国税庁そっくりの還付金メール、リンク先は謎.com――見た目が完璧な偽メールは「仕組み」で見抜く

「これ、迷惑メール？」

読書機能の使い方

聴く：本文を読み上げます。速読：語句を順に表示し、速さを調整できます。語学練習：別の言語版と対訳を読み比べます。保存：このブラウザーにブックマークし、プレイヤーの保存済み一覧から開けます。

この記事をシェア

LINEで共有（新しいタブで開きます）Xで共有（新しいタブで開きます）

「これ、迷惑メール？」

届いたメールは、かなりちゃんとしていた。

国税庁。 e-Tax。「重要」。還付金。受取期限。注意事項。個人情報保護方針。国税庁の住所。法人番号。著作権表記。

下までスクロールしても、ちゃんとしている。

むしろ、ちゃんとしすぎている。

そこへ「還付予定額は8万円台です」と具体的な数字まで出されると、人間の脳は一瞬こうなる。

「え、マジ？」

ところがリンクを見ると、国税庁のスーツを着た何者かの名札に、こう書いてあった。

shoofimafi[.]com

スーツは国税庁。

名札は謎.com。

終了である。

怖いのは、こういう偽メールがもう「誤字だらけの怪文書」とは限らないことだ。国税庁も、2026年3月18日更新の注意喚起で、本物のe-Taxのキャラクターやロゴまで使った、見た目の巧妙な偽メールを確認していると伝えている ^[1]。

だから今の偽メール対策は、

見た目が怪しいか

ではなく、

仕組みが本物か

を見るゲームになっている。

1. 見た目がちゃんとしている。それが罠である

今回の偽メールは、信頼感の「盛り付け」がうまい。

国税庁・e-Taxの名称
具体的な還付予定額
手続の期限
マイナンバーカード認証の説明
利用できる時間の案内
個人情報保護方針
官公庁らしい住所・法人番号・著作権表記
青いボタン型のリンク

一つ一つを見ると、それっぽい。

しかも本物の文章をコピーして組み替えれば、文章力はほとんどいらない。

国税庁は、送信元の表示や表示名をe-Taxに偽装し、本物のロゴまで使う不審メールを確認している ^[1]。フィッシング対策協議会も、本物のサイトをコピーして作った偽サイトは、見た目だけではとても見分けにくいとしている ^[2]。

つまり、

「文章が自然だから本物」「ロゴがあるから本物」「住所まで書いてあるから本物」

は、もう当てにならない。

詐欺師もコピペできる。

フッターまで几帳面な詐欺師がいても、何もおかしくない。

2. リンクの住所を分けて読むと、すぐ化けの皮が剥がれる

不審メールに入っていたリンクは、安全のため押せない形に直すと次のとおり。

hxxps://shoofimafi[.]com/HNG2lycwWJ.chiba-city[.]jp

ぱっと見ると、最後に「chiba-city.jp」がある。

なんとなく自治体っぽい。

だが、リンクの住所は後ろから雰囲気で読むものではない。

フィッシング対策協議会の2026年度版ガイドラインは、ふつうのリンクでは「https://」のすぐ右から最初の「/」までが、つながる先のサイト名にあたると説明している ^[2]。

このリンクを分けると、

通信のしかた：hxxps
実際につながる先：shoofimafi[.]com
その後ろ：/HNG2lycwWJ.chiba-city[.]jp

となる。

つまり「chiba-city.jp」はつながる先ではない。

ただの道順の文字列である。

ビルの正面看板に「国税庁」と書いてあるのではない。

謎のビルの廊下に「国税庁っぽい文字」が落書きされているだけだ。

本物のe-Taxの公式サイトは e-tax.nta.go.jp で運営されている。今回のリンクはそこではない。

ここで判定はほぼ終わる。

3. さらに強い違和感――「Android版e-Taxアプリを入れてください」

メールは、Android版のe-Taxアプリをダウンロードして確認するよう求めていた。

ところが国税庁の公式ページによると、Android向けの「e-Taxアプリ」は2021年1月4日でサービスを終了している ^[3]。

2026年に、

「Android版e-Taxアプリが入っていない人はこちらからダウンロード」

と案内してくる時点で、時間旅行が始まっている。

税務署から還付金が来ると思ったら、先に2021年からアプリが帰ってきた。

制度やサービスの今の状態を知っていると、こういう「古い本物の情報の使い回し」に気づける。

4. 日付も壊れている――9月なのに、その年1年分の所得税が確定している

さらにメールは、2026年9月の時点で、

「2026年1月1日から12月31日までの所得税の確定申告の集計結果に基づき、還付予定額が確定した」

という趣旨のことを述べていた。

だが国税庁の説明では、所得税は1月1日から12月31日までの1年間の所得を計算し、原則として翌年に確定申告をする仕組みである ^[4]。

9月の時点では、12月31日はまだ来ていない。

これから入る3か月分の所得まで集計済み。

これは税務の仕事ではなく予知能力である。

もちろん、年の途中でも、過去の年分の還付や別の手続が行われることはある。

大事なのは、

「このメールが自分で言っている年度・期間・確定した時期が、つじつま合っているか」

を見ること。

詐欺メールは、見た目をコピーできても、制度全体の時間の流れまでは合わせきれないことがある。

5. 本物のe-Taxメールはどう違うのか

国税庁の公式説明では、e-Taxからの「税務署からのお知らせ」などは決まった文面で送られ、送信元の表示は、

e-Tax（国税電子申告・納税システム）[email protected]

となる ^[5]。

ただし、ここで「差出人が合っていれば安全」と思ってはいけない。

国税庁自身が、差出人の表示や表示名を偽装したなりすましメールを確認している ^[1]。

もっと大事なのが、本物のメールは原則として本文にリンクを載せないこと ^[1]^[5]。

還付金の処理状況についての本物のメールも、くわしくはe-Taxのホームページからログインし、「マイページ」→「還付・納税関係」→「還付金処理状況を確認する」で見るよう案内している ^[6]。

ここが強い。

メールのボタンから飛ばない。

自分で公式サイトを開く。

メールとサイトへの道を切り離す。

これだけで、かなりの偽メールが効かなくなる。

6. 「鍵マーク」「https」「立派なフッター」は身分証ではない

昔は、

「鍵マークがあるから安全」「httpsだから安全」

という説明を見かけることがあった。

今はそれだけでは足りない。

フィッシング対策協議会は、偽サイトでも暗号化された通信を使うことが増えていて、鍵マークだけでは安全とは言えないと説明している ^[2]。

鍵マークが保証するのは、主に、

「今つないでいる相手との通信が暗号化されている」

ことであって、

「その相手が国税庁である」

ことではない。

謎.comとの通信が、とても安全に暗号化されている可能性もある。

安全に詐欺師とやり取りしていても、詐欺は詐欺である。

同じように、

国税庁ロゴ
官公庁の住所
法人番号
プライバシーポリシー
Copyright表記

も、それだけでは本人確認にならない。

公開されている情報だから、全部コピーできる。

7. 30秒で見るなら、この順番

見た目で判断するのをやめると、確認の手順はむしろ短くなる。

① メール内のリンクを押さない

還付、未納、本人確認、アカウント停止、期限、当選。

気持ちを動かすメールほど、まずリンクから離れる。

② お金・税金・アカウントのことは、公式サイトを自分で開く

ブックマーク、公式アプリ、ブラウザに自分で入力した公式サイト。

フィッシング対策協議会も、メール中のリンクではなく、正しいURLや本物のアプリから自分でアクセスする方法をすすめている ^[2]。

③ どうしてもリンクを見るなら、サイト名の部分を見る

「https://」の次から最初の「/」まで。

ブランド名が後ろの道順の部分に入っていても意味はない。

本物っぽい単語が後ろに100個並んでいても、つながる先はつながる先である。

④ 制度上の時間が合っているか見る

まだ終わっていない年度の分が確定していないか。

終了したアプリを配っていないか。

存在しない手続を求めていないか。

⑤ 「本当だったら損するかも」に負けない

本当に還付金があるなら、公式サイトを自分で開いても確認できる。

本当に税金の問題があるなら、公式サイトや正式な窓口から確認できる。

メール内のリンクを今すぐ押さなければ消えてしまう正当な行政手続という話に乗らないこと。

8. なぜ今これが怖いのか――数が多い上に、見た目が進化している

フィッシング対策協議会によると、2026年8月だけで寄せられたフィッシングの報告は82,338件。前の月より約24.5%増えた ^[7]。

同じ月は、官公庁をかたるフィッシングも増えた。

さらに、HTML表示ではきれいに見えるメールや、本物のサービスのドメインやクラウド基盤を経由する例も報告されている ^[7]。

つまり、

「なんか雑」「日本語がおかしい」「見るからに詐欺」

だけを想定していると危ない。

これからは、

見た目は合格してくる前提

で考えたほうがいい。

9. もし押してしまったら

リンクを開いただけ

何も入力・ダウンロードしていないなら、まず閉じる。

そのあと、公式サイトを自分で開いて、本当の状況を確認する。

ID・パスワードなどを入力した

そのサービスの公式サイトへ自分でアクセスし、ログインに使う情報を変更する。

同じパスワードを他のサービスでも使っているなら、そちらも変更する。

クレジットカード情報を入力した

カード会社の公式の窓口にすぐ連絡し、利用停止・再発行などの指示に従う。

知らないAndroidアプリを入れた

メールのリンクから入れた知らないアプリは、ただの入力フォームより危険度が上がる。

ネットへの接続を止め、別の安全な端末から大事なアカウントを守る手続を進め、入れてしまった端末は公式のセキュリティ機能や専門の窓口を使って確認する。

「アプリを消したから終わり」と決めつけない。

結論――見た目ではなく、仕組みを見る

今回のメールは、見た目だけならかなり強かった。

国税庁。 e-Tax。還付金。期限。注意事項。プライバシーポリシー。住所。法人番号。

全部並んでいる。

しかし仕組みを見ると、

つながる先が国税庁ではない
終了したAndroidアプリをすすめている
年度の時間の流れが壊れている
本物のe-Taxメールのやり方と違う

と、一気に崩れる。

これからの合言葉は、

「見た目がちゃんとしているから怖い。だから見た目で判定しない」

である。