【実物】「PaPay銀行」——1文字だけ違うタイポ詐称の見抜き方
【PaPay銀行】PayPayデビット3回利用で3,000円分ポイントプレゼント
2026年に当社へ届いたメールの件名です。よく見てください。「PaPay銀行」。正しくは「PayPay銀行」です。
y が1文字抜けています。 そして本文中では正しく「PayPay」と書かれている。この不揃いさこそが、決定的な手がかりでした。
1文字違いは「うっかりミス」ではない
タイプミスに見えますが、これは意図的です。理由は2つあります。
1. フィルターを避けるため
迷惑メールフィルターは「PayPay銀行」という正確な文字列と、怪しい特徴の組み合わせで判定します。「PaPay銀行」は、文字列としては一致しません。
一方で、人間は読み飛ばします。人の脳は、単語をおおまかな形で認識するため、1文字の欠落に気づきにくいのです。この性質を突いています。
2. 偽ドメインの取得と組み合わせるため
似た文字列のドメインを取得して使う手法はタイポスクワッティングと呼ばれます。
paypay-bank.co.jp（本物）paypay-banc.com/paypei-bank.com/payypay-bank.com（偽物の例）
アドレスバーに表示されても、ぱっと見では区別がつきません。
実物の誘導先は「.cn」だった
このメールのリンク先は、こうなっていました。
` hxxps://paybank.wzckwzx.cn/KioKHJ ` .cn は中国の国別ドメインです。日本の銀行が .cn ドメインで顧客向けページを運用することはありません。
送信元も gaoyizhi.com と、レンタルサーバーの自動生成アドレスの2種類が確認できました。PayPay銀行の公式ドメインからは届いていません。
見落としを防ぐ3つのコツ
1文字違いに気づくのは、意識していないと難しいものです。実用的なコツを挙げます。
1. ブランド名を「声に出して」読む
黙読すると脳が補正しますが、音にすると違和感が出やすいです。「ぱぱいぎんこう？」と読めば、おかしいと気づけます。
2. 文中と件名で表記が揃っているか見る
今回のメールは、件名が「PaPay」、本文が「PayPay」でした。同じメール内で表記がぶれるのは、明らかに不自然です。正規の企業が自社名を書き間違えることはありません。
3. ドメインは右端から読む
paybank.wzckwzx.cn の持ち主は wzckwzx.cn です。左側の paybank は、持ち主が自由に付けられる飾りにすぎません。 「見慣れた単語が左側にあるドメインは、まず疑う」——これが実用的な習慣です。
タイポ詐称は他ブランドでも使われる
同じ発想の偽装は、あらゆるブランドで見られます。
- 文字の欠落：
AmaznGogle - 文字の入れ替え：
Ratuken - 似た文字への置換：
rnicrosoft（rn を組み合わせて m に見せる） - 数字と文字：
PayPa1G00gle
特に rn → m は、フォントによっては見分けがほぼ不可能です。目視だけに頼らないことが大切になります。
目視に頼らない確認方法
結局、最も確実なのは「読まない」ことです。
- メールのリンクは開かない
- 公式アプリを自分で起動する、またはブックマークから公式サイトへ
- アプリ内のお知らせに同じ案内があるか確認する
自分でアプリを開く限り、偽サイトにはたどり着けません。 ドメインの1文字を凝視する必要もなくなります。
「ポイントプレゼント」という餌
今回の件名は「デビット3回利用で3,000円分ポイントプレゼント」でした。得をする話で判断を緩めるのは、詐欺の定番です。
本物のキャンペーンなら、銀行のアプリや公式サイトに必ず掲載されています。メールにしか書いていないキャンペーンは、存在しないと考えて構いません。
迷ったら、開く前にスクショを
「1文字違うかどうか」を毎回確認するのは、正直しんどい作業です。判断に迷ったら、無理せずご相談ください。
BULLCOM Security の LINE 無料相談では、届いたメールのスクリーンショットを送っていただければ、偽物かどうかを確認してお返事します。すでに開いてしまった、入力してしまったという場合も、次にやるべきことを一緒に整理します。お気軽にご連絡ください。