自治体のメルマガ送信元から偽カードメール　ワイメール不正アクセスで実際に不審メール、どう見分ける？

自治体のメールと同じ送信元から、偽カード会社のメールが届いた

メール配信サービス「ワイメール」への不正アクセスに伴い、同サービスを利用していた自治体や事業者の配信環境を経由した不審メールが確認されています。

福島県双葉町は10月25日の更新で、10月24日午前8時ごろ、双葉町メールマガジンと同じアドレスから、実在するクレジットカード会社を偽装した不審メールが配信されたと公表しました。町によると、ワイメールへの第三者による不正侵入の痕跡が確認され、漏えいした可能性がある認証情報が悪用された可能性があります。個人情報が実際に漏えいしたかどうかは、現在も調査中です。

新潟県南魚沼市も10月24日、ワイメールに登録している利用者へ不審メールが届いているとして注意を呼びかけました。対象として確認されたのは、ふるさと応援隊、子育ての駅「ほのぼの」、消防団員向けの3つの配信サービスです。

写真プリントサービス「どんどんプリント」も、自社を装う不審メールがワイメールのメール配信環境を経由して送信されていたことを確認し、配信環境を停止しています。

今回、一般の利用者にとって特に重要なのは、送信者名や送信元アドレスが見慣れた自治体・事業者だからといって、それだけで安全とは判断できないという点です。

分かっていることと、まだ分かっていないことを分ける

10月26日時点では、複数の利用組織で不審メールが実際に確認されている一方、影響範囲の全体像は確定していません。

双葉町は、町が直接管理するサーバーへの不正アクセスは発生していないと説明しています。また、町のメールマガジン登録者数は2026年3月時点で約1,400人ですが、これは今回の不審メールが1,400人全員に送られたという意味ではありません。

南魚沼市も影響範囲を調査中としています。どんどんプリントは、不審メールがワイメールの配信環境を経由していたことを確認していますが、自社の注文システムなどへの影響が確認されたという発表ではありません。

セキュリティ対策Labが10月26日にまとめた運営会社側の調査状況によると、ワイメールのポータルサイトや一部契約者の配信環境への不正アクセスが確認され、認証情報の無効化やサーバー停止などが実施されています。一方、配信先の個人情報がどこまで外部へ持ち出されたか、不正送信が全部で何通あったかなどは調査が続いています。

したがって、現時点で「ワイメールの全登録者情報が流出した」「自治体からカード情報が漏れた」などと断定することはできません。カード会社を装ったメールが届いたことと、カード番号が配信サービスから漏れたことも別の話です。

送信元ではなく「そのメールが何をさせようとしているか」を見る

今回のように正規のメール配信環境が悪用された可能性がある場合、「知らないアドレスから来たメールだけ警戒する」という見分け方では足りません。

特に、普段は地域情報や施設案内が届くメルマガなのに、突然クレジットカードの利用確認、支払い、本人確認、アカウント停止などを求めてきた場合は立ち止まってください。双葉町は、町のメールマガジンで料金等を請求することは一切ないとして、不審メールへ対応しないよう呼びかけています。

確認するときは、メール本文のリンクや「配信停止」ボタンを使わず、カード会社やサービスの公式アプリ、普段使っているブックマーク、自分で確認した公式サイトから利用状況を確認します。

判断材料としては、次のような点が重要です。

• いつもの配信内容と無関係な支払い・カード・本人確認を突然求めていないか
• 「至急」「停止される」などと急がせ、リンクを押させようとしていないか
• カード番号、暗証番号、認証コード、ID・パスワードなどを入力させようとしていないか
• メールのリンク先ではなく、公式アプリから同じ通知を確認できるか

送信元が本物らしいかではなく、そのメールが要求している操作を別経路で確認するのが、今回のようなケースでは有効です。

リンクを開いた、情報を入力した場合は対応を分ける

メールを受け取っただけ、あるいは本文を表示しただけで、直ちにカード情報が盗まれたと決まるわけではありません。何をしたかで対応を分けます。

リンクを開いただけで、情報を入力していない場合は、そのページでそれ以上操作せず閉じます。ファイルをダウンロードしたり、アプリやプロファイルのインストールを求められても実行しません。

カード番号、有効期限、セキュリティコードなどを入力した場合は、メールに書かれた窓口ではなく、カード裏面や公式アプリ・公式サイトで確認したカード会社の窓口へ連絡し、必要な停止・再発行などの案内を受けてください。利用明細も確認します。

ID・パスワードを入力した場合は、公式サイトからそのサービスのパスワードを変更します。同じパスワードを他サービスでも使っている場合は、使い回し先も変更してください。多要素認証を利用できるサービスでは設定も確認します。

SMSや認証アプリに届いた確認コードまで入力した場合は、第三者のログインが成立している可能性も考え、ログイン履歴やセッションを確認し、サービス提供者へ相談します。

不正利用や金銭被害が確認された場合は、金融機関・カード会社への連絡に加え、警察や消費生活相談窓口への相談も検討してください。

「本物の送信元なら安全」という前提を少し変える

フィッシング対策では、送信者名やアドレスの違和感を確認することがよく勧められます。それ自体は今後も有効ですが、今回の事例は、それだけに頼れない場面があることを示しています。

メール配信サービスや配信アカウントが侵害されれば、利用者が過去に受け取ったメールと同じような送信元から不審メールが届くことがあります。自治体、学校、地域団体、店舗など、普段から信頼している相手の名前で届けば、警戒心が下がりやすくなります。

今後は、「誰から来たか」に加えて「何を要求しているか」「その要求を公式アプリなど別経路でも確認できるか」まで見る習慣が有効です。

今回のワイメール事案は調査が継続しています。登録情報の漏えい範囲や不正送信の規模について新しい公式発表が出た場合は、その内容を確認して判断を更新する必要があります。