皆さん、こんにちは。東証プライム上場企業で情報システム部のセキュリティ担当をしている城咲子です。
先日、私の元にもJALから「JALグループを装った不審メール・不審電話・偽サイトにご注意ください」という注意喚起のメールが届きました。航空会社のマイレージプログラムは、多くの個人情報や資産価値のあるマイルと紐づいているため、攻撃者にとって格好の標的となります。
今回の手口は非常に巧妙化しており、**「自分は大丈夫」という油断が最も危険**です。
この記事では、JALからの公式な注意喚起を基に、セキュリティ専門家の視点から、**なぜJALが狙われるのか、具体的な手口と見分け方、そして今すぐ実行すべき対策**を徹底的に解説します。ご自身の、そしてご家族の大切なマイルと個人情報を守るために、ぜひ最後までお読みください。
## JALからの公式な注意喚起（2025年10月15日）
まず、JALから配信されたメールの要点を確認しましょう。これは「重要なお知らせ」として、メールニュースの配信を希望していないユーザーにも送られていることからも、JAL側の強い危機感が伺えます
> * JALグループを装い、個人情報（JMBお得意様番号、パスワードなど）を詐取しようとするフィッシングメール・不審電話・偽Webサイト・SNS上の偽広告が確認されている。
> * 偽サイトは本物と見分けがつきにくいため、ログインは**必ず公式Webサイトや公式アプリから行う**こと。
> * 偽メールや広告は、**巧妙なURL、不自然な日本語、「先着」「期間限定」といった緊急性を煽る文言**などの特徴がある。
> * 万が一、情報を入力してしまった場合は、**直ちにパスワードを変更し、ワンタイムパスワードの通知先をSMSへ変更**するよう求めている。
企業のセキュリティ担当者として見て、これは非常に的確な注意喚起です。特に「本メールではURLを記載しておりません」という部分は、JAL自身がメール内のリンククリックのリスクを理解し、ユーザーを安全な場所（公式サイト）へ誘導しようとする強い意志の表れと言えます。
## 【手口を分析】巧妙化するJALのフィッシング詐欺、4つの見分け方
今回のフィッシング詐欺は、従来のものより格段に巧妙になっています。以下のポイントを確認し、見分ける能力を身につけましょう。
### 1. 本物そっくりの偽サイト
最近の偽サイトは、HTMLやCSSを完全にコピーして作られているため、**デザインだけで真偽を判断するのはほぼ不可能**です。ロゴやレイアウトが本物と瓜二つでも、それは偽サイトである可能性を常に念頭に置いてください。
### 2. 「緊急性」や「お得感」を煽る件名と本文
攻撃者は、受信者が冷静に考える時間を与えないように仕向けます。
* 「【JAL】お客さまのアカウント認証に関する重要なお知らせ」
* 「マイルの有効期限が迫っています。至急ご確認ください」
* 「限定！5,000マイルプレゼントキャンペーン」
このような件名で**不安や欲望を煽り、リンクのクリックを誘う**のが常套手段です。
### 3. 送信元メールアドレスの偽装
送信元のアドレスも巧妙に偽装されています。「`jal.co.jp`」に似せた「`jal.co-jp.xyz`」や「`ja1.co.jp`」（数字の1）のような、一見しただけでは間違いに気づきにくいドメインが使われます。しかし、これも絶対的な判断基準ではありません。**メールアドレスは技術的に偽装可能**なので、信頼できる送信元に見えても安易に信用してはいけません。
### 4. 最も重要なチェックポイントは「URL」
最終的に最も信頼できる判断材料は、アクセス先の**URL**です。
* **絶対にメール内のリンクは直接クリックしない。**
* もし確認したい場合は、リンクの上にマウスカーソルを乗せる（ホバーする）と表示されるURLを確認します。
* JALの公式サイトのドメインは「**jal.co.jp**」です。これと完全に一致しているかを確認してください。少しでも違う場合は、100%偽物です。
安全なのは、メールからアクセスするのではなく、**ブックマークや検索エンジンからJALの公式サイトへ直接アクセス**する習慣をつけることです。
## なぜJALのマイレージが狙われるのか？
では、なぜ攻撃者はこれほどまでにJALの顧客情報を狙うのでしょうか。理由は大きく2つあります。
1. **マイルの資産価値:** JALのマイルは、特典航空券だけでなく、電子マネーや商品にも交換できる「資産」です。不正にログインされれば、マイルを勝手に使われたり、現金化されたりする恐れがあります。
2. **信頼されるブランドの悪用:** JALという日本を代表する企業の名前を騙ることで、多くの人が疑いなくメールを開封し、リンクをクリックしてしまう可能性が高いからです。
## 【専門家が推奨】今すぐやるべき3つのセキュリティ対策
JALが推奨している対策は、他のサービスにも応用できる非常に重要なものです。この機会に必ず設定を見直しましょう。
### 1. パスワードの定期的な変更と「使いまわし」の禁止
これは基本中の基本ですが、最も重要です。「定期的な変更」はもちろんですが、それ以上に**「他のサービスと同じパスワードを使いまわさない」**ことが不可欠です。
もしパスワードを使いまわしていると、どこか一つのサービスから情報が漏洩した際に、他のサービスにも不正ログインされる「パスワードリスト型攻撃」の被害に遭ってしまいます。たくさんのパスワードを覚えるのが難しい方は、**パスワードマネージャー**の利用を強く推奨します。
### 2. ワンタイムパスワード（OTP）を「SMS通知」に設定する
ワンタイムパスワードは、ログイン時の本人確認を強化する非常に有効な手段です。JALは通知先として「メール」と「SMS」を選べますが、**必ず「SMS」に設定してください。**
なぜなら、メールアドレスとパスワードがセットで漏洩した場合、メール通知のワンタイムパスワードでは突破されてしまうからです。一方、SMSはスマートフォン本体に通知が届くため、攻撃者があなたのスマホを物理的に持っていない限り、不正ログインを防ぐことができます。
### 3. JAL公式サイトや公式アプリをブックマークして利用する
メールやSMS内のリンクからログインするのではなく、**日頃からブックマークした公式サイトや、公式アプリからログインする**ことを徹底してください。これが、フィッシングサイトを回避する最も確実で簡単な方法です。
## 万が一、情報を入力してしまった場合の対処法
もし「怪しいサイトに情報を入力してしまったかも…」と不安に思ったら、慌てずに以下の手順で対処してください。
1. **直ちにパスワードを変更する:** 公式サイトにアクセスし、すぐにパスワードを変更します。
2. **ワンタイムパスワードの設定を確認・変更する:** 通知先がSMSになっているかを確認します。
3. **JALマイレージバンク事務局に連絡する:** 被害状況を報告し、指示を仰ぎます。
4. **クレジットカード情報を入力した場合:** 速やかにカード会社に連絡し、カードの利用停止手続きを行ってください。
## まとめ｜「自分は大丈夫」と思わず、常に警戒を
今回はJALを騙るフィッシング詐欺について解説しました。攻撃者は、私たちの誰もが利用するような有名なサービスを狙って、常に新しい手口を仕掛けてきます。
* **メールやSNSのリンクは安易にクリックしない**
* **ログインは必ず公式サイトのブックマークや公式アプリから**
* **パスワードを使いまわさず、ワンタイムパスワード（SMS通知）を設定する**
これらの基本的な対策を徹底することが、あなたの大切な資産と情報を守ることに繋がります。
今回のJALを騙るメールは巧妙でしたが、フィッシング詐欺には共通する手口や見破るための基本的なチェックポイントがあります。以下のまとめ記事で、最新の手口や具体的な対策をさらに詳しく解説していますので、ぜひ併せてご覧ください。
▼ フィッシング詐欺の最新手口と見破り方の詳細はこちら
▼ 騙されないための7つの対策（総合ガイド）はこちら
-
【対策総合まとめ】
【完全版】フィッシング詐欺に絶対騙されない！最新手口と専門家が教える7つの対策
今回のJALの件も氷山の一角に過ぎません。企業がどのようなサイバー攻撃の被害に遭っているかを知ることは、個人のセキュリティ対策を考える上でも非常に役立ちます。以下の総まとめ記事もぜひ参考にしてみてください。
- [【総まとめ】2025年国内サイバー攻撃被害事例｜企業が学ぶべき教訓と対策](https://infomation-sytem-security.hatenablog.com/entry/cyber-attack-summary-2025)
「自分は大丈夫」という意識を捨て、常に慎重に行動する習慣を身につけていきましょう。
