的は同じです。偽のログイン画面や受取画面で、ID、パスワード、カード番号、認証コード、電話番号などを入力させます。場合によっては、クーポンやアプリ更新を名目に不正アプリを入れさせます。

文章が自然で、いつも使う会社のロゴもあるなら本物じゃないの？

ロゴはコピーできるし、生成AIで自然な文面も作れるよ。見た目より「リンクを使わず公式アプリで同じ案内が出るか」を確認する方が確実なんだ。

よくある6つの入口

国民生活センターは、心当たりのない宝くじや懸賞の当選SMSについて、受取の送金料や手数料を請求したり、個人情報やカード番号を盗み取ったりする可能性があると案内しています。スマホ画面に突然表示される「最新スマホ当選」も、カード番号を入力させて継続請求へつなげる手口として注意喚起されています。

なぜ「得をする話」に弱くなるのか

「大きな景品に対して送料100円なら安い」と感じると、カード番号を入力する抵抗が下がります。しかし、犯人の狙いは100円ではなく、カード情報、会員情報、認証コード、その後の継続請求です。画面に残り時間が表示されても、正しい確認を省略する理由にはなりません。

本物と偽物は「見た目」ではなく行動で分ける

ドメイン確認は役立ちますが、それだけに頼らないでください。短縮URL、正規クラウド、リダイレクト、似た文字のドメインが使われます。フィッシング対策協議会の2026年6月報告でも、正規サービスのドメインを不正利用して検知されにくくするケースが報告全体の約20.6%を占めました。

URLがhttpsで鍵マークも出ていたら、安全なサイトじゃないの？

鍵マークは通信が暗号化されている印で、相手が公式企業という証明ではないよ。偽サイトもhttpsを使えるから、公式アプリから入り直そう。

実践：通知が届いたら30秒で確認する

リンクを押しただけなら何をする？

リンクを押して偽サイトを表示しただけで、直ちにパスワードやカード情報が盗まれたとは限りません。まずページを閉じ、ダウンロードや入力をしていないか確認します。ブラウザの履歴を消すことより、何を入力・許可・インストールしたかを整理する方が重要です。

ID・パスワードを入力した場合

最優先はメールアカウントです。メールを乗っ取られると、他サービスのパスワード再設定を受け取られます。ポイントサービスだけの被害に見えても、使い回したメール・パスワードから連鎖する可能性があります。

パスワードを変えたら、もう認証コードまでは確認しなくていい？

認証コードも渡したなら、犯人がその場でログインした可能性があるよ。パスワード変更に加えて、登録端末とログイン履歴を確認しよう。

カード情報を入力した場合

カード番号、有効期限、名義、セキュリティコードを入力した場合は、請求が出るまで待たず、カード裏面または公式アプリにある窓口へ連絡します。利用停止、カード番号の変更、継続課金の確認、補償手続きはカード会社の案内に従ってください。

「100円の送料だけだから」と放置しないでください。少額決済はカードが使えるかを確認するテストや、定期購入の入口に使われる場合があります。

認証コードを送った・支払った場合

ワンタイムパスワードやSMS認証コードを送った場合、犯人がリアルタイムでログインや決済を進めた可能性があります。パスワード変更だけで終わらず、サービス提供会社へ「フィッシングサイトに認証コードまで入力した」と伝えてください。

アプリや構成プロファイルを入れた場合

メールのリンクからAndroidのAPK、iPhoneの構成プロファイル、遠隔操作アプリなどを入れた場合は、入力情報だけの問題より範囲が広がります。端末の連絡先、SMS、画面、通知へアクセスされる可能性があります。

「公式アプリの更新」と書いてあっても、メールから入れちゃだめ？

更新はスマホの設定、App Store、Google Playから行おう。2026年6月にもクーポンや更新を装って不正アプリへ誘導するメールが確認されているよ。

家族で決める「得する通知」3ルール

企業・キャンペーン運営側が確認すること

利用者に「メールのリンクは押さないで」と伝えるだけでは、正規キャンペーンも疑われます。事業者は、正規通知を利用者が別経路で確認できるようにし、ブランドが悪用されたときの通報・停止手順を用意する必要があります。

フィッシング対策協議会の2026年度ガイドラインは、ポイント交換、振込、商品購入など資産移動機能を提供する事業者に、限度額設定や追加認証などの被害抑制を求めています。ポイントも現金と同じように、盗まれる資産として設計する必要があります。

正規メールにもリンクがあるのに、利用者へ「押すな」と言うだけでいいのかな？

それでは伝わらないよ。正規アプリにも同じ通知を出し、メールを使わず確認できる設計に変えることが事業者側の対策なんだ。

迷ったときの相談・通報先

証拠として、メッセージ全文、送信元、URL、表示画面、入力した時刻、支払先、利用明細を残します。偽サイトを再度開いて撮り直す必要はありません。

まだお金を取られていなくても、188や警察へ相談していいの？

もちろん。送金前でも相談できるよ。判断に迷う段階で止める方が、被害後に取り戻すよりずっと確実なんだ。

よくある質問

次に読む記事

まとめ：「当選しました」は3点を確認してから

• 2026年6月にも、ポイントプレゼント、マイル期限、クーポンを装うフィッシングが多数報告された
• 応募していない当選は受け取らず、景品のための送料・税金・手数料を先払いしない
• メールやSMSを閉じ、公式アプリや登録済みブックマークから同じ案内を確認する
• パスワードを入力したら変更とログイン履歴、カードならカード会社、認証コードや送金なら即時連絡
• アプリ更新はメールからではなく、端末設定や公式アプリストアから行う

覚える言葉は「報酬型フィッシング」ではありません。応募したか、先払いがあるか、公式アプリにも出るか。当選、ポイント、返金、ギフトのどれが届いても、この3点で止めてください。

参考にした一次情報

• フィッシング対策協議会：2026/06 フィッシング報告状況
• フィッシング対策協議会：フィッシング対策ガイドライン 2026年度版
• フィッシング対策協議会：フィッシングレポート2026
• 警察庁：フィッシング対策
• 警察庁：令和7年におけるサイバー空間をめぐる脅威の情勢等
• 国民生活センター：心当たりのない宝くじや懸賞の当選SMS
• 国民生活センター：スマホ画面に突然「当選した」と表示された
• 消費者庁：マイナポイントに乗じた詐欺への注意
• FTC：Fake Prize, Sweepstakes, and Lottery Scams
• CISA：Secure Our World – Recognize and Report Phishing
• 警察庁：偽ショッピングサイト・詐欺サイト対策

本記事は2026年7月20日時点の公開情報に基づきます。キャンペーンやポイント制度の個別条件は、メッセージ内のリンクではなく、各事業者の公式アプリ・公式サイト・利用規約で確認してください。