「Yahoo!ショッピング 注文確認」偽メールの手口

「【Yahoo!ショッピング】ご注文ありがとうございます。下記の内容で注文を承りました」——こんなメールが、何も買っていないのに突然届いたことはありませんか？ 身に覚えのない高額な注文確認に「えっ、勝手に買い物された！？」と慌ててメール内のリンクをクリックしてしまう。実はこれ、その「あわてる気持ち」こそが狙いの典型的なフィッシング詐欺です。今回は、Yahoo!ショッピングを装った偽の注文確認メールの手口と、見分け方、そして万が一クリックしてしまったときの対処法をわかりやすく解説します。

なぜ「注文確認メール」が詐欺に使われるのか

通販の注文確認メール自体は、ごく当たり前に届くものです。だからこそ詐欺師に悪用されます。

ポイントは「身に覚えがない」という違和感です。買っていないのに注文確認が届くと、人は次のように考えてしまいます。

• 「自分のアカウントが乗っ取られたのでは？」
• 「クレジットカードが不正利用された？」
• 「早くキャンセルしないと請求が来てしまう」

詐欺師はこの不安を利用して、「ご注文に心当たりがない場合はこちら」「キャンセルはこちらから」といったリンクを押させようとします。リンク先は本物そっくりに作られた偽のログインページで、ここにYahoo! JAPAN IDやパスワード、クレジットカード情報を入力させて盗み取るのが目的です。

つまり、メールの内容を信じさせるのではなく、「確認しなきゃ」と焦らせて誘導するのが手口の核心なのです。

偽メールによくある特徴

偽の注文確認メールには、いくつか共通したパターンがあります。届いたメールを落ち着いて見てみましょう。

1. 高額・不自然な注文内容

「合計 128,000円」のような、思わずギョッとする金額が書かれていることが多いです。高額であるほど「今すぐ取り消さなきゃ」と焦らせる効果があります。

2. 宛名が「お客様」だけ

本物のYahoo!ショッピングからのメールには、登録した氏名が入ります。「○○様」ではなく「お客様各位」「ご利用者様」など、誰にでも当てはまる呼びかけだけのときは要注意です。

3. やたらと急かす表現

「24時間以内にご確認ください」「対応がない場合アカウントを停止します」など、期限や脅し文句で判断する時間を奪おうとします。

4. 日本語が微妙におかしい

「ご注文を承りましたです」「あなたのアカウントは制限されました」など、わずかに不自然な言い回しが混じることがあります。

一番確実な見分け方は「送信元ドメイン」

文面の雰囲気だけで判断するのは危険です。最も確実なのは、メールアドレスのドメイン（@より後ろの部分）とリンク先のURLを確認することです。

Yahoo!ショッピングや Yahoo! JAPAN の正規メールは、基本的に次のドメインから送られてきます。

• yahoo.co.jp
• mail.yahoo.co.jp
• shopping.yahoo.co.jp

一方、偽メールは一見それらしく見せかけた、まったく別のドメインを使います。たとえば次のようなものです。

• yahoo-shopping.xxx.com（本物のドメインの「前」にyahooと付けただけ）
• yahoo.co.jp.xxxx.net（co.jp の後ろに知らない文字列が続く）
• yah00-shopping.com（oが数字の0になっている）

ドメインは「一番右側」が本体です。yahoo.co.jp.abcd.net の場合、本当の送信元は abcd.net という無関係なサイトです。「yahoo」という文字が入っているかどうかではなく、末尾が正規ドメインで終わっているかで見極めてください。

リンクも同様です。スマホなら長押し、パソコンならマウスを乗せる（クリックはしない）と本当の飛び先URLが表示されます。yahoo.co.jp 以外のアドレスなら、絶対に開かないことです。

クリック・入力してしまったときの対処法

もし焦ってリンクを開き、IDやパスワード、カード情報を入力してしまっても、すぐに行動すれば被害を最小限にできます。

• すぐにパスワードを変更する：必ずメールのリンクからではなく、ブラウザで「Yahoo! JAPAN」と検索するか、公式アプリから正規サイトにアクセスして変更します。
• 同じパスワードを使い回している他サービスも変更する：流出した情報で別サービスにログインされる「使い回し被害」を防ぐためです。
• クレジットカード情報を入力した場合：カード裏面の電話番号や公式アプリからカード会社に連絡し、利用停止・再発行を依頼します。
• 二段階認証（ログイン時の追加確認）を設定する：パスワードだけでログインされない状態にしておくと安心です。

そして、入力していなくても「リンクを開いただけ」で不安なときは、自己判断で放置しないことが大切です。

怪しいと思ったら、まずスクリーンショットを

注文確認メールは日常的に届くものだからこそ、本物と偽物の見分けに迷うのは当然です。「これ、本当にYahoo!からかな？」と少しでも引っかかったら、リンクを押す前に立ち止まってください。

判断に迷ったときは、BULLCOM SecurityのLINE無料相談をご利用ください。届いたメールのスクリーンショットを送っていただければ、ドメインや文面から詐欺かどうかをこちらで確認し、対処法までご案内します。「自分で調べる時間がない」「家族が入力してしまったかも」というご相談も歓迎です。一人で抱え込まず、まずは気軽にメッセージをお送りください。