HL-META: date=2026-11-06 | brand=JCB | sender_geo=イタリア | site_geo=unknown | spf=pass | dkim=unknown | cloaking=no

「カードが使えなくなるかも」と急に言われたら、誰でもドキッとしますよね。今回は、その不安につけ込むJCBをかたる偽メールです。

結論：このメールは詐欺（フィッシング）です。リンクは押さず、そのまま削除してください。

届いたメールの内容

メールの文面は次のとおりです（宛先は伏せ、リンクは無効化しています）。「MyJCBアカウントがロックされた」「3日以内に対応を」と、不安と期限で操作を急がせます。

〇〇 様

いつも MyJCB をご利用いただき、誠にありがとうございます。

お客様のMyJCBアカウントは、2026年11月06日にセキュリティ上の理由でロックされました。

解除するために、以下のリンクをご利用ください。

◆ロック詳細

日時：2026/11/06 12:55:03

理由：複数回の不正ログイン試行

ロック解除手続き
hxxps://www.jztc[.]shop/seures2/my/iss/members/personalauth/personalAuthInputs

※3日以内にご対応をお願いいたします。

※対応がない場合、アカウントが制限されたままとなります。

本メールは自動送信専用です。ご返信はご遠慮ください。

© 2026 JCB株式会社. All Rights Reserved。

第１１条 （権利帰属）
本アプリ、および本サービスにおいて掲載されたすべての内容（情報、商標、デザイン等）の著作権、…
第１２条 （本アプリの停止・変更等）
…
（以下、第１６条までの利用規約風の文章が続く。省略）

実際のメール画面は次のとおりです。

実際に届いた偽メールの画面（宛先は伏せています）。件名と本文の途中に、不自然な点が見つかります。

送信ルートと偽装の見抜きどころ

表示名	「JCB Webmaster」（画面ではこう読めますが、中身は後述の細工入り）
実際の送信アドレス	noreply@mail26.pjazxjz[.]com（JCBとは無関係のドメイン）
送信サーバーのIP	172.213.28.208（Microsoft Corporation、AS8075のクラウド）
SPF	pass（ただし、攻撃者自身のドメインに対する合格です）
DKIM	署名が2本付いていましたが、検証結果の記録がないため、ここでは判定していません

IPアドレスの調べでは、地図上の位置はイタリア・ミラノと表示されました。ただし、これはクラウド事業者の登録上の場所で、攻撃者本人の居場所ではありません。

① 差出人名に仕込まれた「文字の向きを反転させる細工」

差出人名は、画面では「JCB Webmaster」と読めます。ところが、差出人名のエンコード（送信用の符号化）を展開して文字コードを1つずつ調べたところ、中身は retsambeW BCJ という、逆から書かれた文字列でした。前後には、文字の並びを右から左へ反転させる目に見えない制御文字（U+202E・U+202C）が挟まれています。このため、画面上だけ正しい順番に見えるのです。文字列検索や自動チェックで「JCB」の並びを見つけにくくする狙いと考えられます。

② 辻褄の合わない「偽の経由記録」

メールの経由記録（どのサーバーを通ってきたかのメモ）には、実在する大手事業者や、大手メールサービスを名乗る記録と署名が混ざっていました。しかし、本来の送信元（先ほどのクラウドサーバー）とは辻褄が合いません。送信側があとから仕込んだ、偽の痕跡と考えられます。「iPhoneのメールアプリから送信した」と名乗る表記も付いていましたが、実際にはクラウドのサーバーから送られています。

※メールヘッダー詳細は個人情報保護のため非掲載

詳しく調べると分かった「ほころび」

① 日本語が崩れた件名と、食い違う内容

件名は「【JCBカードご】利用不可のお知らせ[[…など]]」と、言葉が途中で切れ、二重の括弧まで付いています。テンプレートの差し込み部分が、そのまま残ったように見えます。さらに件名は「カードの利用不可」と言いながら、本文は「MyJCBアカウントのロック」という別の話です。ロックされたとされる時刻（12:55）と、メールが送られた時刻（14:07）にも、1時間ほどの開きがあります。

② 本文の後半に、無関係な利用規約を貼り付け

本文の後半には、第11条から第16条までの利用規約風の文章が、不自然な改行のまま長々と貼り付けられています。アカウントのロックとは何の関係もない内容です。迷惑メールの自動チェックに「普通のメール」と思わせるための、かさ増しと考えられます。

③ 不審な添付ファイル

メールには「hKbSxTYI0.hu」という、見慣れない拡張子の添付ファイルが付いていました。メール画面上では、意味のない英数字の羅列として表示されました。拡張子が不審なため、当サイトでは開封・解析していません。みなさんも、決して開かないでください。

④ リンク先は「ロボット確認」→本物そっくりのログイン画面

本文のリンクは、JCBとは無関係の「.shop」ドメインに、本人認証風の長いパスを付けた hxxps://www.jztc[.]shop/seures2/my/iss/members/personalauth/personalAuthInputs/?__eat=（省略）#/index でした。アクセスすると、まず次のような「私はロボットではありません」の画面が表示されます。

リンク先で最初に表示された画面。チェックを入れるまで中身が見えない作りです。

この確認を通ると、次の画面が現れます。JCBの公式ログイン画面そっくりの偽サイトです。ロゴ、青と緑の枠、新規登録の案内まで丁寧に作り込まれています。ロボット確認を挟むのは、セキュリティ調査の自動巡回を避けたり、「ちゃんとした画面」と思わせたりする狙いと考えられます。

偽サイトのキャプチャ。JCBの実際の画面をまねて作られていますが、JCBの公式サイトではありません。

ちなみにこの偽画面の上部には、「JCBをかたるフィッシング詐欺にご注意ください」という注意書きまで、本物からそのままコピーされていました。詐欺サイトが「詐欺に注意」と言っている、少し皮肉な光景です。なお、表示が端末や環境で切り替わる細工（クローキング）は、確認されませんでした。

この画面に入力したIDやパスワードは、そのまま攻撃者に渡ります。JCBの公式案内でも、MyJCBのIDとパスワードの入力後にカード番号を求めるサイトは偽物とされています。

届いたとき・操作してしまったときの対処法

まだ何も押していない方

• リンクは押さず、添付ファイルも開かずに、メールを削除してください。
• アカウントの状態が気になるときは、メールのリンクではなく、MyJCBアプリや、ご自分でブックマークした公式サイトから確認してください。
• 差出人の表示名ではなく、メールアドレスの「@」以降が、JCBの公式ドメインかどうかを見ましょう。

リンクを押した、または入力してしまった方

慌てなくて大丈夫です。次の順に対応してください。

1. MyJCBのIDとパスワードを入力したなら、公式のMyJCBから、すぐにパスワードを変更してください。
2. 同じパスワードを他のサービスにも使っている場合は、そちらも変更しましょう。
3. カード番号や暗証番号を入力してしまった場合は、JCBの紛失盗難受付デスクへ連絡し、カードの停止・再発行について相談してください。
4. 身に覚えのない請求がないか、しばらく利用明細を確認してください。

JCBの公式サイトにも、フィッシング詐欺への注意と対処法や、不審なメールが届いたときの確認ポイントが掲載されています。

まとめ

「ロックされた」「3日以内に」と言われても、まずは落ち着いて、メールのリンクは使わずに公式アプリから確認する。それだけで、被害はほぼ防げます。ご家族や身近な方にも、ぜひ教えてあげてください。