「イオンカードの利用を一時停止しました」

「カードのご利用確認をお願いします」

「ご請求額が確定しました」

「本人確認が必要です」

このようなイオンカードを名乗るメールやSMSが突然届き、

「これって本物？」
「リンクをクリックしてしまった」
「カード番号を入力してしまった」

と不安になっている人もいるでしょう。

イオンカード、イオンフィナンシャルサービス、イオン銀行などを装い、カード番号などの情報を盗み取ろうとする不審なメール・SMSは実際に多数報告されています。

さらにイオンカードでは過去に不正利用被害が問題となり、同社は調査の結果、多くの不正利用の発端がフィッシング詐欺やリアルタイムフィッシングだったと説明しています。

本記事では、

イオンカードを装う迷惑メール・SMSの特徴
本物と偽物を見分ける方法
「カード利用のお知らせ」は本物なのか
リンクをクリックしてしまった場合
カード情報を入力してしまった場合
イオンスクエアメンバーの情報を入力してしまった場合
SMS認証コードを入力してしまった場合
身に覚えのない請求がある場合

について解説します。

注意
本サイト「モバイル不正対策ラボ」はイオンカード・イオン銀行等の公式サイトではありません。カード停止・再発行・不正利用については、イオンカード公式サイト、イオンウォレットなどの正規ルートから確認してください。

マスターカードを装う迷惑メールをクリックしてしまったら？確認すべきポイントと対処法

まず確認｜どこまで操作しましたか？

状況	まず行うこと	緊急度
メール・SMSを受信しただけ	リンクを押さず削除	低
リンクをクリックしただけ	ページを閉じ、不審なDL等を確認	中
カード番号等を入力した	カード停止・再発行を検討	高
ID・パスワードを入力した	正規サイトから変更	高
SMS認証コードまで入力した	不正利用を確認し正規窓口へ相談	非常に高
身に覚えのない請求がある	利用明細を確認し調査を依頼	非常に高

カード情報を第三者に取得された可能性がある場合、イオンカードではカードを停止し、カード番号を変更して再発行する手続きが用意されています。

イオンカードを装うフィッシングメール・SMSは実際に存在する

イオンカード公式サイトでは、

イオンカード
イオンフィナンシャルサービス
イオン銀行

などを装い、カード番号等の情報を盗み取ろうとする不審なメール・SMSが多数報告されているとして注意を呼びかけています。

攻撃者が狙うのはカード番号だけとは限りません。

フィッシングサイトなどを利用して、

カード情報
↓
ログイン情報
↓
本人認証情報

と複数の情報を取得し、不正利用へつなげようとするケースがあります。

イオンカードでは実際に不正利用が問題になった

イオンカードのケースで知っておきたいのが、同社自身が過去の不正利用について詳しい説明を公表していることです。

イオンカードによれば、多くの不正利用が発生した発端について調査した結果、ほとんどが偽メール・SMS・Webサイトなどから情報を盗み取るフィッシング詐欺や、認証番号を盗む「リアルタイムフィッシング」だったとしています。

リアルタイムフィッシングでは、利用者が偽サイトへ入力した認証情報を、攻撃者がその場で正規サービスへ入力することがあります。

つまり、

利用者が偽サイトに情報を入力
↓
攻撃者がリアルタイムで正規サイトへ入力
↓
SMSなどで認証コードが届く
↓
利用者が偽サイトへ認証コードを入力
↓
攻撃者が本人認証を突破

という攻撃が成立する可能性があります。

【重要】「カード利用のお知らせ」メールは現在送信されていない

これは、イオンカードを装ったメールを見分けるうえで非常に重要です。

イオンカードではフィッシング被害拡大を受け、2024年7月から「ご利用通知サービス」のメール通知を終了し、イオンウォレットのプッシュ通知のみへ変更しています。

公式案内では、2024年7月2日午前5時以降に届いた**「カード利用のお知らせ」メールはイオンカードから送信したものではない**と明記されています。

したがって現在、

「イオンカード利用のお知らせ」

「カードを利用しました」

などというメールが届き、リンクから確認するよう促された場合には、特に注意が必要です。

「ご請求額のお知らせ」もアプリ通知へ変更

さらにイオンカードは、フィッシング対策として「ご請求額のお知らせ」についてもメール中心の通知から変更しています。

2025年5月度請求分以降、イオンウォレット利用者については、メールによる「ご請求額のお知らせ」を終了し、アプリのプッシュ通知へ変更しています。

これはかなり重要な変化です。

カード会社側も、

メールを安全にする

だけではなく、

そもそも重要な通知をメールからアプリへ移す

という対策を進めているわけです。

イオンカードの迷惑メールを見分けるポイント

1．「カード利用のお知らせ」メールには特に注意する

前述した通り、イオンカードは現在、カード利用通知をイオンウォレットのプッシュ通知で提供しています。

したがって、メールで「カード利用のお知らせ」が届いた場合は、メール内のリンクを開かず、イオンウォレットを自分で起動して確認しましょう。

2．氏名が記載されているか確認する

イオンカードではフィッシング対策として、2025年から一部の正規メールに利用者の氏名を記載するよう変更しています。

対象メールについては、氏名がないものは詐欺メールとして削除するよう案内しています。

ただしメールの種類などによって氏名が表示されない場合もあるため、これだけで全メールを判断するのではなく、公式情報と照合してください。

3．「今すぐ確認」「カード停止」で焦らない

フィッシングでは、

不正利用を検知しました
カードを停止しました
本人確認が必要です
支払いが完了していません
至急確認してください

など、不安を煽る表現が使われることがあります。

重要なのは、メールが本物かどうかをメールの中で確認しようとしないことです。

イオンウォレットや公式サイトを別に開いて確認してください。

4．URLに「AEON」と書いてあっても信用しない

フィッシングサイトでは、正規サービスに似せたドメイン名が使われることがあります。

URLの文字列を目視することも参考にはなりますが、それだけで完全に判断することは困難です。

最初からメールのリンクを利用せず、公式アプリなどを直接開く方が安全です。

5．認証コードを入力させるページに注意する

リアルタイムフィッシングでは、カード番号やログイン情報を入力させた後に、SMSなどで届いた認証コードまで入力させる場合があります。

「SMSで本物の認証コードが届いたから、このサイトも本物」

とは限りません。

むしろ、その認証コードを攻撃者が必要としている可能性があります。

メールのリンクをクリックしてしまったら？

リンクをクリックしただけで、

カード番号
ID
パスワード
暗証番号
SMS認証コード

などを入力していない場合は、まずページを閉じます。

そのうえで、

ファイルをダウンロードしていないか
不審なアプリをインストールしていないか
ブラウザ通知を許可していないか
不審な権限を与えていないか

などを確認します。

クリックしただけなのか、情報まで渡したのかを切り分けることが重要です。

カード番号を入力してしまった場合

フィッシングサイトに、

カード番号
有効期限
セキュリティコード
暗証番号

などを入力した場合は、不正利用の懸念があります。

イオンカードでは、カード情報が第三者に盗み取られた場合や不正利用の懸念がある場合、カードを停止し、番号を変更して再発行する手続きが用意されています。

「まだ不正利用されていないから大丈夫」と考えず、正規窓口から対応を確認してください。

ID・パスワードを入力してしまった場合

偽サイトへログイン情報を入力してしまった場合は、正規サイトからパスワードを変更してください。

同じパスワードを別サービスでも利用している場合には、そちらも変更を検討します。

盗まれた認証情報は、別サービスへの**パスワードリスト攻撃（Credential Stuffing）**に利用される可能性があるためです。

SMS認証コードまで入力してしまった場合

これは特に緊急度が高いケースです。

リアルタイムフィッシングでは、利用者が入力したカード情報や認証情報を、攻撃者がその場で正規サービスへ入力します。

その結果、利用者のスマートフォンへ本物の認証コードが届く場合があります。

そこで利用者が、

「SMSが本当に届いたから、この画面は本物だ」

と思って偽サイトへ認証コードを入力すると、そのコードが攻撃者へ渡ってしまいます。

SMS認証そのものが偽物なのではなく、本物の認証コードを偽サイトへ入力させるのがポイントです。

2026年にはSIMスワップ詐欺にも注意喚起

さらにイオンカードは2026年3月、SIMスワップ詐欺についても注意喚起しています。

SIMスワップでは、フィッシングなどで取得した個人情報を利用して攻撃者が携帯電話会社へなりすまし、SIMを不正に再発行するなどして電話番号を乗っ取ります。

電話番号を奪われると、SMS認証を悪用した不正ログインや金融サービスの不正利用につながる可能性があります。

これは、

「SMS認証を導入しているから安全」

とは限らないことを示す事例でもあります。

身に覚えのない請求がある場合は？

イオンカードの利用明細に身に覚えのない取引がある場合は、まず利用先や利用日時などを確認してください。

それでも覚えがない場合は、不正利用の調査を依頼できます。

調査の結果、第三者による不正利用と認められた場合には、所定の条件のもと補償制度が適用されます。

補償については、カード利用停止・調査申し込みをした日を含めて61日前までさかのぼる制度があります。ただし適用には条件があります。

なお、不正利用の調査結果が判明するまで3か月〜半年程度かかる可能性があると公式FAQで案内されています。

イオンカードの不正利用対策はアプリ中心へ

今回調べていて非常に興味深いのがここです。

イオンカードは、

メール通知
↓
イオンウォレットのプッシュ通知

へ重要な通知を移しています。

カード利用通知だけでなく、請求額のお知らせについても同様です。

これは単なるUX変更ではありません。

フィッシングメールが本物のメールを精巧に模倣するようになった結果、

「本物のメールを見分けてもらう」より「そもそもメールから重要操作させない」

という方向へ移っていると考えられます。

企業側は「フィッシングを見抜いてください」だけでは不十分

ここからは金融・決済アプリを提供する企業側の視点です。

イオンカードの事例は、この問題を非常に分かりやすく示しています。

ユーザーがフィッシングサイトに、

ID・パスワード
↓
カード情報
↓
SMS認証コード

まで入力してしまえば、単純なID・パスワード認証だけでは防御できません。

さらにSIMスワップまで考えれば、SMSを使った本人確認についても絶対的なものとはいえません。

「認証できた＝本人」とは限らない

そこで重要になるのが、

ユーザー
＋
端末
＋
アプリ
＋
実行環境
＋
取引

を組み合わせて評価する考え方です。

例えば、

フィッシング耐性の高い認証
↓
MFA
↓
Device Binding（端末認証）
↓
アプリ・実行環境の確認
↓
重要操作時のリスク評価
↓
異常取引検知

という多層的な防御が考えられます。

仮に一つの認証情報が突破されても、別の層で不正を検知・阻止する設計です。

まとめ｜イオンカードを名乗るメールはイオンウォレットから確認する

イオンカード、イオンフィナンシャルサービス、イオン銀行などを装ったフィッシングメール・SMSは実際に多数報告されています。

特に覚えておきたいのが、

イオンカードの「カード利用のお知らせ」は現在メールでは送信されていない

という点です。

不審な通知が届いた場合は、メールやSMSのリンクを押すのではなく、

イオンウォレット
暮らしのマネーサイト
イオンカード公式サイト
正規の問い合わせ窓口

など、別の正規ルートから確認してください。

すでに操作してしまった場合は、

リンクをクリックしただけ
カード情報を入力した
ID・パスワードを入力した
SMS認証コードまで入力した
身に覚えのない請求が発生している

のどの段階なのかを確認し、必要な対応を取ることが重要です。

そして企業側にとってイオンカードの事例が示しているのは、ユーザーにフィッシングを見抜いてもらうだけでは限界があるということです。

認証・端末・アプリ・実行環境・取引を組み合わせ、仮に認証情報が盗まれた場合でも不正利用を止められる多層的な対策が求められます。

参考情報

イオンカード「カードの不正利用がご心配な方」
イオンカード「イオンカードのセキュリティ対応について」
イオンカード「不正利用の補償」
イオンカード「ご利用通知サービス」
イオンカード「SIMスワップ詐欺に関する注意喚起」

イオンカードを装う迷惑メール・SMSは本物？不正利用・フィッシングの見分け方と対処法