2026年8月17日

【実物】URLが本物なのに危険——PayPayの"送金リンク"に飛ばす手口

詐欺メールの見分け方として、私たちはいつも「リンク先のドメインを見てください」とお伝えしています。偽サイトは必ず偽のドメインを使うからです。

ところが、当社に実際に届いたPayPayを装うメールは、リンク先が本物のPayPayのドメインでした。ドメインを確認しても見抜けません。今日は、この質の違う手口について解説します。

実物：3通に共通していたリンク先

届いたのは、こんな件名のメールです。

いずれも「料金を確認してください」という体裁です。そしてリンク先は、3通とも次の形でした。 ` https://qr.paypay.ne.jp/p2p01_（英数字の文字列） ` paypay.ne.jp ——本物のPayPayのドメインです。偽サイトではありません。

このURLは、PayPayの個人間送金（送金リンク）の正規URLです。開くとPayPayアプリが起動し、送金の画面が表示されます。

つまり、こういう流れです。

確認しに行ったつもりが、支払いに行かされているわけです。

この手口が厄介なのは、いつもの防御が全部すり抜けることです。

フィッシングサイトは「偽物を本物に見せかける」手口ですが、これは本物の機能をそのまま悪用しています。だから見分けようがないのです。

見分けられない以上、防ぎ方は「見分けない」方向になります。

これが唯一にして最強の対策です。リンク経由でPayPayアプリが起動したら、その時点で一度閉じてください。

料金や残高を確認したいなら、

これだけです。アプリを自分で開く限り、送金画面が勝手に出ることはありません。

PayPayの画面で「送る」「送金」「〇〇円を送る」といった表示が出たら、それは確認ではなく支払いです。金額が入力済みになっていることもあります。

「確認するだけのはずなのに、なぜ金額が出ているんだろう」と感じたら、そこで必ず止まってください。

PayPayは前払い式の決済サービスです。「未納料金がある」「残金を支払え」といった請求メールを送る仕組み自体がありません。 この時点で偽物と判断して構いません。

参考までに、届いた3通の送信元はこうでした。

乗っ取られた正規サイトや、無関係な企業のドメインが送信に使われています。 PayPayの公式ドメインからは届いていません。リンクが本物でも、送信元は偽物のままなので、ここを見れば気づけます。

個人間送金は原則として取り消せませんが、早く申告するほど打てる手が残ります。「自分が悪かった」と思って黙ってしまうのが、一番よくない対応です。

この手口は、URLを見ても分からないという点で、これまでの詐欺と質が違います。「怪しいけど、リンクは本物っぽい」——そう感じたときこそ、開く前にご相談ください。

BULLCOM Security の LINE 無料相談では、届いたメールのスクリーンショットを送っていただければ、危険かどうかを確認してお返事します。すでに開いてしまった、送金してしまったという場合も、次に何をすべきか一緒に整理します。お気軽にメッセージをお送りください。