日本赤十字社をかたる熊本地震義援金メール、@icloud.com宛てに送信—URLを開かず削除を

日本赤十字社は2026年7月30日、同社をかたって熊本地震の義援金を募る「なりすましメール」が送信されているとして注意を呼びかけました。確認されたメールは、日本赤十字社のロゴや活動写真を使用し、正規の案内であるかのように装っています。現時点では、@icloud.comのメールアドレス宛てに送信されているとの情報が寄せられています。日本赤十字社は当該メールを送信しておらず、同社とは一切関係がないと説明しました。本文のURLやバナーをクリックすると、フィッシングサイトへの誘導や不正アクセスに利用される危険があるため、メールごと削除する必要があります。

日本赤十字社をかたる熊本地震義援金メールの概要サマリー

• 日本赤十字社は2026年7月30日、熊本地震の義援金募集を装うなりすましメールについて注意喚起しました
• 複数の受信者から日本赤十字社へ情報が寄せられ、メールの送信が判明しました
• 偽メールには日本赤十字社のロゴや活動写真が使用されています
• 正規の日本赤十字社から送られたメールであるかのように装っています
• 現時点では@icloud.comのメールアドレス宛てへの送信が確認されています
• 日本赤十字社は当該メールを送信しておらず、同社とは一切関係がありません
• メール本文のURLやバナーはクリックせず、メールごと削除するよう案内されています
• 誘導先では個人情報、クレジットカード情報、認証情報などを窃取される可能性があります
• メールの差出人アドレス、件名、誘導先URL、送信件数は公表されていません
• 金銭や個人情報を要求された場合は、警察署や消費生活センターへの相談が案内されています
• 令和8年熊本地震は2026年7月28日16時27分に発生し、最大震度7を観測しました
• 日本赤十字社が公式の令和8年熊本地震災害義援金を受け付ける期間は、2026年7月31日から10月30日までです
• 今回の公式義援金ではクレジットカードによる受付を行っていません
• 寄付を行う場合は、メール内のリンクではなく日本赤十字社や熊本県の公式サイトから振込先を確認する必要があります

項目	内容
注意喚起日	2026年7月30日
注意喚起元	日本赤十字社
詐称された内容	熊本地震の義援金募集
攻撃の種別	日本赤十字社をかたるなりすましメール、フィッシングのおそれ
偽装に使われた素材	日本赤十字社のロゴ、活動写真
確認された送信先	@icloud.comのメールアドレス
差出人アドレス	未公表
メール件名	未公表
誘導先URL	未公表
送信件数	未公表
日本赤十字社との関係	一切関係なし
想定される被害	金銭詐取、個人情報・カード情報・認証情報の窃取、不正アクセス
推奨対応	URLやバナーをクリックせず、メールごと削除
相談先	最寄りの警察署、消費生活センター
地震発生日時	2026年7月28日16時27分
地震の規模	マグニチュード7.1、最大震度7
日本赤十字社の公式受付期間	2026年7月31日～10月30日
公式義援金のクレジットカード受付	なし
不正送金・情報窃取の被害件数	日本赤十字社の公表では未確認

日本赤十字社のロゴと活動写真を悪用

日本赤十字社によると、今回確認されたメールは、同社のロゴや活動写真を本文へ掲載し、正規に送信された義援金募集の案内であるかのように装っています。

災害発生後には、ニュースや公的機関の発信を通じて、被災状況、支援活動、義援金募集に関する画像が広く公開されます。

攻撃者は、公式サイトや報道資料からロゴや写真を転用し、短時間で正規の案内に似せたメールを作ることができます。

メールに公式ロゴが表示されていることや、実際の被災地の写真が使われていることは、送信者が日本赤十字社である証拠にはなりません。

画像の下に設置されたバナーや寄付ボタンが、正規サイトとは異なるフィッシングサイトへつながっている可能性があります。

日本赤十字社は、本文のURLやバナーをクリックせず、メールごと削除するよう案内しています。

令和8年熊本地震の発生直後に送信

気象庁によると、令和8年熊本地震は2026年7月28日16時27分に発生しました。

震源は熊本県熊本地方、深さは16キロメートル、マグニチュードは7.1です。熊本県宇城市と氷川町で最大震度7を観測しました。

日本赤十字社がなりすましメールを公表したのは7月30日です。地震発生から約2日後には、義援金募集を装うメールが確認されたことになります。

熊本県は7月29日から公式の義援金口座を開設しました。日本赤十字社による令和8年熊本地震災害義援金の受付は、注意喚起の翌日となる7月31日に始まりました。

偽メールが報告された時点では、日本赤十字社の公式受付期間はまだ始まっていませんでした。

災害発生直後は、被災状況や支援方法に関する情報が次々と更新されます。受信者が正規情報を十分に確認できない時間帯を狙い、攻撃者が公式発表より先に偽の募金案内を送ることがあります。

「被災者を早く支援したい」という善意や、「今すぐ行動しなければならない」という焦りが、リンクを開かせる心理的な誘因になります。

@icloud.com宛てへの送信を確認

日本赤十字社が把握しているなりすましメールは、@icloud.comのメールアドレス宛てに送信されているとのことです。

ただし、送信先がiCloudメールだけに限定されると断定することはできません。

攻撃者が同じ文面をGmail、Outlook、携帯電話会社のメール、企業メールなどへ送信する可能性があります。

@icloud.com以外の利用者も、熊本地震、日本赤十字社、義援金、寄付などを件名や本文に含む不審なメールに注意してください。

日本赤十字社は、メールの差出人アドレス、件名、送信件数、誘導先ドメインを公表していません。

メールセキュリティ担当者は、特定の差出人やURLだけを遮断すれば対応が完了すると考えず、本文の文脈、リンク先、送信傾向を組み合わせて検知する必要があります。

日本赤十字社は義援金を直接メールで依頼しない

日本赤十字社は過去の注意喚起で、国内災害義援金や海外救援金を開設した際に、義援金への協力を直接的なメールで依頼することはないと説明しています。

今回の熊本地震義援金メールについても、日本赤十字社は送信しておらず、同社とは一切関係がないと明記しました。

受信したメールが次のような内容であれば、警戒が必要です。

• 義援金への協力をメールから直接求める
• 本日中など短い期限を設定して送金を急がせる
• メール内のボタンから寄付ページへ誘導する
• クレジットカード番号やセキュリティコードを入力させる
• 個人名義や見慣れない団体名義の口座へ振り込ませる
• 暗号資産、電子マネー、ギフトカードでの送金を求める
• 受領証の発行を理由に必要以上の個人情報を求める
• ログインID、パスワード、SMS認証コードを入力させる
• 添付ファイルを開かせる
• 支援者限定の特典や返礼品を強調する

寄付先を確認する場合は、メール本文のリンクを使わず、ブラウザーのブックマークや検索結果から日本赤十字社の公式サイトへアクセスしてください。

検索広告や偽の検索結果が表示される可能性もあるため、ドメインがjrc.or.jpまたは日本赤十字社が案内する正規の寄付サイトであることを確認します。

公式の熊本地震義援金はクレジットカード非対応

日本赤十字社は、令和8年熊本地震災害義援金を2026年7月31日から10月30日まで受け付けています。

同社の公式ページでは、今回の義援金についてクレジットカードによる受付を行わないと案内しています。

義援金の受付期間が限定され、カード決済では手続きから日本赤十字社への入金まで時間がかかることが理由です。

公式の協力方法は、ゆうちょ銀行・郵便局または銀行振込です。振込先は日本赤十字社の公式サイトで確認できます。

したがって、令和8年熊本地震の日本赤十字社義援金を名乗り、クレジットカード情報の入力を求めるページは、公式の受付方法と一致しません。

ただし、日本赤十字社は別の活動資金や寄付でクレジットカードを利用できる場合があります。

「日本赤十字社は一切カードを使わない」と判断するのではなく、寄付の名称、受付期間、支払方法を公式ページで個別に確認する必要があります。

熊本県も2026年7月29日から義援金口座を開設しています。銀行名、支店名、口座番号、口座名義は、熊本県の公式サイトに掲載された情報と照合してください。

SNSの画像、転送メッセージ、メール本文だけに記載された口座情報へ送金しないことが重要です。

フィッシングサイトで想定される被害

日本赤十字社は、メール本文のリンクを開くと、フィッシングサイトへの誘導や不正アクセスに利用される危険があるとしています。

過去の注意喚起では、日本赤十字社の公式サイトを模した偽サイトに誘導し、個人情報やクレジットカード番号を入力させる手口が確認されています。

偽の寄付ページでは、次の情報を狙われる可能性があります。

• 氏名
• 住所
• 電話番号
• メールアドレス
• クレジットカード番号
• 有効期限
• セキュリティコード
• カード会員サイトのID・パスワード
• SMSで届くワンタイムパスワード
• 銀行口座情報
• インターネットバンキングの認証情報
• Apple Accountなどのアカウント情報

入力したカード情報は不正決済に使われる可能性があります。

メールアドレスとパスワードを入力した場合は、同じ認証情報を利用する別サービスへ不正ログインを試みるパスワードリスト攻撃につながるおそれがあります。

Apple Accountの認証情報が窃取されれば、iCloudメール、写真、連絡先、バックアップ、端末の位置情報などへ不正アクセスされる危険があります。

メールを受信した場合の対応

日本赤十字社をかたる熊本地震義援金メールを受信しても、本文のURLやバナーをクリックしないでください。

添付ファイルがある場合も開かず、メールごと削除します。

受信しただけで情報を入力しておらず、添付ファイルも開いていない場合は、被害が発生する可能性は限定的です。

勤務先のメールアドレスで受信した場合は、削除前に社内の情報システム部門やセキュリティ窓口へ報告してください。メールヘッダー、送信元、誘導先URLなどを組織内の遮断へ活用できます。

個人のメールで受信した場合も、メールサービスの迷惑メール・フィッシング報告機能を利用すると、同じ送信者からのメールを遮断しやすくなります。

セキュリティ対策Labのフィッシング詐欺の手口と対策では、送信元やURLの確認、アカウント保護の方法を整理しています。

URLを開いた場合の対応

リンクを開いただけで個人情報を入力していない場合は、ページを閉じてください。

ページからファイルをダウンロードしていないか、ブラウザーへ通知や拡張機能の許可を与えていないかも確認します。

ブラウザーが警告を表示した場合や、不審なファイルがダウンロードされた場合は、ファイルを開かず削除し、セキュリティ製品で端末を検査してください。

業務端末の場合は、自己判断で履歴やファイルを削除する前に、情報システム部門へ連絡します。調査に必要な証拠が失われる可能性があるためです。

フィッシングサイトでパスワードを入力した場合は、正規サイトから直ちに変更し、同じパスワードを使用している全サービスでも変更します。

多要素認証を有効にし、ログイン履歴、登録端末、転送設定、復旧用メールアドレス、アプリパスワードを確認してください。

iCloudメールの利用者は、Apple Accountに登録された信頼できる端末や電話番号、不審なサインイン通知を確認します。

関連

• フィッシング詐欺とは？手口や対策を解説 – セキュリティ対策Lab
• フィッシングメールを開いてしまった場合の対処方法 – セキュリティ対策Lab

カード情報や送金情報を入力した場合の対応

クレジットカード情報を入力した場合は、カード会社の紛失・盗難・不正利用窓口へ直ちに連絡してください。

カードの利用停止、再発行、不正利用監視について案内を受けます。

ワンタイムパスワードまで入力した場合は、不正決済がすでに成立している可能性があります。利用明細を確認し、身に覚えのない決済を申告してください。

インターネットバンキングの情報を入力した場合は、金融機関へ連絡して口座の利用停止や認証情報の変更を行います。

すでに指定口座へ振り込んだ場合は、振込先金融機関と自分が利用した金融機関へ速やかに相談してください。

警察相談専用電話や最寄りの警察署、消費生活センターへも相談します。

日本赤十字社は、身元が不明な人物や団体が同社との関係を示唆し、金銭や個人情報を要求した場合、警察署や消費生活センターへ相談するよう案内しています。

災害時の善意を狙う攻撃への備え

災害発生直後は、被災地の名称、公的機関、支援団体、義援金などを利用した詐欺が発生しやすくなります。

攻撃者は、公式の義援金口座や支援制度が整うまでの情報空白を利用し、偽の寄付ページや口座を先に提示します。

SNSでは善意による拡散が、偽情報の到達範囲を広げることがあります。

家族や知人から転送された情報であっても、元の投稿者、口座名義、公式発表を確認してください。

被災地の写真や救助活動の動画が本物でも、その投稿に記載された寄付先が正規とは限りません。

企業が従業員向けに募金やマッチング寄付を行う場合は、寄付先を人事・総務部門が指定し、メールや社内チャットに公式サイトの正規URLを掲載します。

従業員が個別に集金する方法は避け、会計処理、受領証、送金先確認を組織として行うことが重要です。

情報システム部門への示唆

今回の注意喚起では、差出人アドレス、件名、誘導先URLが公開されていません。

情報システム部門は単一のIOCに依存せず、災害名、組織名、寄付を組み合わせた不審メールを検知する必要があります。

実務上は次の対応を検討してください。

• 「熊本地震」「日本赤十字社」「義援金」「寄付」などを含む外部メールを追加監視する
• メール本文の表示文字列と実際のリンク先ドメインが異なる場合に警告する
• jrc.or.jp以外のドメインから日本赤十字社を名乗るメールを隔離候補とする
• 画像化された寄付ボタンやQRコードをサンドボックスで解析する
• 新規取得ドメイン、短縮URL、IPアドレス直指定のURLを高リスクとして扱う
• クレジットカード入力ページへ誘導する熊本地震義援金メールを遮断する
• @icloud.com以外の宛先にも同じキャンペーンが届く前提で監視する
• メールヘッダー、URL、添付ファイルを簡単に報告できるボタンを提供する
• 災害発生時に注意喚起を配信する緊急テンプレートを準備する
• 総務・CSR部門が利用する公式寄付先を社内ポータルへ掲載する
• 役職員による独自の募金案内や口座共有を禁止する
• メールゲートウェイ、DNSフィルター、プロキシで誘導先を遮断する
• フィッシングサイトへアクセスした端末の認証情報とセッションを失効する
• 金融情報を入力した場合のカード会社・金融機関への連絡手順を整備する

日本赤十字社のロゴを使用していても、送信ドメインが公式とは限りません。

一方、送信元表示だけを偽装し、見かけ上は公式アドレスに見える手口もあります。SPF、DKIM、DMARCの認証結果を確認し、表示名や差出人欄だけで判定しないことが重要です。

DMARCを導入していても、攻撃者が日本赤十字社とは異なるドメインから、表示名だけを「日本赤十字社」にしたメールまでは完全に防げません。

表示名詐称、本文中のブランド使用、偽サイトへの誘導を含めた多層的な検知が必要です。

災害直後は情報が頻繁に更新されます。遮断ルールを作成する際は、正規の自治体、日本赤十字社、取引先から届く業務メールを誤検知しないよう、監視、警告、隔離の段階を分けて運用してください。

出典

• 日本赤十字社をかたった「熊本地震義援金募集メール」について – 日本赤十字社
• 令和8年熊本地震災害義援金 – 日本赤十字社
• 日本赤十字社を騙った偽メール等による「なりすましサイト」への誘導について – 日本赤十字社
• 令和8年熊本地震ポータルサイト – 気象庁
• 令和8年熊本地震に係る義援金の受付について – 熊本県