Cuenote FCの情報漏洩｜延べ約900万件のメールアドレスと偽メールの見分け方 2026

メール配信サービス「Cuenote FC（キューノート エフシー）」を運営するユミルリンク株式会社は、2026年10月19日、外部からの不正アクセスで個人情報が外部に持ち出されたと発表しました。同社が管理する5つのシステムから、メールアドレスを含む情報が延べ約900万件出力されたと試算しています。Cuenote FCは企業がメールマガジンなどを送るための仕組みなので、心当たりのない人も含めて、まずは今後届く「お詫び」「確認」をうたうメールのリンクを開かず、公式サイトやアプリから直接確かめる習慣に切り替えてください。

この記事では、2026年10月20日時点で同社が公式に発表している内容だけをもとに、何が漏れたのか、何がまだ分かっていないのか、自分が対象かどうかをどう確かめるのか、そして偽メールにどう備えるのかを順番に整理します。在宅で仕事を受けていて、取引先とのやり取りに同じメールアドレスを使っている人に向けた注意点も最後に書きました。

Cuenote FCの不正アクセスで何が起きたか（2026年10月20日時点）

最初に、発表の骨格を押さえておきます。ユミルリンクの発表によると、2026年10月16日（金）未明に、同社の担当者が一部のシステムで不正アクセスが起きていることに気づきました。アクセスの記録を調べたところ、プログラムの脆弱性（ぜいじゃくせい：システムの設計や作りの弱点のこと）を突かれ、同社のサポート・品質管理担当者がサービスに入るための認証情報を取られていたことが分かりました。

さらに、攻撃者は不正なプログラムをシステムに仕込み、データベースからデータを出力していました。取った認証情報を使って、ほかのシステムにも入ろうとした形跡があったと発表されています。

影響があったのは「Cuenote FC 専用ASPプラン」のうち合計5つのシステムです。専用ASPプランとは、利用企業ごとに専用のサーバー環境を用意して提供する契約の形のことです。発表の中心となる数字は次の一文にまとまっています。

出力されたデータの詳細につきましては現在調査中ではありますが、５システムについてメールアドレスを含む情報延べ約900万件が出力されたと試算しております。 出典: cuenote.jp

この一文には、読み落としやすい言葉が3つあります。1つ目は「延べ」です。同じメールアドレスが複数のシステムに登録されていれば、それぞれ1件として数えた合計という意味なので、実際の人数はこれより少ない可能性があります。2つ目は「試算」です。正確な件数が確定したわけではなく、現時点での見積もりです。3つ目は「メールアドレスを含む情報」です。メールアドレス以外にどんな項目が含まれていたかは、2026年10月20日時点で「調査中」とされています。

つまり、現時点で言えるのは「メールアドレスを含む情報が、延べ約900万件持ち出されたと見積もられている」ところまでです。氏名や住所、パスワードが含まれていたかどうかは、発表には書かれていません。書かれていないことを「含まれていない」と読むのも、「含まれている」と読むのも早すぎます。続報を待ちながら、メールアドレスが第三者の手に渡ったという前提で備えるのが、いまの段階で取れる現実的な構えです。

公表の経緯：第一報と同日の更新版

ユミルリンクの発表は、2026年10月20日時点で「第一報」の1本だけです。ただし、同じ10月19日のうちに内容を補った更新版が出ています。順番に整理すると次のとおりです。

日付	出来事	分かったこと
2026年10月16日（金）未明	担当者が不正アクセスに気づく	脆弱性を突かれて認証情報が取られ、不正なプログラムでデータが出力されていた
2026年10月16日以降	サーバーをネットワークから切り離す	脆弱性を直すプログラムの作成と適用、担当者の認証情報の削除
2026年10月19日	第一報を公表（東京証券取引所の適時開示を含む）	5システムで延べ約900万件と試算、捜査機関への届出
2026年10月19日 19時05分	第一報の更新版を公表	補足の説明を追記（追記した箇所は赤字と案内）

同社は東京証券取引所グロース市場に上場しているため、投資家向けの適時開示（上場企業が重要な出来事を速やかに知らせる仕組み）でも同じ内容を出しています。適時開示の資料には、2026年12月期の業績への影響を精査中であるという「今後の見通し」も書かれています。

続報について、同社は「新たな事実が判明しました時点で、改めてご報告申し上げます」と書いています。2026年10月20日時点で、Cuenoteのお知らせ一覧と、ユミルリンクのコーポレートサイトのお知らせ一覧を確認しましたが、第二報はまだ出ていません。どの利用企業のシステムが対象だったのか、どんな項目が出力されたのかは、続報か、利用企業それぞれの発表で明らかになるはずです。

発表を追うときは、ニュースサイトやSNSの要約ではなく、同社のお知らせを直接見ることをすすめます。件数の書き方ひとつでも「最大」「延べ」「試算」が落ちて伝わることがあり、それだけで受け止め方が変わってしまうからです。

続報で確かめたい3つの点

第二報が出たときに、特に確かめておきたいのは次の3つです。

• メールアドレス以外に、氏名や電話番号、パスワードなどの項目が含まれていたか
• 対象となった5システムが、どの利用企業のものだったか
• 配信先の個人に、利用企業や同社から通知が届くのか、届くならどの差出人と件名か

1つ目でパスワードが含まれていたと分かれば、パスワードの変更を急ぐ必要が出てきます。2つ目で利用企業が分かれば、その会社のメールマガジンを受け取っているかどうかで、自分が対象かを絞り込めます。3つ目は、本物の通知と偽の通知を見分けるための手がかりになります。通知の差出人や件名が公式に示されていれば、それと違う形で届いた「お詫び」は偽物と判断しやすくなります。

漏れた可能性のある情報と、まだ分かっていないこと

2026年10月20日時点の発表から、分かっていることと分かっていないことを分けて表にします。

区分	内容
発表で示された項目	メールアドレスを含む情報（延べ約900万件と試算）
対象のシステム	Cuenote FC 専用ASPプランのうち合計5システム
調査中とされている点	出力されたデータの詳細（メールアドレス以外の項目）
発表に記載がない点	クレジットカード情報、パスワード、氏名、住所の有無
発表に記載がない点	どの利用企業のシステムが対象か

会社が「含まれない」と明記した項目は、2026年10月20日時点ではありません。ここが、ほかの多くの漏えいの発表と違うところです。たとえば会員サービスの漏えいでは「クレジットカード情報は含まれません」と書かれることが多いのですが、今回はまだその線引きが示されていません。

メール配信サービスに保存されているのは、一般に、配信先のメールアドレスと、差し込み用の名前や会員区分といった属性の情報です。ただし、どの項目を保存するかは利用企業の使い方によって変わり、今回の5システムに何が保存されていたかは発表では分かりません。ここで推測を重ねるのは避けます。

読み手にとって大事なのは、「メールアドレスが漏れた」という前提で何が起きうるかです。メールアドレスだけでも、それを使った迷惑メールやフィッシングメール（実在の会社を装って偽のサイトに誘い、IDやパスワードを入力させる詐欺のメール）の宛先に使われることがあります。さらに、そのアドレスがどの会社のメールマガジンに登録されていたかが分かると、その会社を名乗る、もっともらしい偽メールが作りやすくなります。

原因として発表されていること

原因について、同社は4つの段階に分けて説明しています。公式の表現に沿って言い換えると次のとおりです。

1. プログラムの脆弱性を突かれた
2. 同社のサポート・品質管理担当者がサービスに入るための認証情報を取られた
3. 不正なプログラムを設置され、データベースからデータを出力された
4. 取られた認証情報を使って、ほかのシステムへの認証も試みられた

どのプログラムのどんな脆弱性だったのか、いつから侵入されていたのかは、発表には書かれていません。外部の専門家の協力を得て詳しい調査を進めるとしています。分かっていない点は「調査中と発表」と受け止めておくのが正確です。

この流れから読み取れるのは、攻撃者が「運営会社の中の人の鍵」を手に入れたという点です。利用企業や配信先の個人が何か操作を誤ったという話ではありません。配信先の個人の側では、漏えいそのものを防ぐ手立てはなく、できるのは漏れた後の悪用に備えることだけです。

また、4番目の「ほかのシステムへの認証を試みた」という点は、1つの鍵を使い回して被害を広げようとする典型的な動きです。同じことは個人のアカウントにも当てはまります。1つのサービスで使っているパスワードを別のサービスでも使っていると、どこか1か所から漏れたときに、ほかのサービスまで入られてしまいます。今回の発表を、自分のパスワードの使い回しを見直すきっかけにするとよいでしょう。

ユミルリンクの対応と問い合わせ窓口

同社が発表している対応は次のとおりです。

• 不正アクセスを確認したサーバーを、直ちにネットワークから切り離した
• 脆弱性を直すプログラムを作成し、適用した
• ほかのシステムから、サポート・品質管理担当者の認証情報を削除した
• 不正なプログラムを見つける体制を整えた
• 捜査機関に届け出た
• 外部の専門家の協力を得て、詳しい調査を進めている

一方で、配信先の個人に向けた個別の連絡、補償、お詫びの品といった内容は、2026年10月20日時点の発表には書かれていません。発表に書かれていないことを、ここで「ある」とも「ない」とも決めつけないでおきます。

問い合わせ窓口は、発表の末尾に次のように書かれています。

＜本件に関するお問い合わせ先＞ ユミルリンク株式会社　不正アクセス専用お問い合わせ窓口
・電話番号 ：03-6820-0088　（受付時間：平日09時00分～20時00分）
・電子メール ：[email protected] 出典: release.tdnet.info

電子メールは24時間受け付けていますが、返信は平日の9時から19時の間に順番に行うと案内されています。電話番号やメールアドレスは、必ず同社の公式ページで確かめてから使ってください。漏えいの直後は、お詫びや問い合わせ窓口を名乗る偽のメールが出回りやすく、そこに書かれた番号やアドレスが本物とは限らないからです。

また、ユミルリンクには、同社のメール配信サービスから届いたメールが迷惑行為やなりすましにあたる場合の申告窓口があり、コーポレートサイトの「迷惑・不正行為申告窓口」から連絡できます。配信停止の手続きをしたのに届き続ける、なりすましやフィッシングの疑いがある、といった場合の申告に使えます。

Cuenote FCとは：なぜ「契約した覚えがない」人にも関係するのか

今回の件で戸惑う人が多いのは、Cuenote FCという名前を初めて聞いたという人がほとんどだからです。Cuenote FCは、企業がメールマガジンやお知らせメールを大量に、確実に届けるために使う「メール配信システム」です。個人が直接申し込むサービスではありません。

たとえば、ある通販サイトの会員になってメールマガジンを受け取っているとします。その通販サイトが配信の仕組みとしてCuenote FCを使っていれば、会員のメールアドレスは、通販サイトからユミルリンクのシステムに預けられています。個人から見ると、契約しているのは通販サイトだけですが、データは配信を請け負う会社のシステムにも保存されています。このように、会社が業務の一部を外の会社に任せることを「委託」と呼びます。

この仕組みのため、Cuenote FCと契約した覚えがなくても、自分のメールアドレスが含まれている可能性はあります。逆に言えば、どの会社のメールマガジンを受け取っているかによって、対象かどうかが分かれます。今回の対象は「専用ASPプランのうち5システム」なので、Cuenote FCを使っている会社すべてが対象というわけではありません。

2026年10月はほかにも、利用企業のデータを預かるクラウドサービスや委託先での不正アクセスが相次いで公表されました。1つの委託先で事故が起きると、その委託先を使っている複数の会社の顧客に影響が広がります。個人の側でできるのは、どの会社にメールアドレスを登録しているかを把握しておき、使わなくなったサービスは退会してデータを削除してもらうことです。登録先が少ないほど、漏えいの影響を受ける入口も減ります。

自分のメールアドレスが含まれるかを確かめる方法

2026年10月20日時点で、配信先の個人が自分で対象かどうかを調べる仕組み（メールアドレスを入れると結果が出る照会ページなど）は、同社から案内されていません。確かめる手段は、次の3つに限られます。

1つ目は、利用企業からの連絡を待つことです。個人のメールアドレスを預けた直接の相手は利用企業なので、対象となった利用企業が、自社の会員や顧客に知らせる形になると考えられます。届いた連絡が本物かどうかは、メールのリンクからではなく、その会社の公式サイトのお知らせ欄を自分で開いて確かめてください。

2つ目は、自分がメールマガジンを受け取っている会社の公式サイトを見ることです。思い当たる会社のお知らせ欄に、今回の件に関する発表が出ていないかを確認します。メールの末尾にある配信元の会社名や、配信停止のリンク先を手がかりにすると、どの会社から届いているかを整理しやすくなります。

3つ目は、ユミルリンクの不正アクセス専用お問い合わせ窓口に問い合わせることです。ただし、同社は利用企業から預かったデータを扱う立場なので、個人からの問い合わせにどこまで答えられるかは分かりません。

また、海外の無料サービス「Have I Been Pwned」のように、過去の漏えいにメールアドレスが含まれていたかを調べられるサイトもあります。ただし、国内の新しい漏えいがすぐに登録されることは少ないので、今回の件を調べる手段としては期待しすぎないほうがよいでしょう。使い方は漏えいを調べる方法で、画面の操作の順に説明しています。

偽メールの見分け方

メールアドレスが漏れたときに一番起こりやすいのは、偽メールの増加です。警察庁は、フィッシングメールの文面の特徴を次のように説明しています。

電子メール等の文面は、「個人情報の漏えい」、「不正アクセス検知」、「取引の停止」等、切迫感を煽り、ログインさせようとするものが多数確認されています。 出典: npa.go.jp

「個人情報の漏えい」という言葉が、そのまま偽メールの件名に使われるという点に注意してください。漏えいの報道が出た直後は、「お詫び」「補償のご案内」「アカウントの確認」をうたうメールが届いても不自然に見えません。だからこそ、偽物が紛れ込みやすいのです。

見分けるときの手がかりを表にまとめます。

確かめる点	偽メールによくある形	取るべき行動
件名と本文の調子	「至急」「本日中に」「停止します」と急がせる	急がされたら一度手を止める
リンクの行き先	本物に似た別のドメインのURL	リンクは開かず、公式サイトを自分で開く
求められる情報	パスワード、カード番号、認証コードの入力	入力しない。正規の会社がメールで尋ねることは少ない
添付ファイル	「明細」「請求書」をうたう圧縮ファイル	開かずに削除する
差出人の表示	実在の会社名やアドレス	表示は簡単に偽れるので、これだけで判断しない

最後の行は特に大切です。警察庁は、メールソフトに表示される送信元の名前やアドレスは変更が容易で、それだけで真偽を判断するのは難しいと説明しています。スマートフォンのメールアプリは表示される項目が少ないので、さらに見分けにくくなります。

結論として、「メールの中のリンクから手続きをしない」という1つの決まりを守るのが最も確実です。本物の会社からの連絡であっても、公式アプリや、ブラウザのお気に入りに登録した公式サイトから入り直せば、同じ手続きができます。

利用者がすること

今回の発表で確実に言えるのは、メールアドレスを含む情報が出力されたというところまでです。そのため、取るべき行動も、メールアドレスが悪用されることへの備えが中心になります。優先する順に並べます。

1. メールのリンクから手続きをしない。公式アプリかお気に入りの公式サイトから入る
2. 同じパスワードを複数のサービスで使っていないかを見直す
3. 主なサービスで二段階認証を有効にする
4. 迷惑メールの振り分け機能を見直す
5. 使っていないサービスを退会する

2番目のパスワードの見直しについて補足します。今回の発表では、パスワードが含まれていたかどうかは書かれていません。ただ、偽メールで偽のログイン画面に誘われ、そこでパスワードを入力してしまうと、そのパスワードを使い回しているサービスすべてが危なくなります。メール、ネット銀行、通販、SNSのように、乗っ取られると被害が大きいサービスから、サービスごとに違うパスワードに変えておくと安心です。覚えきれない場合は、パスワード管理アプリを使う方法を警察庁も紹介しています。

3番目の二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードや指紋などを組み合わせてログインする仕組みのことです。パスワードが知られても、それだけではログインできなくなります。主なメールサービスや通販サイトには設定の画面があるので、まずはメールアカウントから有効にしておくのがおすすめです。メールアカウントが乗っ取られると、ほかのサービスのパスワード再設定のメールまで読まれてしまうからです。

4番目は、迷惑メールが増えたと感じたときの対処です。メールサービスの迷惑メール報告の機能を使うと、似たメールが自動で振り分けられやすくなります。携帯電話会社が提供している迷惑メッセージのブロック機能も、SMSの偽メッセージに効きます。

クレジットカードの明細確認は、今回の発表ではカード情報の漏えいに触れていないため、この件だけを理由に急ぐ必要はありません。ただし、偽メールからカード番号を入力してしまった場合は、すぐにカード会社に連絡してください。

迷惑メールや被害が出たときの相談先

偽メールに反応してしまった、身に覚えのない請求が来た、という場合に頼れる公的な窓口を整理します。

困りごと	相談先
偽のサイトにIDやパスワードを入れてしまった	入力したサービスの公式窓口で変更と停止。被害が出たら最寄りの警察署
カード番号を入れてしまった、不正な請求がある	カード会社の窓口
架空請求や契約のトラブル	消費者ホットライン「188」（身近な消費生活センターにつながる）
ウイルス感染や不正アクセスの技術的な相談	IPAの情報セキュリティ安心相談窓口（電話 03-5978-7509、10時から17時、土日祝日と年末年始を除く）
会社の個人情報の扱いへの苦情	個人情報保護委員会の個人情報保護法相談ダイヤル（03-6457-9849、9時30分から17時30分、土日祝日と年末年始を除く）

消費者ホットラインの「188」は、消費者庁が案内している全国共通の番号で、住んでいる地域の消費生活センターや相談窓口を案内してくれます。IPA（独立行政法人情報処理推進機構）の窓口は、パソコンやスマートフォンがウイルスに感染したかもしれない、といった技術的な相談に向いています。

偽のサイトを見つけたときは、警察庁が案内している「フィッシング110番」に通報できます。被害に遭った場合は、最寄りの警察署か、サイバー事案の通報を受け付けるオンライン窓口に相談してください。

メールマガジンの登録先を整理する手順

今回のように、自分が契約していない委託先で漏えいが起きると、「どこに自分のメールアドレスを預けているのか」が分からないことが不安の元になります。この機会に、登録先を一度整理しておくと、次に似た発表が出たときにすぐ判断できます。進め方は次のとおりです。

1. 受信箱で「配信停止」「メール配信の解除」という言葉を検索し、メールマガジンを送ってくる会社を一覧にする
2. 一覧の中で、この1年に一度も開いていない会社に印を付ける
3. 印を付けた会社は、メールの中のリンクではなく公式サイトにログインし、配信の設定画面から停止する
4. 今後使う予定のないサービスは、退会の手続きをして登録情報を削除してもらう
5. 残したサービスは、ログインに使うメールアドレスとパスワードを管理アプリに記録する

3番目で、メールの中の「配信停止」リンクを使わない理由は、偽メールの配信停止リンクを押すと、そのアドレスが実際に使われていると相手に伝わってしまうことがあるためです。本物のメールマガジンであっても、公式サイトから設定を変えれば同じ結果になります。

5番目の記録は、次に漏えいの発表があったときに役立ちます。どのサービスにどのアドレスで登録しているかが分かっていれば、発表を読んだ時点で「自分は対象になりうるか」をすぐに判断できます。家族と共有しているパソコンやスマートフォンで登録したサービスがある場合は、家族の分もあわせて確認しておくと漏れがありません。

この整理は一度に全部やる必要はありません。週に1回、10分だけ受信箱を見直すくらいの頻度でも、半年もすれば登録先はかなり絞られます。登録先が少なければ、漏えいの影響を受ける入口もそれだけ減ります。

在宅で仕事をする人が気をつけること

在宅で仕事を受けている人の多くは、個人のメールアドレスを仕事の連絡にも使っています。メールマガジンの登録に使っているアドレスと、取引先とのやり取りに使っているアドレスが同じ場合、今回のような漏えいで仕事の連絡まで偽メールに狙われやすくなります。

たとえば、取引先を装って「請求書の振込先が変わりました」と知らせる偽メールは、仕事のメールアドレスが知られているほど届きやすくなります。振込先の変更や、ファイルの共有リンクの送付といった連絡が来たときは、メールに返信するのではなく、電話や普段使っているチャットなど、別の経路で相手に確かめる習慣をつけておくと安心です。

もう1つ考えておきたいのが、自分が取引先の個人情報を預かる立場になっている場合です。個人情報保護委員会は、個人情報を扱う事業者が委員会への報告を義務づけられる場合として、次の4つを挙げています。

• 病歴などの要配慮個人情報（差別や偏見につながりうる、特に慎重に扱う情報）が含まれる漏えい
• 不正に使われるとお金の被害が出るおそれがある漏えい（カード番号や、決済機能のあるサービスのIDとパスワードの組み合わせなど）
• 不正アクセスのように、不正な目的で行われたおそれがある漏えい
• 本人の数が1,000人を超える漏えい

報告は、発覚したら速やかに行うよう求められています。不正な目的で行われたおそれがある場合は、発覚した日から60日以内という期限も示されています。今回のCuenote FCの件で報告する立場にあるのは、ユミルリンクや利用企業です。在宅で働く個人が、自分の受け取ったメールマガジンについて報告する必要はありません。

ただ、もし自分が取引先から預かった顧客名簿や連絡先を、外部のメール配信サービスやクラウドに保存して仕事に使っている場合は話が別です。そのサービスで漏えいが起きたときは、預かった情報が含まれるかを確かめ、取引先にすぐ知らせる必要があるかを考えます。知らせるかどうか、報告が必要かどうかの判断は、契約の内容や情報の種類で変わるので、個人で決めつけず、取引先と相談したうえで、迷ったら個人情報保護委員会の相談ダイヤルで確かめてください。

配信サービスの事故から考える、仕事用アカウントの守り方

今回の件は、自分では防げない場所で起きた漏えいです。だからこそ、漏れた後の被害を小さくする備えが、そのまま仕事の信用を守ることにつながります。

2004年から在宅ワークとフリーランスの仲介を続けてきた運営者として見てきた傾向では、長く仕事が続く人ほど、連絡の経路とアカウントの管理を、仕事の段取りの一部として整えています。仕事用とそれ以外でメールアドレスを分ける、取引先ごとに保存先のフォルダを分けて管理する、パスワードは管理アプリに任せる、といった地味な工夫です。漏えいの公表があったときに慌てずに済むのは、こうした準備ができている人です。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や、生成AIの社内導入にあわせたルール作りを支援する仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。取引先への報告文や社内向けの手順書を、誤解のない文章で書く力を証明したい人には、ビジネス文書の作成能力を認定するビジネス文書検定が、ネットワークの仕組みから学び直したい人には、シスコ社の技術者認定であるCCNA（シスコ技術者認定）が参考になります。

ログインにパスワード以外の要素を組み合わせる仕組みを詳しく知りたい人は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が、偽メールを見抜く力を組織で付けたい人は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが役に立ちます。手数料をかけずに直接取引できる在宅の仕事を探すなら、@SOHO 求人一覧から、仕事用のアカウントを整えたうえで応募するのがおすすめです。

よくある質問

Q. Cuenote FCと契約した覚えがないのに、関係があるのですか？

Cuenote FCは、企業がメールマガジンなどを送るための配信システムで、個人が直接契約するものではありません。メールマガジンを受け取っている会社が配信にCuenote FCを使っていれば、そのメールアドレスはユミルリンクのシステムにも保存されています。ただし、今回の対象は専用ASPプランのうち5システムで、Cuenote FCを使う会社すべてではありません。

Q. パスワードやクレジットカード情報も漏れたのですか？

2026年10月20日時点のユミルリンクの発表では、出力されたのは「メールアドレスを含む情報」で、詳細は調査中とされています。パスワードやカード情報が含まれるかどうかは書かれていません。続報を待ちつつ、偽メールのリンクから入力しないこと、パスワードを使い回さないことを先に徹底しておくと安心です。

Q. 自分が対象かどうかは、どこで確かめられますか？

2026年10月20日時点で、個人がメールアドレスを入力して確かめる照会ページは案内されていません。メールアドレスを預けた利用企業からの連絡か、その会社の公式サイトのお知らせを確認するのが基本です。ユミルリンクの不正アクセス専用お問い合わせ窓口（03-6820-0088、平日9時から20時）もあります。

Q. 「お詫び」をうたうメールが届いたら、どうすればよいですか？

メールの中のリンクや添付ファイルは開かず、その会社の公式サイトや公式アプリを自分で開いて、お知らせ欄に同じ内容があるかを確かめてください。差出人の表示は偽ることができるので、それだけで本物と判断しないことが大切です。パスワードやカード番号の入力を求められたら、手を止めて公式の窓口に確認します。