GMOセキュリティ24のメールは本物？noreply@security.gmo.jp・配信停止リンクの安全な確認方法と止め方

GMOセキュリティ24の無料診断を一度利用したあと、セキュリティ関連の案内メールが継続して届き、「配信停止を押したら見慣れないページが表示された」「GMO IDを作った覚えがないのにログインを求められた」と不安になることがあります。

このような場合、差出人欄にGMOらしいメールアドレスが表示されていることだけで本物と判断したり、逆に見慣れない配信停止画面だから偽物と断定したりするのは適切ではありません。メールのFrom欄は偽装される可能性があり、配信停止ページは本体サービスとは異なる配信システム上で動作することもあるためです。

また、GMOセキュリティ24の無料診断は、少なくとも公式案内上、メールアドレスを入力して利用できるサービスとして提供されています。そのため、診断を利用した事実があっても、必ずしもGMO IDや会員アカウントを作成しているとは限りません。この記事では、GMOセキュリティ24から届いたように見えるメールの確認方法と、安全に配信を止めるための考え方を解説します。

GMOセキュリティ24はGMOインターネットグループの公式サービス

「GMOセキュリティ24」自体は、GMOインターネットグループが2025年2月に開始した公式の総合ネットセキュリティサービスです。パスワード漏洩診断、Webサイトリスク診断、セキュリティ相談AIなどが提供されています。

GMOの公式発表では、パスワード漏洩診断について、専用サイトへアクセスしてメールアドレスを入力し、診断結果をメールで受け取る流れが案内されています。つまり、診断を利用するために一般的な会員サイトのIDを新規作成することが必須とは説明されていません。

サービスそのものが実在することはGMOの公式サイトで確認できます。[参照] GMOインターネットグループ「GMOセキュリティ24」提供開始のお知らせ

一度メール診断をしただけならGMO IDがないことも不自然ではない

GMOにはGMO IDを利用するサービスもあり、GMOポイントなどのメールマガジンはログイン後のメール受信設定から停止する仕組みが案内されています。しかし、これはGMOグループ内のすべてのメールが同じ仕組みで管理されているという意味ではありません。

たとえばGMOセキュリティ24の無料診断を「メールアドレスを入力して診断結果を受け取る」という方法で利用しただけなら、GMO IDのパスワードを設定した記憶がなくても特に矛盾しません。

したがって、インターネット検索で「GMOのメルマガ停止にはGMO IDへログインする」と書かれたページを見つけても、それが現在受信しているGMOセキュリティ24関連メールの停止方法と同一とは限りません。[参照] GMOポイント／GMO IDのメールマガジン設定

noreply@security.gmo.jpと表示されていても差出人だけでは本物と断定できない

メールの差出人欄にnoreply@security.gmo.jpのようなGMO関連に見えるアドレスが表示されている場合、ドメイン名だけを見るともっともらしく感じます。

しかし、電子メールでは表示上のFrom欄を偽装する「なりすまし」が可能です。そのため、表示された送信元アドレスだけを根拠に100％公式メールだと断定することはできません。

GMO自身も、迷惑メールやなりすましメールについて、送信元を判断する際にはFrom欄だけではなく、Receivedなどを含むメールヘッダーの確認が必要だと案内しています。[参照] GMOインターネットグループ「メールに関するポリシー」

配信停止ページが見慣れないだけでは偽物とは限らない

メール本文の「配信停止」を押したところ、普段利用しているGMOのWebサイトとはデザインが違うページへ移動した場合、不安になるのは自然です。

メール配信では、配信管理専用のシステムやURLが使われることがあります。そのため、本体サービスとは異なる見た目のページが表示されたという一点だけでは、フィッシングサイトとは判断できません。

一方で、フィッシングメールも「配信停止」「登録解除」「アカウント確認」などの言葉を使ってリンクを押させることがあります。したがって、見た目ではなく、実際のURL、メール認証情報、公式サイトから確認できる情報を使って判断することが重要です。

最も安全なのはメール内のリンクを使わず公式サイトから確認すること

メールが本物かどうか迷っている段階であれば、そのメール内にある配信停止リンクを何度もクリックして確認する必要はありません。

安全性を重視するなら、ブラウザを新しく開き、検索結果やブックマークなどからGMOインターネットグループの公式サイトへ直接アクセスし、GMOセキュリティ24のサービスページや問い合わせ先を確認します。

GMO自身も詐欺メールへの対策として、疑わしいメールのリンクをクリックせず、企業・機関の公式WebサイトからURLや情報を確認することを案内しています。[参照] GMOセキュリティ24「詐欺メール（なりすましメール）の対策」

リンク先URLを確認するときのポイント

すでに配信停止ページを開いている場合でも、氏名、パスワード、クレジットカード情報などを入力する前に、ブラウザのアドレスバーを確認します。

特に見るべきなのは、ページに表示されたロゴや文字ではなく、URLのホスト名、つまり実際にどのドメインへ接続しているかです。

たとえばhttps://example.gmo.jp/...であればgmo.jp配下ですが、https://gmo.example.com/...なら実際のドメインはexample.comです。「gmo」という文字がURLのどこかに入っているだけでは公式性の証明になりません。

また、短縮URLや長大な追跡URLが利用される正規メールもあるため、URLだけで判断できない場合には、無理にアクセスせず公式窓口へ確認するほうが安全です。

HTTPSの鍵マークだけでも本物とは判断できない

ブラウザに鍵マークが表示され、URLがhttps://から始まっていても、そのサイトがGMO公式であることまで保証されるわけではありません。

HTTPSが保証する主な内容は、アクセスしているドメインとの通信が暗号化されていることです。フィッシングサイトでも独自ドメインの正規TLS証明書を取得してHTTPS化できます。

したがって「鍵マークがあるから安全」ではなく、「どのドメインとHTTPS通信しているのか」まで見る必要があります。

メールヘッダーのSPF・DKIM・DMARCも確認材料になる

Gmailなどのメールサービスでは、「メッセージのソースを表示」「原文を表示」といった機能から、SPF、DKIM、DMARCなどの認証結果を確認できる場合があります。

たとえば正規のGMO管理ドメインと整合するDKIM署名があり、SPFやDMARCも成功していれば、単純なFrom欄だけを見るより強い判断材料になります。

ただし、メールヘッダーの読み方には専門知識が必要です。認証結果がよく分からなければ、リンクを操作するより公式サポートへメール件名や受信日時を伝えて確認するほうが確実です。

「配信停止なのにログインを求められる」場合の考え方

配信停止リンクを押したあとログイン画面へ移動したとしても、それだけで詐欺とは限りません。登録情報を本人が変更する方式のメールサービスでは、正規の配信停止操作にログインを要求することがあります。

しかし、そもそもそのサービスのアカウントを作った記憶がない場合、そこで適当なパスワードを試したり、別サービスで使っているパスワードを入力したりするべきではありません。

特にGMOセキュリティ24の診断をメールアドレス入力だけで利用した場合、「診断メールの配信登録」と「GMO IDの会員登録」は別管理である可能性を考える必要があります。

この場合は、無理にGMO IDを新規作成するより、まずGMOセキュリティ24側の公式窓口から、受信メールの停止方法を問い合わせるほうが安全です。

配信停止リンクでパスワードやカード番号を要求されたら慎重に

通常、単純なメールマガジンの配信解除で、クレジットカード番号や銀行口座情報まで必要になる合理的な理由はほとんどありません。

また、「配信を止めるためにメールのパスワードを入力してください」と外部サイトから求められる場合も要注意です。メールサービスのパスワードを第三者サイトへ入力してはいけません。

ログインが必要と表示された場合には、そのサイトが本当に利用中の正規サービスかを公式サイトから確認してから操作します。

すでにリンクを開いただけなら直ちに被害が出たとは限らない

不審に思いながら配信停止リンクをクリックしてしまった場合でも、ページを開いただけで直ちにアカウントが乗っ取られたと決まるわけではありません。

ブラウザやOSを最新状態にしている一般的な環境では、問題になることが多いのは、その先で偽サイトへパスワードやカード番号を入力したり、不審なファイルやアプリをダウンロード・実行したりした場合です。

何も入力せず、不審なファイルもダウンロードしていなければ、過度に慌てる必要はありません。ページを閉じ、ブラウザとOSを最新にし、必要に応じてセキュリティスキャンを実行します。

パスワードを入力してしまった場合の対処

もし配信停止ページだと思ってメールアカウントやGMO関連サービスのパスワードを入力し、そのページが本物か確認できない場合には、そのパスワードを漏えいした可能性があるものとして扱うのが安全です。

正規サイトへ自分でアクセスしてパスワードを変更し、同じパスワードを他サービスでも使い回している場合には、そちらも別々のパスワードへ変更します。

利用可能なサービスでは多要素認証や2段階認証も有効にし、不審なログイン履歴や登録情報の変更がないか確認します。

メール診断後に案内メールが届く場合はメールアドレス単位で登録されている可能性がある

会員アカウントを必要としないサービスでは、メールアドレスそのものを配信先として保持し、診断後の案内メールなどを送る仕組みが使われる場合があります。

このタイプの配信であれば、GMO IDへログインして設定を変える方法では停止できないことも考えられます。そのため、「GMO IDを持っていない＝このメールは偽物」と単純には判断できません。

逆に、「診断を利用した記憶があるから届くメールはすべて本物」とも限りません。サービス利用者を狙ったなりすましメールが送られる可能性もあるため、メールごとに確認する必要があります。

配信を止めたいときの安全な手順

安全性を優先するなら、次の順序で確認すると分かりやすくなります。

1. メール内のリンクをいったん操作しない
2. 差出人だけで本物と判断しない
3. ブラウザからGMOの公式サイトへ直接アクセスする
4. GMOセキュリティ24の公式サービスが実在することを確認する
5. 公式サイトに配信停止方法が見つからなければ公式窓口へ問い合わせる
6. 問い合わせ時にメール件名、送信日時、表示上の送信元を伝える
7. 必要ならリンク先URLを文字列として伝え、本当にGMOが使用しているURLか確認する

この方法なら、怪しい可能性のあるメールから直接ログイン情報を入力する必要がありません。

公式サポートへ確認するときに伝えるとよい情報

問い合わせる場合、「このメールは本物ですか」だけでは担当者が確認しにくいことがあります。メール件名、受信日時、送信元として表示されているアドレス、診断を利用した時期などを伝えると確認しやすくなります。

また、配信停止リンクについて確認したい場合は、リンクを再度開かず、メールソフトでリンク先をコピーできるのであればURL文字列を伝える方法があります。ただし、URLに個別の配信解除トークンなどが含まれる可能性があるため、Q&AサイトやSNSなど一般公開の場所へそのまま貼り付けることは避けたほうが安全です。

メールそのものを第三者へ転送するときにも、氏名、メールアドレス、診断結果などの個人情報が含まれていないか確認します。

迷惑メールとしてブロックする方法もあるが順序に注意する

公式の配信停止方法が確認できず、単に案内メールを受信したくない場合には、利用しているメールサービスのフィルターやブロック機能で受信トレイから除外する方法もあります。

ただし、同じ送信元ドメインから重要なセキュリティ通知や診断結果を受け取る可能性がある場合、ドメイン全体を無条件にブロックすると必要なメールまで届かなくなることがあります。

そのため、可能であれば先に公式の配信停止手段を確認し、それでも解決しない場合にメール件名などを条件としたフィルターを検討するとよいでしょう。

「公式か怪しいか」を判断するときのチェック表

大切なのは、一つの特徴だけで本物・偽物を決めないことです。特に「送信者名」「企業ロゴ」「HTTPSの鍵マーク」は、それぞれ単独では正規メールであることの証明にはなりません。

不審メール対策では「メールから入らない」が最も分かりやすい

企業から届いたメールについて少しでも疑問がある場合、「メール本文のリンクを使わず、自分で公式サイトへアクセスする」という習慣が非常に有効です。

これはGMOに限りません。銀行、クレジットカード会社、Amazonなどの通販サイト、Apple、Google、Microsoft、宅配業者を名乗るメールでも同じです。

本物の通知であれば、多くの場合、公式サイトや公式アプリへ自分からログインして内容を確認できます。メールから直接認証情報を入力しないだけでも、フィッシング被害のリスクを大きく下げられます。

まとめ：GMOセキュリティ24のメールは送信元表示だけで判断せず公式サイトから配信停止を確認する

GMOセキュリティ24そのものは、GMOインターネットグループが提供している公式のセキュリティサービスです。また、公式案内ではメールアドレスを入力して無料診断を利用できるため、過去に診断したもののGMO IDを作った記憶がない、という状況自体は不自然ではありません。

一方、noreply@security.gmo.jpなどGMOらしい送信元が表示されていることだけから、個々のメールが公式だと断定することもできません。メールのFrom欄は偽装可能であり、リンク先の真偽も別に確認する必要があります。

配信停止ページが見慣れない場合には、無理にログインしたり個人情報を入力したりせず、メールを閉じてGMOの公式サイトへ直接アクセスし、公式の案内や問い合わせ窓口から確認する方法が最も安全です。

特にGMO IDを持っていない場合、GMO ID向けメルマガの停止手順とGMOセキュリティ24のメール停止手順を混同しないことが重要です。公式サイトで停止方法が確認できなければ、メール件名・受信日時・送信元表示などを添えて公式窓口へ問い合わせ、対象メールアドレスの配信停止方法を確認するのが確実です。