変なメールを開いてしまった！スマホ・パソコン別に今すぐやること

01この記事でわかること（3行まとめ）

• メールを開いて読んだだけなら、多くの場合はまず落ち着いて大丈夫です。公的機関の注意喚起が「被害につながる」と挙げているのは、その先の操作（リンク先で入力する、アプリを入れる、添付ファイルを開く）です。
• どこまで操作したかで、やることが変わります。下の5段階のどこに当てはまるかを、まず確かめてください。
• 会社のパソコンやメールなら、自分だけで判断せず、すぐ上司やシステム担当に伝えます。隠すと、かえって被害が広がります。

なお、だましのメールで偽のサイトに誘い込み、IDやパスワード、カード番号を盗む手口を「フィッシング」といいます。くわしくはフィッシングの用語解説をご覧ください。

02まず落ち着いて：どこまでやったかで5段階に分かれます

まず「自分がどこまで操作したか」を思い出してください。段階が進むほど、やることが増えます。

段階1（開いただけ）なら、メールの中のリンクを押さない、添付ファイルを開かない、返信しない。この3つを守れば十分なことがほとんどです。フィッシング対策協議会も、怪しいメールを受け取ったら「リンクはクリックしない」ようにと案内しています。

段階2（リンクを押しただけ）も、あわてなくて大丈夫なことが多いです。IPAは、不審なサイトにアクセスしたあとに被害につながるのは、個人情報を入力したとき、不審なアプリを入れたとき、不審な通知を押して購入に誘導されたときだと説明しています。何も入力せずに閉じたなら、その3つを避けられています。

ただし、サイトを開いたときに「通知を許可しますか」と出て、許可してしまった場合は注意が必要です。IPAは、ブラウザーの設定から不審なサイトの通知の許可を削除するよう案内しています。画面に「ウイルスに感染しました」と大きく出て電話番号が書かれている場合は、その番号に電話しないでください（消し方は「ウイルスに感染しています」の警告が消えないときにまとめています）。

段階3〜5の人は、このあとの各節に進んでください。段階3は急ぐので、先に「IDやパスワード、カード番号を入力してしまったとき」の節を読んでも構いません。

03iPhoneで開いてしまったときにやること

iPhoneで変なメールやSMS（ショートメッセージ）を開いてしまったときの手順です。段階1・2なら、上の3つ（押さない・開かない・返信しない）を守ってメールを閉じれば、多くの場合はここで終わりです。

リンク先で何か入力してしまったとき

IPAは、iPhoneで偽サイトに情報を入力してしまった場合の対処を、入力したものごとに分けて案内しています。

1. Apple Account（旧Apple ID）や携帯電話会社のIDとパスワードを入れた：至急パスワードを変えます。長く複雑なものにし、使い回しはやめます。そのサービスの会社に、不正な利用がないかも確かめます。
2. SMSで届いた認証コード（確認コード）を入れた：IPAは「被害につながる可能性が高い」としています。パスワード変更に加えて、電話番号にひもづくキャリア決済（スマホ料金と一緒に払う支払い方法）に身に覚えのない請求がないか、携帯電話会社に確かめます。
3. クレジットカードの情報を入れた：カード会社にすぐ連絡して相談します。

Appleも、Apple Accountの情報を入力してしまったら、すぐにパスワードを変更し、2ファクタ認証（パスワードに加えて、登録した端末で確認する仕組み）が有効になっているか確かめるよう案内しています。Appleは、パスワードや確認コードをAppleから聞くことはないとも書いています。

iOSを最新にしておく

落ち着いたら、iPhoneのソフトウェアが最新か確かめます。Appleの案内では、「設定」→「一般」→「ソフトウェアアップデート」で、アップデートがあれば「ダウンロードしてインストール」を押します。同じ画面の「自動アップデート」もオンにしておきましょう。

04Androidで開いてしまったときにやること

Androidで特に気をつけたいのは、段階5の「アプリを入れてしまった」ケースです。宅配業者や携帯電話会社を名乗るSMSから、偽のアプリを入れさせる手口について、IPAは次の手順を案内しています。

1. 機内モードにする（Wi-Fiもオフ）：勝手にSMSを送ったり、スマホの中の情報を外へ送ったりするのを止めるためです。
2. 機内モードのまま、そのアプリを削除する：ホーム画面に出ないこともあるので、「設定」のアプリ一覧から探します。
3. スマホを初期化する：不正なアプリがどこまで影響したか分からないため、IPAは削除だけでなく初期化をすすめています。初期化の前に、キャリア決済の請求や、アカウントの登録・変更のお知らせが来ていないかを確認します（SMSは初期化で消えます）。データを戻すときは、アプリを入れる前のバックアップを使います。
4. パスワードを変える：Googleアカウントや、そのスマホで使っていたサービスのパスワードを、長く複雑で使い回さないものにします。多要素認証（後の節で説明）があれば使います。
5. 請求と登録を確かめる：身に覚えのない請求がないか携帯電話会社に確かめ、フリマや後払い決済などで勝手に登録されていないかも見ます。

Google Play プロテクトを確かめる

Androidには、アプリを自動で調べる「Google Play プロテクト」があります。Playストアを開き、右上のプロフィールアイコン →「Play プロテクト」→ 右上の設定アイコンで、「Play プロテクトによるアプリのスキャン」がオンになっているか確かめられます。有害なアプリの通知が来たら、通知を開いて「アンインストール」を押します。表示は機種で少し違います。

05パソコン（Windows・Mac）で開いてしまったときにやること

パソコンで気をつけたいのは、段階4の「添付ファイルを開いた」ケースです。警察庁は、ウイルス「Emotet（エモテット）」の注意喚起で、添付されたWordやExcelを開いたときにマクロ（ファイルの中で動く小さなプログラム）やセキュリティの警告が出ても、マクロを有効にしたり警告を無視したりしないよう呼びかけています。押していなければ、まずファイルを閉じてください。

感染したかもしれないと思ったら

1. ネットから切り離す：警察庁は、感染が疑われるパソコンはLANケーブルを抜くなどしてネットワークから隔離するよう案内しています。Wi-Fiなら、Wi-Fiをオフにします。
2. ウイルス対策ソフトで全体をスキャンする：Windowsなら標準の「Windows セキュリティ」の「ウイルスと脅威の防止」からスキャンできます（表記はバージョンで少し違います）。Microsoftは、感染が疑われるときは、すべての場所を調べる「フル スキャン」をすすめています。時間がかかり、その間パソコンが少し遅くなることがあります。
3. メールのパスワードを変える：警察庁は、感染したパソコンで使っていたメールアカウントのパスワードを変えるよう案内しています。
4. 相談・報告する：個人ならIPAの安心相談窓口、会社のパソコンならまず社内の担当者へ。相談先は後の節にまとめています。

Macの場合

Appleは、マルウェア（悪さをするソフト）が、無害に見えるアプリや、スクリプトなどのアプリ以外のファイルに紛れて配られることがあると説明しています。ダウンロードしたものを初めて開くとmacOSが警告を出すので、身に覚えのないファイルで警告が出たら、開かずに削除してください。感染が心配なときに、ネットから切り離してメールのパスワードを変える、という考え方はWindowsと同じです。

OSを最新にする

Windowsは「Windows Update」で、Macは「システム設定」→「一般」→「ソフトウェアアップデート」で最新にします。Appleは、事前にバックアップを取るよう案内しています。

Gmailをパソコンで使っている人は、変なメールを開いた画面で、返信アイコンの横の「その他」アイコンから「フィッシングを報告」を押せます。間違って報告したときは、同じメニューの「フィッシングではないことを報告」で取り消せます。

06会社のパソコン・会社のメールだったら

会社のパソコンや会社のメールアドレスで変なメールを開いてしまったら、自分で何とかしようとせず、すぐに上司かシステム担当者に伝えてください。これがいちばん大事です。

IPAは、会社や組織のパソコンでセキュリティの警告が出たときの注意喚起で、「対処を自分一人で判断せず、会社・組織の対応ルールに従い、落ち着いてシステム管理者（または上司）に連絡してください」と書いています。近くに同僚や上司がいないテレワーク中に、自分で解決しようとして被害につながったケースもあると紹介しています。

会社のパソコンには取引先やお客さまの情報が入っていることが多く、感染していれば会社として調べる必要が出てきます。「怒られるかも」と黙っているのがいちばん危険です。

報告のしかた（例文）

迷ったら、次の形をそのまま使ってください。

「お疲れさまです。○○です。本日○時ごろ、会社のメールに届いた不審なメール（差出人：△△、件名：□□）を開いてしまいました。リンクは押していません（または：リンクを押して、ID・パスワードを入力してしまいました／添付ファイルを開いてしまいました）。パソコンは今、ネットから切り離しています。この後どうすればよいか指示をください。」

ポイントはいつ・どのメールを・どこまで操作したかの3つです。メールは削除せず残し、指示があるまでそのパソコンでほかの作業をしないでください。

社内に担当者がいない小さな会社の場合は、IPAの「企業組織向けサイバーセキュリティ相談窓口」（メールのみ、cs-support@ipa.go.jp）に相談できます。この窓口は、事故が起きたときの最初の対応について助言はしますが、調査や解析はしていません。実際の調査を頼める会社は、被害にあったときの相談先のページで探せます。

07IDやパスワード、カード番号を入力してしまったとき

段階3（入力してしまった）に当てはまる人は、ここをすぐに進めてください。警察庁とフィッシング対策協議会の案内をまとめると、やることは次のとおりです。

1. パスワードを変える：入力したIDとパスワードを使っているすべてのサービスで、すぐに変えます（警察庁）。変えるときは、メールのリンクからではなく、公式アプリか、ブックマークや検索から開いた公式サイトで行います。
2. ログインの履歴を見る：サービスにログインの履歴が見られる画面があれば確かめ、心当たりのないログインがあればサポートに問い合わせます。ログインできなくなっていたら、パスワードのリセットとサポートへの連絡をします（フィッシング対策協議会）。
3. カード番号を入れたならカード会社へ：カード会社に連絡して利用を止め、必要に応じて再発行してもらいます。
4. ネットバンキングの情報を入れたなら銀行へ：警察庁は、不正送金は金融機関に相談するよう案内し、全国銀行協会の相談・連絡先の一覧を紹介しています。
5. スマホ決済・キャリア決済も確かめる：身に覚えのない支払いがあれば、サポートに連絡して決済を止め、返金や補償を申請します。
6. 警察か消費生活センターに相談する：被害が出ている、または出そうなときは、後の節の窓口に相談します。

同じパスワードを使い回しているサービスも全部変えるのがポイントです。乗っ取りの防ぎ方は乗っ取り・不正ログインの対策にまとめています。カードの不正利用に気づいたあとの細かい手続きは、別の記事で取り上げる予定です。

08困ったときの相談先（電話・メール）

自分では判断がつかないとき、被害が出てしまったときは、次の公的な窓口に相談できます。番号は2026年10月29日に各公式ページで確かめたものです。

IPAの安心相談窓口は個人向けです。メールの返信は3営業日以内が目安で、電話の時間外でも使えるチャットボットもあります。

#9110は、緊急ではない相談のための警察の全国共通番号です。かけた場所を管轄する都道府県警察の相談窓口につながり、携帯電話からも使えます。ダイヤル回線や一部のIP電話からは使えないため、その場合は警察庁が公開している各都道府県警察の番号にかけます。土日祝日と夜間は、当直や音声案内などで対応しています。

188（消費者ホットライン）は、近くの消費生活センターなどの相談窓口を案内してくれる番号です。地元の窓口が開いていない土日祝日は、国民生活センターにつながります（一部地域や年末年始などを除く）。通話料がかかり、一部のIP電話からはつながりません。

詐欺メールや迷惑電話の対策サービスは詐欺メール・迷惑電話の対策で比べられます。

09変なメールはどこに報告すればいい？

被害がなくても、報告しておくとほかの人がだまされるのを防ぐ助けになります。報告先は2つあります。

1つ目はフィッシング対策協議会です。フィッシングと思われるメールを、info@antiphishing.jp に転送して報告できます。転送が難しいときは、件名・差出人名・送信日時・概要を書いて送ります。SMSは転送できないので、画面のスクリーンショットをメールに添付します。協議会は、迷惑メールフォルダに入ったメールはすでに検知済みとして報告は不要としています。また、偽サイトに情報を入力してしまった場合は、報告ではなく相談窓口に問い合わせるよう案内しています。

2つ目は名前を使われた会社やメールサービスです。Appleを名乗る怪しいメールは reportphishing@apple.com に転送できます（SMSはスクリーンショットを添付）。Gmailなら、前の節で書いた「フィッシングを報告」が使えます。偽サイトのURLは、警察庁が紹介している「フィッシング110番」（インターネット・ホットラインセンター）にも報告できます。

10今後のためにやっておくこと

最後に、次に変なメールが届いても被害にあいにくくするための準備です。どれもフィッシング対策協議会の「今すぐできるフィッシング対策」で案内されているものです。

• 二段階認証（多要素認証）を設定する：パスワードのほかに、スマホに届く確認などをもう1つ求める仕組みです。パスワードが盗まれても、それだけではログインされにくくなります。パスキー（パスワードの代わりに端末の指紋や顔認証でログインする仕組み）に対応したサービスなら、それも使います。くわしくは多要素認証の用語解説をご覧ください。
• OSとアプリを自動で更新する：自動アップデートをオンにして、弱点（脆弱性）を残さないようにします。
• 公式サイトはブックマークか公式アプリから開く：メールやSMSのリンクからはログインしない、と決めておくのがいちばん効きます。
• パスワードはサービスごとに変える：ブラウザーやパスワード管理アプリに覚えさせれば、全部を覚える必要はありません。
• 迷惑メールフィルターとブラウザーの安全機能を確かめる：Googleのセーフブラウジングや、MicrosoftのSmartScreenがオンになっているか見ておきます。

怪しいメールの見分け方については、別の記事でくわしく取り上げる予定です。

11よくある質問