【実物】三井住友カードを装う「お客様情報の確認」メールの見破り方
「【三井住友カード】お客様情報の確認をお願いいたします」——2026年に当社へ実際に届いたメールの件名です。カード会社を名乗る文面は、それだけで背筋が伸びるもの。だからこそ狙われます。
このメール、誘導先が少し変わっていました。一般的な偽サイトではなく、大手クラウドのドメインが使われていたのです。今日はその実物から、見分け方を解説します。
実物の中身
送信元
差出人のドメインは seattlefoodies.com でした。名前のとおり、海外の飲食系サイトのドメインです。三井住友カードとは何の関係もありません。
これは乗っ取られた正規サイトが送信に悪用されたか、単に無関係なドメインから送られたかのどちらかです。いずれにせよ、カード会社の正規メールは smbc-card.com などの公式ドメインから届きます。
誘導先URL（ここが要注意）
リンク先はこうなっていました。
` hxxps://（ランダムな文字列）.s3.eu-south-1.amazonaws.com/（ランダム）.html ` amazonaws.com ——Amazonのクラウドサービス（AWS）のドメインです。
「Amazonのドメインなら安全では？」と思われるかもしれません。ここが落とし穴です。AWSのストレージ（S3）は、誰でもお金を払えば borrow できるレンタルスペースです。中に何を置くかは借りた人の自由で、Amazonが中身を保証しているわけではありません。
同じ手口で、Microsoft の Azure（◯◯.web.core.windows.net）が使われた詐欺メールも当社に届いています。こちらは「定額減税の還付手続き」を装ったものでした。
「大手のドメインだから安全」は成立しません。 ここは覚えておいてください。
では、どう見分けるのか
大手クラウドが使われると、ドメインを見るだけでは判断しにくくなります。そこで、判断の軸を変えます。
軸1：カード会社のログイン画面は、そのドメインにあるか
三井住友カードの会員サイトは vpass.ne.jp、公式サイトは smbc-card.com です。ログイン画面が amazonaws.com や web.core.windows.net にあることは、絶対にありません。
「カード会社のサイトなのに、URLにカード会社の名前が入っていない」——これだけで偽物と判断できます。
軸2：そもそもメールから開かない
一番確実です。カードに関する連絡が来たら、
- メールのリンクは開かない
- カード会社の公式アプリを自分で開く、またはカード裏面に書かれた電話番号にかける
- アプリに同じお知らせが出ていなければ、そのメールは偽物
カード会社は、メールのリンクから暗証番号やセキュリティコードを入力させることはありません。
「本物のリンクが混ざっている」ことがある
もうひとつ知っておいてほしい手口があります。当社に届いた別の詐欺メールでは、本物のURLと偽物のURLが1通の中に同居していました。
- 総務省を装ったメール：本物の
stat.go.jpへのリンクと、偽サイトへのリンクが両方入っていた - 証券会社を装ったメール：本物の公式サイトへのリンクと、偽ログインページへのリンクが併記されていた
本物のリンクを混ぜることで、「ちゃんとしたメールだ」と思わせるのが狙いです。1つ本物があっても、他が本物とは限りません。
入力してしまったときの手順
カード情報を入れてしまった場合は、時間が勝負です。
- カード会社に連絡して利用停止・再発行を依頼する（カード裏面の番号へ。24時間受付の窓口があります）
- カード明細を過去にさかのぼって確認する（少額のテスト決済が先に行われることがあります）
- 同じIDやパスワードを他のサービスで使っていたら、そちらも変更する
- カード会社の指示に従って、不正利用の申告を行う
多くのカード会社は不正利用分を補償しますが、申告が遅れると対象外になることがあります。気づいた時点ですぐ動いてください。
迷ったら、押す前に見せてください
カード会社を名乗るメールは、本物も届きます。だからこそ判断が難しいのです。BULLCOM Security の LINE 無料相談では、届いたメールのスクリーンショットを送っていただければ、本物か偽物かを確認してお返事します。
すでに入力してしまった場合の対処も、順番に沿ってご案内します。「もう入れてしまった」というご相談ほど、早くいただけると打てる手が増えます。お気軽にご連絡ください。