アメックス「新しい端末からのログイン」は本物？確認方法と対処

「シンガポールから新しい端末でログイン」と届くと、思わず履歴を見たくなりますよね。ただ、この案内は文面だけでは本物とも偽物とも断定できません。確認するなら、案内のボタンを使わず公式アプリなどを開くのが先です。

「バリカタログ」のジュンです。今回はAmerican Expressを名乗るログイン通知について、気になる点と対処を整理しました。2026年10月19日に確認した情報をもとに、まだ触っていない場合と操作した場合を分けて見ていきます。

「新しい端末からのログイン」は本物？

結論からいうと、件名や本文が整っているだけでは判断できません。今回の案内では、実際の送信元アドレスも「ログイン履歴を確認する」のリンク先も分かりません。通知が本物か、不正ログインが起きたかは、どちらも未確認です。

「ご本人の場合、対応は不要です」と書かれているため、強く急がせる案内より安心して見えるかもしれません。でも、この一文は送信者の身元を示すものではありません。私が気になるのは、その後の確認ボタンへ進ませる流れです。

会社名や「送信専用」という署名までそろっていると、本物らしく感じますよね。けれど、これらは文章として書き写せる部分です。見た目の整い方だけを頼りに、ログイン情報を入力するのは避けましょう。

iPhone・Safari・シンガポールとあるけれど

案内には、端末がiPhone、ブラウザがSafari、場所がシンガポールとあります。日時は2026年10月19日10時43分、日本時間という記載です。いずれも通知の主張であって、実際のアクセス記録を確認した結果ではありません。

「シンガポールなんて行っていないけど？」と驚くところですよね。案内にはIPアドレスから推定した場所だという説明もあります。ただ、その説明を含め、表示された地名の正確さは、この案内だけでは確かめられません。

案内にある項目	読み取れる範囲
iPhone／Safari	利用端末・ブラウザとして記載された情報
シンガポール	接続場所だと主張している地名
2026年10月19日10時43分	日本時間のログイン日時として記載
ご本人なら対応不要	本文の案内であり、正規送信の証明ではない
送信元・リンク先	今回の文面からは確認できない

自分の端末や操作時刻と似ていても、本人の操作だと即断はできません。逆に、見覚えがないという理由だけでカード情報の流出が確定するわけでもありません。気になる項目は、正規の窓口へ問い合わせる際の材料にしましょう。

気になる表示と、確認できた過去の事例

もう一つ気になるのが、文章に混じった目に見えにくい文字です。混入した理由は分からず、表示やコピーの影響も否定できません。「変な文字があるから偽物」と、そこだけで決めつけるのは早いところです。

フィッシング対策協議会は2021年9月30日の注意喚起で、アメックスをかたる件名にログイン通知やセキュリティ通知が使われたことを公表しています。こうした通知を装う手口は、過去に実際に報告されているんですね。

ただし、これは過去の事例です。今回と同じ文章、同じ送信者、同じリンク先だと確認したものではありません。2026年10月の被害拡大や流行まで、この資料から読み取ることもできません。似た件名があることと、今回の判定は分けます。

まだ操作していないなら、公式経路へ

何も押していないなら、案内への返信や確認ボタンの操作は止めておきましょう。普段使っている公式アプリ、または自分で保存した公式サイトのブックマークから開きます。メッセージの真偽を調べるために、そのリンクを試す必要はありません。

正規の画面で利用明細や登録情報に心当たりのない変化がないか見ます。ただし、明細に異常がないことだけでは、通知の真偽や不正ログインの有無を確定できません。身に覚えのない通知として、公式サポートへ相談する方法もあります。

履歴の確認場所が見つからなくても、案内のボタンへ戻る必要はありません。正規サービスに「ログイン履歴を確認する」という同名の画面があるかは未確認です。窓口には、身に覚えのないログイン通知が届いたと伝えれば相談できます。

リンクを開いた場合は、どこまで操作した？

開いてしまったら、まず追加の入力やダウンロードを止めてページを閉じます。クリックしたという事実だけで、カード情報が盗まれた、端末が感染したとは断定できません。何が起きたかを、操作の内容から整理するのが先です。

見ただけのつもりでも、自動入力された情報がなかったか、ファイルを保存しなかったか、通知を許可しなかったかを振り返りましょう。送信ボタンを押していなくても、情報を入力した場合は未操作と同じ扱いにしない方が安全です。

仮に移動先で「確認を完了するにはアプリが必要」と求められても、操作を続けないでください。これは対処を考えるための例で、今回のリンク先の挙動は未確認です。どこまで操作したか、思い出せる範囲でメモしておきましょう。

パスワードやカード情報を入れたとき

IDやパスワードを入力した場合は、正規のサービスからすぐにパスワードを変更します。同じ組み合わせを別のサービスでも使っているなら、そちらも変更が必要です。ログインできなくなっている場合は、公式サポートへ相談してください。

カード番号、有効期限、セキュリティコードなどを入れた場合は、カード発行会社へ速やかに連絡します。利用停止や再発行が必要か判断を受けましょう。請求がまだ見えなくても、連絡を先延ばしにする理由にはなりません。

認証コードまで伝えてしまった場合も、その内容を窓口に伝えます。案内に書かれた連絡先ではなく、手元のカード裏面などで確かめた窓口を使ってください。不審なサイトに何を入力したのかが分かると、相談を進めやすくなります。

通知の許可やアプリ導入は別の対処が必要

ブラウザ通知を許可した場合は、そのサイトの通知権限を設定から取り消します。IPAは、通知機能を悪用して偽の警告や不審サイトへ誘導する手口を紹介しています。警告が何度も出ること自体は、感染の証明にはなりません。

通知を止める手順は、実際に操作した端末とブラウザに合わせます。案内にiPhoneと書かれていても、今使っている端末の設定とは別の話です。ChromeやEdgeなど、自分が使ったブラウザのヘルプを参照しましょう。

アプリを導入した、ファイルを実行した、遠隔操作を許した場合は、クリックだけの場合と対応が変わります。遠隔操作が続いているなら通信を切り、別の安全な端末で窓口へ連絡してください。端末の状態はメーカーやIPAなどに相談します。

相談に使う情報を残し、認証設定も見直そう

問い合わせるときは、件名、受信日時、案内に書かれたログイン日時、行った操作を整理しておくと話が伝わります。通知の10時43分は受信時刻とは限りません。原文や画面を保存する場合も、リンクを開き直して撮る必要はありません。

フィッシング対策協議会への情報提供と、カード会社への利用停止の相談は役割が違います。協議会への報告だけでカードは止まりません。情報入力や不審な利用がある場合は、発行会社への連絡を優先し、被害があれば警察にも相談します。

アメックスはマイアカウントの2段階認証を案内しています。正規の画面から設定状況を見直すのは、今後の備えになります。ただし、認証コードを偽サイトへ入力すれば危険は残ります。不安な通知ほど、いつもの入口から確かめたいですね。