「au PAYで1万Pontaポイント当選」を装うフィッシングメールに注意　偽キャンペーンと外部URL、添付ファイルを確認

2026年9月4日、セキュリティ対策Labでは、「【au PAY】Pontaポイントプレゼント受取手続きのご案内！」などと題し、10,000Pontaポイントの当選を通知するフィッシングメールを確認しました。

メールはau PAYやKDDIを装い、「キャンペーンに当選した」として本文中の「ポイントを受け取る」リンクをクリックするよう促す内容です。

しかし、確認したメールの送信元は [email protected] で、auがPontaポイント関連の案内に使用すると公表している [email protected] とは一致しません。

また、メール本文のリンク先はauやKDDIの公式ドメインではなく、無関係な外部ドメインへ設定されていました。

さらに、メールに記載された「2026年9月1日～9月5日」「1等10,000ポイント、2等5,000ポイント」などのキャンペーン内容は、KDDIとauフィナンシャルサービスが9月1日に開始した正規の「超チャンス！キャンペーン」の内容とも一致しません。

auは公式サポートで、au PAYのキャンペーン当選を装い、メール本文のURLから偽サイトへ誘導して支払方法や認証情報を入力させる迷惑メール事例を注意喚起しています。

今回確認したメールには不審な添付ファイルも含まれていました。受信画面に「Gmailによってスキャン済み」と表示されていても、安全性が保証されたことを意味するものではありません。リンクへのアクセスだけでなく、添付ファイルも開かないことが重要です。

au PAYを装うフィッシングメールのサマリー

• 【確認済み】件名は「【au PAY】Pontaポイントプレゼント受取手続きのご案内！」を装っていました。
• 【確認済み】本文では「10,000 Pontaポイント当選」として受取手続きを促しています。
• 【確認済み】送信元は [email protected] で、au公式のPontaポイント案内用アドレスとは一致しません。
• 【確認済み】「ポイントを受け取る」のリンク先はau／KDDI公式ドメインではありません。
• 【確認済み】メール記載のキャンペーン期間は「2026年9月1日～9月5日」とされています。
• 【確認済み】メールでは1等10,000ポイント、2等5,000ポイント、3等1,000ポイント、4等100ポイントとしています。
• 【確認済み】KDDIが9月1日に開始した正規キャンペーンは9月1日～9月30日で、内容も異なります。
• 【確認済み】auは、au PAYのキャンペーン当選を装ったフィッシング・迷惑メールについて公式に注意喚起しています。
• 【確認済み】メールには不審な .cfx 形式の添付ファイルが含まれていました。
• 【注意】Gmailの「スキャン済み」表示があっても、添付ファイルの安全性を保証するものではありません。
• 【推奨】メール本文のリンクや添付ファイルは開かず、au PAYアプリや公式サイトからキャンペーン情報を確認してください。
• 【推奨】au ID、パスワード、暗証番号、カード情報などを入力してしまった場合は、直ちに公式の対処手順に従ってください。

項目	内容
確認日	2026年9月4日
なりすまし対象	au PAY／KDDI／Ponta
件名	【au PAY】Pontaポイントプレゼント受取手続きのご案内！
主な誘導文	10,000Pontaポイント当選、ポイント受取手続き
送信元	[email protected]
au公式Ponta案内用アドレス	[email protected]
誘導先	au／KDDIとは無関係な外部ドメイン
添付ファイル	.cfx 形式の不審なファイル
正規キャンペーンとの一致	内容・期間・賞品条件が一致しない
想定される目的	フィッシングサイトへの誘導、認証情報・決済情報の詐取など
実被害	本メールによる被害は確認できていません
推奨対応	URL・添付を開かず削除、公式アプリ・公式サイトで確認

「10,000 Pontaポイント当選」でクリックを促す

確認したメールは、「おめでとうございます！」という大きな見出しから始まり、「当選のお知らせ」「10,000 Pontaポイント」と表示しています。

本文では「お客様はキャンペーンにて当選されました」「下記ボタンからポイントをお受け取りください」などとして、「ポイントを受け取る」というリンクをクリックさせようとしています。

ポイント付与や抽選当選は、利用者の関心を引きやすいテーマです。

auも公式サポートで、au PAYの「キャンペーン当選」や「残高不足」を装い、本文URLへアクセスさせる迷惑メールが確認されていると注意喚起しています。

送信元はau公式アドレスではない

今回のメールで確認できる送信元は [email protected] でした。

ドメインは byqwifi.com で、auやKDDIの公式ドメインではありません。

auは、Pontaポイント関連の案内に使用する正規メールアドレスの一つとして [email protected] を公式FAQで案内しています。

ただし、送信元アドレスは偽装される可能性があるため、「公式アドレスに見えるから安全」と判断することもできません。

今回のメールでは、そもそも表示されている送信元自体がau公式アドレスと一致していません。

リンク先もau／KDDIとは無関係なドメイン

メール内の「ポイントを受け取る」リンクは、auやKDDIの公式サイトではない外部ドメインへ設定されていました。

リンク文字列に「Ponta」「au PAY」など正規サービス名が表示されていても、実際のリンク先が同じとは限りません。

今回確認したURLについて、セキュリティ対策Labでは安全性確保のため実際のアクセスや入力操作は行っていません。

フィッシングメールの調査では、リンク先を実際に開くことよりも、送信元、遷移先ドメイン、公式キャンペーン情報などを照合する方が安全です。

本物の9月キャンペーンとは内容が異なる

今回のメールは「Ponita10000Pontaポイントプレゼント」などと称し、キャンペーン期間を2026年9月1日から9月5日までとしています。

当選内容として、1等10,000ポイント、2等5,000ポイント、3等1,000ポイント、4等100ポイントと記載しています。

一方、KDDIとauフィナンシャルサービスが2026年9月1日に正式発表した「超チャンス！キャンペーン」は、9月1日から9月30日まで開催されます。

正規キャンペーンは、街のau PAY（コード支払い）とネットのau PAY（auかんたん決済）の両方を合計5,000円以上利用した人を対象に、抽選で合計700名へ最大50,000Pontaポイントを還元するものです。

メールに書かれた期間、ポイント数、当選人数、参加条件はいずれも正規キャンペーンと一致しません。

名称も「Ponita」と不自然な表記になっています。

「翌月10日以降に付与」「SMSで通知」ともっともらしく装う

メール本文には、「ポイントは翌月10日以降に反映されます」「付与時にSMSでお知らせいたします」など、一見すると正規キャンペーンの規約のような文章も記載されています。

さらに「Copyright © KDDI CORPORATION All Rights Reserved.」とKDDIの著作権表示を模倣しています。

企業名、サービス名、著作権表示が記載されているだけでは正規メールである証拠にはなりません。

文字列に不自然な不可視文字・分割文字も

今回のメール本文には、「Ponta」「au PAY」「Copyright」などの単語に、不自然な文字分割や不可視文字のようなものが混在しています。

見た目では通常の文字列に近くても、内部的には異なるUnicode文字やゼロ幅文字が挿入されている場合があります。

こうした加工は迷惑メールフィルターなどの検知回避に使われることがありますが、今回のメールで実際にその目的で使われたかまでは確認できません。

Gmailで迷惑メール判定されていなくても安全とは限らない

今回のメールはGmailの受信トレイに入り、「迷惑メールに振り分けられず、Gmailのフィルタに基づいて処理されました」と表示されていました。

しかし、受信トレイに届いたことは正規メールであることを意味しません。

迷惑メールやフィッシングメールの検知は100%ではなく、新しい送信元ドメインや改変された本文、短期間だけ使用されるURLなどによって検知をすり抜けることがあります。

.cfx の添付ファイルも開かない

メールには、ランダムな文字列に見えるファイル名の .cfx 添付ファイルが含まれていました。

この添付ファイルについて、ファイルの内容や目的は確認していません。そのため、「マルウェアが入っている」と断定することはできません。

一方、Pontaポイントの当選通知に、用途が分からない .cfx ファイルを添付する合理的な理由は確認できません。

受信画面には「Gmailによってスキャン済み」と表示されていますが、この表示はファイルが無害であることを保証するものではありません。

フィッシングメールに添付されたファイルについては、開かない、保存しない、別アプリに読み込ませない、といった対応が安全です。

au公式も「キャンペーン当選」を装うメールを注意喚起

auは公式サポートで、KDDI、au、UQ mobileを装った迷惑メール・SMSの具体例を公開しています。

その中で、au PAYに関して「キャンペーン当選」「残高不足」などを知らせるメールを送り、本文のURLへアクセスさせたうえで支払方法などを入力させる事例が報告されているとしています。

また、auは身に覚えのないメールやフィッシングメールに記載されたURLを絶対に開かないよう注意喚起しています。

今回確認した「Pontaポイント当選」メールは、この公式注意喚起と近い誘導パターンです。

メールのURLではなくau PAYアプリから確認

ポイントキャンペーンや利用状況を確認する場合、メール本文のURLからアクセスする必要はありません。

auはフィッシング対策として、ログイン時には公式アプリや、あらかじめ登録した公式サイトのブックマークからアクセスするよう案内しています。

「当選」「期限までに手続き」「ポイント失効」などのメールを受け取った場合も、メール内のリンクを利用せず、公式アプリや公式サイトから確認する方が安全です。

URLを開いてしまった場合

フィッシングメールのURLをクリックしただけで、必ず被害が発生するわけではありません。

ページを開いただけで、au ID、パスワード、暗証番号、クレジットカード情報などを入力していない場合は、ブラウザを閉じ、不審なアプリやファイルをダウンロードしていないか確認します。

不審なファイルをダウンロードした場合は、実行・開封せず削除し、端末のセキュリティスキャンを検討してください。

au IDやパスワードを入力した場合は早急に変更

偽サイトでau IDやパスワードを入力してしまった場合は、公式サイトや公式アプリからパスワードを変更する必要があります。

同じパスワードを他のサービスでも使用している場合、それらも変更するべきです。

また、登録情報、ログイン履歴、au PAY利用履歴、auかんたん決済の利用状況、Pontaポイント利用履歴に身に覚えのない変更や決済がないか確認することも重要です。

カード情報や暗証番号を入力した場合

偽サイトへクレジットカード番号、有効期限、セキュリティコードなどを入力した場合は、カード会社へ速やかに連絡する必要があります。

SMS認証コードやワンタイムパスワードを入力した場合も、アカウントへの不正ログインが成立していないか確認してください。

情報システム部門への示唆

今回のメールは個人利用者を狙うフィッシングに見えますが、会社メールアドレスへ届いている場合は組織側でも注意が必要です。

情報システム部門では、同一件名や送信元のメールが他の従業員にも届いていないか、不審な送信元ドメインや外部URLへのアクセス履歴がないか、添付ファイルが他の受信者にも配信されていないかを確認する必要があります。

URLを開いた利用者がいれば、認証情報入力やファイル実行の有無まで確認し、必要に応じて送信元やURLをメール・Webフィルタリングでブロックします。

ただし、特定URLやドメインをブロックするだけでは十分ではありません。フィッシングサイトは短期間でドメインを変更するため、サービス名やキャンペーン名を使ったフィッシングメールそのものを従業員が見分けられるようにすることも重要です。

今回の事例では、「au PAY」「Ponta」「当選」といった正規ブランド名が使われていても、送信元、リンク先、キャンペーン条件を照合すると複数の不審点を確認できます。

「メールに書いてあるリンクから確認する」のではなく、「公式アプリや公式サイトから確認する」という行動を徹底することが、フィッシング対策の基本となります。

出典

• 最近多い迷惑メール・詐欺メールの事例と特徴を知りたい – au
• フィッシング詐欺にだまされないために – au
• [email protected]のメールはauからのものですか？ – au
• au PAY、街とネット両方の利用で最大50,000ポイントが当たる「超チャンス！キャンペーン」を開催 – au