そのSMSは詐欺?カード会社名義のメッセージを、リンクを踏まずに確かめる方法【34サイトの検証済み一覧つき】

カード会社の名前で「ご利用代金明細書の発行手数料を改定します」「重要なお知らせ」といったSMSやメールが届いたとき、多くの人がまず疑います。その警戒は正しいものです。

問題は、疑ったあとに確かめる方法です。リンクを開いて確認するのは、それ自体がリスクになります。この記事では、リンクを踏まずに本物かどうかを判定する手順を、実際の検証例つきで解説します。

実例:338人が検索した「オリコの385円SMS」を検証してみる

2026年夏、次の文面のSMS・メールが広く配信されました。

【株式会社オリエントコーポレーション】ご利用代金明細書に関する重要なお知らせ 2026年10月以降、ご利用代金明細書の発行手数料を385円に改定させていただきます。web明細登録で無料でご利用できます。 詳細はこちら⇒https://orico.jp/mj2

不安の中心は「orico.jp という見慣れないドメイン」です。オリコの公式サイトは www.orico.co.jp なので、.co.jp ではなく .jp が出てくると偽装を疑うのは自然な反応です。

結論を先に書くと、これは本物でした。どうやってそう判定したのかを、そのまま手順として使えるように示します。

方法1:ドメインの「登録者」を見る

ドメインには必ず登録者がいて、.jp ドメインはJPRS(日本レジストリサービス)のWHOISで誰でも登録者を確認できます。whois.jprs.jp にドメイン名を入れるだけです。

実際に確認した結果が次のとおりです(確認日2026-08-12)。

orico.jp の登録者はオリエントコーポレーション本体で、しかも登録は1986年。急ごしらえの偽ドメインではありません。これで第一段階は通過します。

この方法の限界

.com や .net のドメインは、登録者情報が非公開(Redacted)になっていることが多いのが実情です。実際に三井住友カードの smbc-card.com やアメリカン・エキスプレスの americanexpress.com を調べても、登録者欄は非公開でした。この方法が使えるのは主に .jp / .co.jp のドメインだと考えてください。

方法2:TLS証明書の「組織名」を見る

もう一つ、より強力な方法があります。サイトのTLS証明書に書かれた組織名です。

多くの大手カード会社はEV証明書(発行時に法人の実在確認を行う証明書)を使っており、証明書の中に正式な法人名と会社法人等番号が入っています。ブラウザのアドレスバーの鍵アイコンから「証明書」を開けば、誰でも見られます。

CardLensが実際に確認した結果です(確認日2026-08-12)。

確認した34サイトのうち31サイトで、証明書に正式な法人名が入っていました。番号の桁数が違うのは、12桁ハイフン区切りが会社法人等番号、13桁が法人番号という違いによるものです。どちらも公開情報なので、国税庁の法人番号公表サイトなどで社名と突き合わせられます。

なお、この表のうち2026年8月12日に確認した16サイトは、8月22日に再取得しても組織名・法人識別番号ともに1件も変わっていませんでした。証明書は数か月〜1年で更新されますが、組織名と法人番号は法人が変わらないかぎり変わりません。この確認方法が、一度きりではなく継続して使えるということです。

ここが決定的です。orico.jp と www.orico.co.jp は、証明書の組織名だけでなく会社法人等番号まで完全に一致しています(どちらも 0100-01-070784)。別の組織が用意した偽ドメインでは、この一致は起こりません。

同じことが他社でも確認できました。今回、同一法人が複数のドメインを持っているケースを3組見つけ、いずれも番号が一致しました。

短いドメインや、見慣れないほうのドメインが届いたときは、その会社の「よく知られているほうのドメイン」と番号を突き合わせてください。一致すれば同じ法人です。orico.jp と jcb.jp は、どちらも「見慣れないから怪しい」と感じやすい形をしていますが、番号で見れば本物だと分かります。

あわせて https://orico.jp/mj2 にアクセスしたときの挙動も確認したところ、HTTPステータス301(恒久的な転送)で公式サイトの該当ページへ転送されていました。orico.jp はオリコ自身が保有する短縮URL用のドメインである、というのが検証結果です。

落とし穴:証明書の組織名は、カードに書いてある名前と一致するとは限らない

ここが今回いちばん重要な発見です。証明書に入っている組織名が、あなたのカードに印字されているブランド名と違うことがあります。そして違っていても、偽物ではありません。

今回確認できた例です(確認日2026-08-22)。

理由はいくつもあります。システムの運用をグループのIT会社が担っている(ビューカード)、持株会社や親会社の名義でサイトを持っている(ペルソナ、エポス)、会社が統合されて発行会社の法人格が変わった(セディナは三井住友カードに統合)。どれも正常な状態です。

だから「組織名が思っていた社名と違う」ことは、偽物の証拠にはなりません。ここを短絡すると、本物のサイトを偽物と判断してしまいます。組織名が出てきたら、その社名が実在する法人かを国税庁の法人番号公表サイトで確かめ、カード会社のグループ企業として説明がつくかまで見てください。

見た目が怪しいのに本物、というドメインは実在します

「短い」「数字だけ」「.co.jp じゃない」——これらはそれ自体では何の判定材料にもなりません。今回確認した本物のドメインには、次のようなものがありました。

逆に言えば、見た目の印象で本物と決めるのも同じくらい危険です。偽サイトは本物そっくりのドメインを取ります。見た目ではなく、組織名と法人番号という確かめられるもので判断してください。

証明書だけでは判定できない場合がある

上の表の最後の3行が重要です。www.saisoncard.co.jp・www.pocketcard.co.jp・www.kintetsu.co.jp の証明書には、組織名が入っていません。組織名を含まない種類の証明書(DV証明書)を使っているためで、これはセキュリティ上の問題ではなく、単にこの確認方法が使えないというだけの話です。今回確認した34サイトのうち3サイトが、これに当たりました。

つまり「証明書に組織名がない=偽物」ではありません。組織名が入っていれば強い根拠になりますが、入っていないことは何の証拠にもなりません。ここを取り違えると、本物のサイトを偽物と判断してしまいます。

結局、いちばん確実なのは「リンクを踏まないこと」

方法1も方法2も、確認する対象は「SMSに書かれたURLを開いた先」です。つまりリンクを開くことが前提になります。であれば、最初からこうするのが確実です。

1. SMSやメールのリンクは開かない
2. スマホのホーム画面から公式アプリを開く。またはブラウザのブックマークや検索から自分で公式サイトへ行く
3. 公式サイトの「お知らせ」に同じ内容が載っているかを確認する

同じ内容があれば本物、なければ偽物です。この手順なら、文面がどれだけ精巧でも判断を間違えません。今回のオリコの件も、公式サイトの「重要なお知らせ」に同じ内容が掲載されていました。

本物のお知らせであっても、わざわざSMSのリンク経由で開く必要はまったくありません。やることが同じなら、経路を自分で選ぶだけでリスクだけを消せます。

「これは偽物」と断定していいサイン

判定に迷ったとき、次のどれかに当てはまれば偽物と考えて差し支えありません。

• カード番号・セキュリティコード・暗証番号の入力を求める。手数料改定や規約変更の「お知らせ」で、これらの入力が必要になることはありません
• 「24時間以内に手続きしないと利用を停止します」など、極端に急かす
• ログイン情報の「再登録」「再設定」を求める。本物のお知らせは案内で完結し、利用者に情報を出させません
• 日本語が不自然、会社名の表記が公式と微妙に違う(株式会社の位置、半角全角の混在など)
• 送信元の電話番号やメールアドレスが、過去に届いた本物の通知と違う

逆に言えば、今回のオリコのSMSのように「内容を知らせるだけで、何も入力させない」ものは、フィッシングの動機が薄いとも言えます。ただしこれは判定の決め手にはなりません。手口は変わります。

手数料改定の告知は、これから増えます

なぜこういうSMSが増えているのか。2026年はカード会社の手数料改定が集中しているからです。CardLensが公式一次情報で確認・記録した2026年の改悪39件のうち、11件が手数料の値上げ・新設でした。明細書の発行手数料、ETCカードの発行手数料、支払い遅延時の回収事務手数料、リボ・分割の手数料率——いずれも会員全員に告知が必要な変更です。

告知が増えれば、それに便乗した偽SMSも増えます。「手数料が変わる」という文面は、これからしばらく本物も偽物も届き続けると考えておくのが安全です。集計の全体像は【独自集計】2026年のクレジットカード改悪を数えて分かったことに、個別の改定内容はカード改悪・変更ウォッチにまとめています。

すでに不正利用が起きてしまった場合の対処はクレジットカードを不正利用されたらに、時系列で整理しています。

まとめ

• .jp ドメインなら、JPRSのWHOISで登録者を確認できる。オリコの orico.jp の登録者はオリエントコーポレーション本体だった
• TLS証明書に組織名が入っていれば、法人名と会社法人等番号まで確認できる。同一法人が持つ2つのドメインは番号が一致する。オリコ、JCB、三菱UFJニコスの3組で確認した
• 組織名がカードのブランド名と違っていても、偽物とは限らない。ビューカードはJR東日本情報システム、エポスは丸井、セディナは三井住友カードの名義だった
• 短いドメインも数字だけのドメインも、それ自体は判定材料にならない。orico.jp jcb.jp 0101.co.jp はいずれも本物
• ただし.com は登録者非公開が多く、証明書に組織名がない会社もある(34サイト中3サイト)。確認できないことは偽物の証拠にはならない
• 最終的にいちばん確実なのは、リンクを踏まず公式アプリ・ブックマークから確認すること
• 情報の入力を求めるものは偽物と考えてよい

このドメイン・証明書の検証結果は、出典として本ページ(https://cardlens.jp/articles/card-sms-honmono-kakunin/ )へのリンクを添えていただければ、記事・資料・SNSなどで自由にご利用いただけます。登録者情報や証明書は更新されるため、引用時は確認日(2026-08-22)もあわせて記載してください。なお、2026年8月12日に確認した16サイトは8月22日の再取得でも組織名・法人番号ともに変化がありませんでした。

よくある質問