対象：自分のメールアドレスが差出人になった迷惑メールや脅迫メールを受け取って、「乗っ取られたのでは」と不安になっている方。本記事はIPA（情報処理推進機構）と日本サイバー犯罪対策センター（JC3）の注意喚起にもとづく解説です。独自ドメインのメールを運営していて、自社ドメインを騙るメールを止めたい方は 自社ドメインのなりすましメール対策 をご覧ください。
なぜ自分のアドレスから届くのか
メールの差出人（From）欄は、送る側が入力する項目です。仕組みの上では、実際に送ったサーバーと、差出人欄に書かれたアドレスが一致しているかを、送信の時点では誰も確認していません。受信側のサービスが後から照合する仕組み（SPF・DKIM・DMARC）はありますが、判定をすり抜けて届くことがあります。
攻撃者のサーバー（本当の送り主）
差出人欄に あなたのアドレス と書いて送信
あなたの受信箱
表示：差出人＝あなた、宛先＝あなた → 「自分から自分に送られた」ように見える
あなたのアカウント
一度も使われていない → 送信済みフォルダにも、ログイン履歴にも残らない
IPAは、送信先と送信元が両方とも受信者自身のアドレスになっていた事例を紹介し、その狙いを、迷惑メールのフィルタをすり抜けることと、「アカウントに侵入された」と思い込ませることだと考えられると説明しています。つまり、自分のアドレスから届いたこと自体が、相手が信じ込ませるための手口の一部です。
乗っ取りか詐称かを3か所で見分ける
差出人を詐称されただけ（よくあるケース）
- 送信済みフォルダに、そのメールも、身に覚えのないメールもない
- ログイン履歴に、自分の端末と普段の場所しかない
- 転送設定・自動振り分けに、自分で作った設定しかない
- 知人から「変なメールが来た」という連絡がない
本当に乗っ取られている可能性（すぐ対処）
- 送信済みフォルダに、自分が送っていないメールがある
- ログイン履歴に、心当たりのない国・端末・時間帯のログインがある
- 知らない転送先や、受信メールを自動で削除・移動する設定がある
- 知人から「あなたから怪しいメールが届いた」と言われた
ポイントは、本物の乗っ取りならアカウントの中に痕跡が残ることです。攻撃者がアカウントに入ってメールを送れば、送信済みフォルダとログイン履歴に記録されます。また乗っ取った側は、気づかれないように転送や自動削除のルールをこっそり仕込むことがよくあります。この3か所がきれいなら、差出人欄を書き換えられただけと考えてよいでしょう。サービスごとのログイン履歴と転送設定の開き方は 不正アクセスされていないか確認する方法 にまとめています。
「送信できませんでした」のエラーが大量に届く場合
送った覚えのないメールについて、配送エラーの通知が次々に届くことがあります。これは、誰かがあなたのアドレスを差出人に詐称して大量のメールを送り、届かなかった分の通知があなたに戻ってきている可能性があります。この場合も、送信済みフォルダに該当するメールがなければ、あなたのアカウントから送られたものではありません。
「あなたのアカウントから送信された」という件名のメール
「ご自身のアカウントから送信されたメールについて」「送信済みメールの変更について」のように、あなたのアカウントやあなたが送ったメールに異常があるとほのめかす件名のメールも、同じ種類の詐欺でよく見られる形です。件名の言い回しは次々に変わるので、特定の件名を覚えるより、次の2つの型を知っておくほうが役に立ちます。
- 脅迫型：「アカウントをハッキングした」「送信履歴を見た」と書き、暗号資産などでの支払いを求める。上で説明したとおり、差出人欄の詐称で「侵入された」と思い込ませる
- フィッシング型：「送信に問題があった」「設定が変更された」と書き、リンク先でメールのIDとパスワードを入力させようとする
どちらの場合も、メール内のリンクは開かず、メールサービスにはブックマークや公式アプリからログインして、下の3か所を確認してください。偽のログイン画面の見分け方は フィッシングとは で解説しています。
今日やること
返信しない・リンクを開かない・お金を払わない
脅迫文の内容に反応しないことが第一です。IPAとJC3は、この種のメールは無視するよう呼びかけています。返信すると「このアドレスは読まれている」と相手に伝わり、迷惑メールが増える原因になります。メール内のリンクや添付ファイルも開かないでください。
3か所を確認する（5分）
使っているメールサービスで、次の3か所を見ます。
- 送信済みフォルダ
- ログイン履歴（「最近のアクティビティ」「サインインのアクティビティ」などの名前で、アカウントの設定画面にあります）
- 転送設定と振り分けルール
上の比較表の右側に当てはまるものがあれば、次の手順4へ進んでください。
メールに書かれたパスワードを、今も使っているなら今日変える
脅迫メールには、受信者が実際に使っていたパスワードが書かれていることがあります。IPAは、過去にどこかで漏れたものが使われている可能性があるとし、今も使っている場合は変更するよう求めています。書かれていたパスワードが、ほかのサービスでも使い回しているものなら、そのすべてを変えてください。使い回しをやめる現実的な方法は パスワードマネージャー です。
乗っ取りの痕跡があったら、パスワード変更と「ログアウト」をセットで
手順2で心当たりのない記録が見つかったら、パスワードを変えるだけでなく、次の2つもしてください。
- ほかの端末をすべてログアウトさせる操作（多くのサービスにあります）
- 自分で作っていない転送・振り分け設定の削除 パスワードを変えても、すでに仕込まれた転送設定は残ります。
二要素認証を付ける
パスワードが知られても、別の確認がないとログインできない状態にします。方式によって強さが違うので、選び方は 二要素認証はどれが安全か を参考にしてください。
不安なら相談する
IPAの「情報セキュリティ安心相談窓口」は、この種の相談を受け付けています。実際にお金を払ってしまった、あるいは脅迫が続いて不安な場合は、最寄りの警察署に相談してください。
当サイトの視点：「自分から届いた」ことは、侵入の証拠ではない
この手口がよくできているのは、「自分のアドレスから届いた」という一点だけで、侵入されたと信じさせるところです。ふつうの人にとって、自分のアドレスを使えるのは自分だけだという感覚は自然だからです。
でも実際には、差出人欄は誰でも書けます。本当に侵入されたなら、証拠はメールの文面ではなく、アカウントの中（送信済み・ログイン履歴・設定）に残ります。だから確認すべき場所は、届いたメールではなく、自分のアカウントのほうです。文面がどれだけ具体的でも、アカウントの中がきれいなら、それは脅しでしかありません。
ひとつだけ本物の手がかりがあるとすれば、文面に書かれたパスワードです。それは相手が何かを知っているという証拠ではなく、あなたのパスワードが過去にどこかで漏れていたという知らせです。脅迫には応じず、その知らせだけは受け取って、パスワードを変えてください。
独自ドメインを運営している方へ
会社や個人で独自ドメインのメールを運営している場合、自分のドメインを騙るメールが届くのは、そのドメインに SPF・DKIM・DMARC が十分に設定されていないサインかもしれません。この場合は受信者ではなく、送信側（ドメインの持ち主）として止める手段があります。メールヘッダの読み方と設定の順番は 自社ドメインのなりすましメール対策、3つの仕組みの意味は SPF・DKIM・DMARCとは で解説しています。
出典（公開記録）
- IPA（情報処理推進機構）情報セキュリティ安心相談窓口「性的な映像をばらまくと恐喝し、仮想通貨で金銭を要求する迷惑メールに注意」（2018年10月10日公開・2021年9月8日更新） — ipa.go.jp
- 日本サイバー犯罪対策センター（JC3）「暗号資産（ビットコイン）を要求する脅迫メール」（2021年4月21日） — jc3.or.jp
- IPA 情報セキュリティ安心相談窓口 — ipa.go.jp
次に読む
- 乗っ取りを確かめる：不正アクセスされていないか確認する方法（ログイン履歴・転送設定）
- 漏れていないか確かめる：パスワード漏洩の確認方法（Have I Been Pwned など）
- メールアドレスが漏れた例：バイトルの不正アクセス（メールアドレスのみ・最大388万件）（求職者を狙う偽の連絡の見分け方）
- 偽の警告：「ウイルスに感染しています」の警告が出たら
- ドメイン運営者向け：自社ドメインのなりすましメール対策（SPF/DKIM/DMARC）
- パスワード：パスワードマネージャーは安全？ ／ 二要素認証はどれが安全か
- 用語：フィッシングとは ／ SPF・DKIM・DMARCとは