漏えいのお詫びメールは本物？送信元では見分けられない理由と、本物でも偽物でも同じ対処

（2026年10月29日追記）12時26分に、グッスマの公式サイトに第3報が出ました。対象の人には早朝にメールで連絡したと書かれていて、2通目のメールにあった内容（全桁・名義・セキュリティコード）が公式にも載りました。下の「カード情報まで漏れた可能性があるとき」「公式サイトのお知らせと照らす」「中身が、公開されている事実と食い違っていないかを見る」を、第3報に合わせて直しています。

（2026年10月29日追記）カード会社への連絡先を「カード裏面の番号」と書いていましたが、ナンバーレスのカードなど、裏面に問い合わせの番号が書かれていないカードもあります。「カード会社の公式アプリや公式サイトに載っている窓口」に直しました。

はじめに

ここ数週間、通販サイトやサービスから「個人情報が漏えいしたおそれがあります」というお詫びのメールが届くことが続いています。この記事では、そうしたメールが届いたときに、本物でも偽物でも同じように取れる対処と、本物かどうかの手がかりを、2026年10月29日時点で公開されている情報だけでまとめます。急ぐ人は「本物でも偽物でも、取る行動は同じ」の節を先に読んでください。

きっかけは、フィギュアのメーカーで、公式の通販もしているグッドスマイルカンパニー（グッスマ）の会員の一部に、10月29日の未明に届いた2通目のお詫びメールでした。公式サイトのお知らせでは、漏れた可能性のあるカード情報は番号の下4桁と有効期限までとされていました。ところがこのメールには、名義・番号の全16桁・有効期限・セキュリティコードも漏えいした可能性があると書かれていて、X では「このメールは本物なの？」という声がいくつも出ていました。

グッスマのクレジットカード情報流出の件、ちゃんとツイートすると、今日の午前3時半にグッスマからメールが来る。アドレス見た限りでは偽物ではなさそう。… pic.twitter.com/8HCvUXXs33
— みそリゼッター (@misolisettelove) October 29, 2026

自分も X で「本物？」と聞いている人に返信していて、何を見ればよいのかを整理しておきたくなりました。

送信元の表示では見分けられない

最初に押さえておきたいのは、メールの送信元に表示される名前やアドレスは、本物かどうかの決め手にならないことです。

分かりやすい例が、グッスマとは別の件ですが、メール配信サービスの会社であるユミルリンクの件です。ユミルリンクは、いろいろな会社がお知らせのメールを送るのに使う配信サービス（Cuenote FC）を提供していて、ここも不正アクセスを受けています。10月26日の第二報では、自社のドメインを使って第三者を騙った迷惑メールが確認されているとして、次の例を挙げています。

件名:「ご利用確認のお願い」「利用内容確認のご依頼」
送信元: セゾンカード [email protected]、SAISON [email protected]

送信元の名前はカード会社で、アドレスの @ より後ろ（ドメイン）には、配信サービスの本物の cuenote.jp が使われています。知っている会社の名前でも、本物のドメインでも、安心はできません。警察庁も、メールの「送信元名称」や「送信元メールアドレス」は変更が容易で、実在の企業になりすますことができると書いています。

公的機関がすすめているのは、メールの中で判断しないこと

国の関係機関の IPA（情報処理推進機構）は10月26日に、個人向けに「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」を出しています。そこでは、突然届くメールや SMS は基本的に全て偽メールと考えて無視して削除すること、真偽を確かめたいときは正規のサイトを調べてそこから問い合わせることをすすめています。偽メールの文面に、漏えいした自分の氏名が書かれていることもありえる、とも書かれています。

本物でも偽物でも、取る行動は同じ

次の形にしておけば、どちらでも同じように動けます。

メールのリンクは押さない。確かめるときは、ブックマークや公式アプリから開く。どちらも無ければ自分で検索して開き、「スポンサー」「広告」と付いた結果は避ける
問い合わせは、メールに書かれた連絡先ではなく、1の方法で開いた公式サイトに載っている窓口へ。カードのことは、カード会社の公式アプリや公式サイトに載っている窓口へ
当面のあいだ、カードの明細に覚えのない請求がないかを定期的に確かめる。あれば、すぐ2の窓口からカード会社へ
そのサービスのパスワードを、1の方法で開いた公式サイトから変える。同じパスワードをほかのサービスでも使っていたら、そちらも変える。二段階認証やパスキーが使えるなら設定する。サイトが閉じていて変えられないときは、同じパスワードを使っているほかのサービスを先に変え、再開したら変える

これから届くメールや SMS、電話も同じ扱いです。漏えいのあとは偽の連絡が増えるので、突然の連絡のリンクや連絡先は使わないようにします。

リンクを押さないことで避けられるのは、メールを入口にした被害です。すでに漏れた情報を使った被害、たとえばカード番号の不正利用は、メールを無視しても防げないので、3の明細の確認は続けてください。

すでにメールのリンクを押して入力してしまった場合は、入力したのがパスワードなら、公式サイトからすぐ変えます（同じパスワードを使っているほかのサービスも）。カード番号なら、すぐカード会社の公式アプリや公式サイトに載っている窓口に連絡して止め、再発行を相談します。困ったときは、IPA の情報セキュリティ安心相談窓口、消費者ホットライン（188）、警察相談専用電話（#9110）にも相談できます。

カード情報まで漏れた可能性があるとき

カード番号の全桁が漏れた可能性があるなら、ネットの買い物で悪用されるおそれがあります（グッスマの2通目のメールでは、名義・有効期限・セキュリティコードも漏えいした可能性があると書かれています）。明細を確かめるだけでなく、カード会社に連絡して、利用停止や再発行を相談してください。IPA も、カード情報が漏れた場合はカード会社に連絡して、不正な利用がないかの確認と、利用停止や再発行を相談するようすすめています。

グッスマの第3報によると、カード情報が全部漏れた可能性があるのは、10月21日13時55分から23日7時までに、公式ショップのクレジットカード決済のページにカード情報を入力した可能性のある2,800名です。カード決済で注文した人、決済を試みたが完了しなかった人、予約のあとに決済に使うカードを変更した人などが含まれ、該当する人には個別にメールが送られています。ログインしてカートに入れただけで決済に進まなかった人は、漏えいは発生していないと考えられるものの、決済を試みて完了しなかった人と記録の上で区別できないため、同じメールが届いています。決済のページまで進んだかどうか覚えていなければ、漏れた可能性がある前提で動いてください。

ほかに、注文のあとにカード情報の変更を試みて完了しなかった人も、漏えいの可能性があるのに特定できないと書かれています。この期間にカード情報を入力した覚えがあれば、メールが届いていなくても、カード会社に連絡して利用停止や再発行を相談してください。

再発行するとカード番号が変わるので、サブスクなどに登録しているカード番号の変更も忘れないようにします。

それでも気になるときの手がかり

ここからは、公式サイトとメールの内容が食い違っていて落ち着かないときに、慌てて動かないための手がかりです。どれだけ本物らしく見えても、取る行動は上の節のとおりで変えません。グッスマの2通目のメールを例にします。

公式サイトのお知らせと照らす

ブックマークなどから公式サイトを開いて、同じ内容のお知らせが出ているかを見ます。同じ内容が出ていれば、その内容は会社が公式に出しているものだと分かります。ただし、届いたメールそのものが本物かどうかは分からないので、メールのリンクは使いません。

グッスマの場合、10月29日11時25分の時点では、メールに書かれた内容（全桁・名義・セキュリティコード）は、公式サイトのお知らせにまだ載っていませんでした。お知らせは10月26日に追記された内容のままでした。その後、12時26分に第3報が出て、メールにあった内容（全桁・名義・セキュリティコード）が公式にも載りました。第3報には、メールを送ってからお知らせを載せるまでに時間がかかったと書かれています。このように、公式サイトに出ていないから偽物とは限りません。出ていなければ「まだ確かめられない」と考えます。

詐欺の形をしているかを見る

偽メールは、こちらに何かを入力させたり、連絡させたりしようとします。次のどれかがあれば、偽物と考えて手を止めます。

リンクを押させて、ログインやカード番号の入力をさせる（消費者庁は、事業者や公的機関がメールでいきなりカード番号の入力を求めることはないと書いています）
電話やメールで、パスワードやカード番号、セキュリティコードを聞いてくる
「至急」「本日中」など、急がせる

グッスマの2通目のメールの、画像で見えた範囲には、明細に覚えのない請求がないかを確かめ、あればカード裏面に書かれたカード会社へ問い合わせるよう書かれていました。この依頼はカード会社へ向かわせるもので、この部分については詐欺をする側に得がありません。ただ、偽物でも無害な文面にリンクを1つ混ぜることはできるので、メールの中にリンクがあれば、それは押さずにおきます。