「EZwebメールの再認証」メールは本物？それとも詐欺？──noreply@au.comから届いた不審通知の正体を検証

最近、「EZwebのメールアカウントを再認証してください」という件名のメールが届いたという報告が相次いでいます。
送信元は一見それっぽい noreply@au.com。
本文には「期限内に再認証を行わないとメールが利用できなくなります」といった文面があり、リンクをクリックするよう促される内容です。

このメール、果たして本物のKDDI（au）からの連絡なのでしょうか？
結論から言えば、そのメールは“極めて高い確率で偽装メール（フィッシング詐欺）”です。

au公式の案内と“再認証メール”の関係
「noreply@au.com」は本物のドメインっぽく見えるが…
フィッシング詐欺の典型パターンと一致
本物のメールとの見分け方（チェックポイント）
メールを開いてしまった・リンクをクリックしてしまった場合の対処手順
- ●リンクをクリックしただけで入力していない場合
- ●au ID・パスワード・個人情報を入力してしまった場合
au公式が案内している「不審メール報告窓口」
au公式からのメールはどんな見た目か
まとめ：本物に見えても「リンクを開かない」が最善策

au公式の案内と“再認証メール”の関係

まず前提として、au（KDDI）が運営するEZwebメールやauメールの「認証更新」や「再ログイン」などの重要なお知らせは、
必ずマイauアプリ内や公式サイト上でも同時に通知されます。
もし本当にアカウント更新が必要な場合は、ログイン後のマイページに「メールアカウント更新のお願い」といった案内が表示される仕組みになっています。

あなたのケースでは、マイauにお知らせがないとのことですから、
それだけで公式発信ではないと判断するには十分な材料になります。
KDDI側も、「メールのみで個人情報入力を求めることは行っていない」と公式に注意喚起を出しています。

「noreply@au.com」は本物のドメインっぽく見えるが…

実は、このメールの巧妙な点がここです。
送信元が「@au.com」となっていると、誰でも一瞬「本物かも？」と感じてしまいます。
しかし、実際にはこの部分（送信元アドレス）は簡単に偽装できるのです。

攻撃者は「noreply@au.com」のような正規っぽい文字列を使って送信し、
メールヘッダー（通信経路の裏情報）を解析しない限り、受信者には本物と区別できません。
特にスマホのメールアプリでは送信元表示が簡略化されるため、見た目だけでは判断できないのが現実です。

また、過去の事例では「@au-support.com」「@au-kddi.com」「@ezweb-jp.com」など、
公式に見せかけたアドレスを使う詐欺メールが何度も確認されています。
KDDIのセキュリティチームも、「メール本文中のURLをクリックしないように」と強く警告しています。

フィッシング詐欺の典型パターンと一致

このような「再認証を促す」タイプのメールは、実際には以下の目的で送られています。

・リンク先で「au ID」「パスワード」「生年月日」「電話番号」を入力させて盗み取る
・入力情報を使って本物のauサービスに不正ログインする
・クレジットカード情報を入力させて金銭的被害を発生させる

つまり、“再認証”という言葉で油断させ、正規サイトを模した偽ページに誘導する罠です。
過去には「au WALLET残高が失効します」「料金未納で利用停止になります」など、文面を変えた同系統の詐欺メールが数多く出回っています。

本物のメールとの見分け方（チェックポイント）

マイau公式アプリやサイトに同じ通知があるか？
　→なければ99％偽物。
本文内のURLが「https://～au.com」または「https://～kddi.com」以外ではないか？
　→「au.co」「au-jp.com」「au-login.net」など似たドメインはすべて偽物です。
文体が不自然・漢字や句読点が不揃いになっていないか？
　→機械翻訳やAI生成で作られた偽メールは微妙に違和感のある日本語を使っています。
メールに「有効期限」や「今すぐ認証」など緊迫感のある表現があるか？
　→公式メールは「期限切れで利用停止」という表現は使いません。

メールを開いてしまった・リンクをクリックしてしまった場合の対処手順

もしすでにそのメールを開封したり、本文中のリンクをクリックしてしまった場合でも、落ち着いて行動すれば大丈夫です。
大切なのは、「何を入力したか」で対応が変わるということです。

●リンクをクリックしただけで入力していない場合

→ まだ被害の可能性は低いです。
リンクを開いた時点で不審なページ（auロゴの偽物や、パスワード入力欄のあるサイト）が出ても、何も入力せず閉じていれば情報は送信されていません。
念のため、スマートフォンやパソコンのウイルススキャン（Defenderなど）を実行し、キャッシュや履歴を削除しておきましょう。

(1) スマホの場合：「設定」→「Safari」または「Chrome」→「履歴とサイトデータを消去」
(2) PCの場合：「ブラウザの履歴・キャッシュ削除」→「セキュリティソフトでフルスキャン」

●au ID・パスワード・個人情報を入力してしまった場合

→ 至急パスワード変更と公式サポートへの連絡が必要です。
以下の順で行動してください。

(1) すぐにマイau（https://my.au.com）公式サイトからログイン
　→ 「パスワード変更」を実行します。
　→ 二段階認証（2FA）を設定していない場合は必ず有効化してください。

(2) クレジットカード情報や住所を入力した場合は、カード会社にも連絡。
　→ 「フィッシングサイトで入力してしまった」と伝えることで、カード番号の停止や再発行手続きがスムーズになります。

(3) 不審なSMSやメールを無視・削除。
　同じ攻撃者がその後「確認コードが届きませんでした」など、別のメールを送ってくることがあります。

(4) セキュリティソフトでフルスキャンを実施し、不正アプリやマルウェアの混入がないか確認します。

au公式が案内している「不審メール報告窓口」

KDDIはフィッシングメール報告専用の窓口を設けています。
もし手元にそのメールが残っていれば、削除する前に転送報告しておくと、他の利用者の保護にもつながります。

送信先： phishing@kddi.com
件名：不審メール報告
本文：受信日時・送信元アドレス・本文内容（そのまま転送でOK）

報告後はKDDI側が分析を行い、偽装ドメインの遮断などを進めてくれます。

また、総務省とフィッシング対策協議会も「偽サイトURLの報告フォーム」を用意しています。
https://www.antiphishing.jp/report/

ここにURLを共有することで、ブロックリストへの登録が早まり、同様の被害を防げます。

au公式からのメールはどんな見た目か

本物のau公式メールは、次の特徴があります。

・送信元は「@kddi.com」「@au.com」ですが、メールヘッダーにspf=pass, dkim=passなどの正しい認証情報がついています。
・本文中のリンク先はすべて「https://www.au.com/」または「https://my.au.com/」で始まります。
・本文末尾に「KDDI株式会社　お客様センター」など、正式な署名がついています。
・「今すぐ再認証」「アカウント削除予告」など、緊迫した表現は使いません。

スマートフォンで確認するときは、リンクを長押ししてURLをプレビュー表示すると、偽ドメイン（例：au-verification.jp、au-reconfirm.comなど）が見分けやすくなります。

まとめ：本物に見えても「リンクを開かない」が最善策

今回のように「noreply@au.com」から届く再認証メールは、**ほぼ確実に偽物（フィッシングメール）**です。
KDDIが利用者に直接「再認証」を求めるケースは、実際にはごく限られており、マイauアプリや公式サイト上で必ず同時告知があるため、そこに通知がなければまず詐欺と見て間違いありません。

最後に覚えておくべき3つの鉄則です。