「Microsoft Rewardsのギフトカードが当たりました」
「ポイント失効まであと○時間」
「今すぐ認証しないとアカウントが停止されます」
こんなメールが届くと、つい不安になりますよね。Microsoft Rewards自体は便利でお得なサービスですが、Rewardsを装った迷惑メール（フィッシング）も混ざってきます。
この記事では、本物か偽物かを見分けるチェックポイントと、うっかりクリックした／入力した時の対処を、初心者向けにやさしくまとめます。
迷ったら「メールのリンクは押さない」が正解
フィッシングは「焦らせてクリックさせる」手口が基本です。Microsoftも、緊急性をあおる文面・報酬で釣る文面には注意するよう案内しています。
いちばん安全な確認方法
- メール内リンクは押さない
- 自分でブラウザを開き、公式サイト／公式アプリからログインして確認する
（同じ内容の通知が出ていなければ、偽物の可能性が高いです）
迷惑メールかどうか一発チェック表
| チェック項目 | 安全寄り | 危険サイン（要注意） |
|---|---|---|
| 文章の雰囲気 | 落ち着いた案内 | 「今すぐ」「期限」「停止」など焦らせる |
| “当選・報酬”の誘導 | 公式サイトで確認 | 「ここをクリックして受け取る」 |
| リンク先 | Microsoft公式ドメイン | 見慣れないURL／短縮URL／似せた綴り |
| 添付ファイル | 基本なし | zip、html、exe などが付いている |
| 差出人 | 公式ドメインの可能性 | 表示名はMicrosoftでも、実アドレスが怪しい |
| 個人情報の要求 | 公式サイトで手続き | メール本文でパスワード・カード情報要求 |
ポイント：表示名は偽装できます。リンク先（URL）と要求内容で判断してください。
Microsoftからの「本物メール」を見分けるヒント
Microsoftアカウントに関する正規通知について、Microsoftは @accountprotection.microsoft.com ドメインから送る場合があると案内しています。ただし、これに似せた偽物もあるので、
- メールのリンクは押さず
- 自分で公式ページを開いて確認
を基本にしてください。
ケース別：クリックしてしまった時の対処
1) リンクを開いただけ（入力はしていない）
この場合は、被害が出ていないことも多いです。念のため以下だけやっておくと安心です。
- ブラウザのタブを閉じる
- その後、Microsoftアカウントの「最近のサインイン」を確認する
- 不安なら、パスワード変更（次項）
2) メール先の画面で「ID/パスワード」を入力してしまった
このケースは最優先で対応します。
やること（上から順に）
- Microsoftアカウントのパスワードを変更（同じパスワードを他でも使っていれば全部変更）
- 2段階認証（セキュリティ強化）を有効化
- 最近のサインイン（Recent activity）を確認し、身に覚えのないアクセスがあれば「自分ではない」を選ぶ
フィッシングは「入力した瞬間に盗まれる」ことがあるため、迷ったら“被害前提”で動くのが安全です。
3) “アプリを入れてください”と言われてインストールした／電話をかけた
それは、技術サポート詐欺（遠隔操作を狙う）に発展するパターンがあります。Microsoftも注意喚起しています。
- 指示されたソフトがあれば アンインストール
- Windowsセキュリティで フルスキャン
- 不安が強い場合は 初期化（回復）も検討
（「PCを触らせてしまった」「支払いをしてしまった」などは特に早めに動く）
「本物か確認したい」時の安全な確認手順
- ブラウザを開く（メールのリンクは押さない）
- Microsoftアカウントにサインイン
- 通知や最近のアクティビティに同じ内容があるか確認
- Rewardsに関する案内が本当にあるなら、公式側の画面でも確認できるはずです
【補足】URLの見方だけ覚えると、一気に騙されにくくなる
迷惑メールで一番多いのは、「Microsoftっぽいページ」に見せかけて別のサイトへ誘導する手口です。ここで役立つのが「URL（リンク先）」の確認です。
1）リンクは“文字”ではなく“行き先”が重要
メール本文に「Microsoft公式」や「Rewards」などと書かれていても、リンク先は自由に偽装できます。リンクの文字を信じず、実際の行き先を確認しましょう。
- PCの場合：リンクにマウスを重ねると、画面左下などにURLが出ます
- スマホの場合：リンクを長押しすると「開く前のURL」が表示されることがあります（アプリによって表示方法が違います）
2）見るべきは“ドメイン（末尾の本体）”
URLは長く見えても、重要なのは「どこのサイトか」を示すドメイン部分です。
たとえば「microsoft.com」が入っていても、以下のような例は危険です。
microsoft.com.●●●.com（本体は最後の.com側）micr0soft.com（oが0になっているなど、似せ字）- 短縮URL（bit.ly等）で隠されている
「それっぽい単語が入っている」より、本体のドメインがMicrosoftのものかで判断してください。
スマホのメールアプリは“偽装が見えにくい”のが落とし穴
スマホだと、差出人名が「Microsoft Rewards」などと表示されても、実際のメールアドレスが隠れていることがあります。できれば「差出人の詳細」を開き、送信元アドレスを確認しましょう。
また、iPhone/Androidの一部アプリでは、リンク先がプレビューされずワンタップで開いてしまうこともあります。安全のために、Rewardsやアカウント関連は「メールから」ではなく、自分でブックマークした公式ページから開くのがおすすめです。
会社PC・学校アカウントの場合は“自己判断で操作しない”
TeamsやMicrosoft 365を会社・学校で使っている場合、セキュリティ設定（条件付きアクセス、MFA、端末制限）が組織側で管理されています。
この場合、焦ってパスワード変更などをすると、逆にログインできなくなることもあります。
- まず「最近のサインイン」確認
- 不審アクセスが疑わしい場合は、情報システム部門に連絡
- 指示されていないアプリのインストールはしない
「個人アカウント」と「組織アカウント」で対応が違う点は、知っておくと安心です。
二段階認証を入れていても“油断できない”パターン
二段階認証（MFA）が有効でも、次のようなケースでは注意が必要です。
- 偽サイトでID/パスワードを入力した直後に、MFAコードも入力してしまった
- 「承認をタップしてください」通知を、よく見ずに承認してしまった（疲れている時に多い）
MFAは強い防御ですが、最後は“承認する指”が鍵です。
身に覚えのない承認要求が来たら、承認せずにサインイン履歴を確認し、必要ならパスワード変更を優先してください。
家族や初心者向け：迷惑メールが来た時の“合言葉”
迷惑メール対策は、難しい知識より「ルール」を決める方が続きます。家族やPCに慣れていない人には、次の合言葉が効果的です。
「当選・期限・停止」は押さない。自分で公式を開いて確認。
これだけで、被害の大半は回避できます。
迷惑メールの通報方法（できる範囲でOK）
迷惑メールは、通報しておくと同種の被害が減りやすくなります。
- Outlookでは、迷惑メール／フィッシングとして報告できます
- 追加で、フィッシング関連の相談・報告窓口としてMicrosoftがフォームを用意しているものもあります
（※転送先として phish@microsoft.com が案内されるケースもありますが、これはコミュニティ回答由来の情報です。会社PCなどルールがある環境では、まず社内ルール優先が安全です）
よくある質問
Q. Microsoft Rewards自体は危険ですか？
Rewardsそのものが危険というより、有名サービスを装った迷惑メールが来やすいという話です。メールリンクを踏まず、公式から確認すれば安全性が上がります。
Q. 「ポイント失効」「アカウント停止」って本当？
不安をあおってクリックさせるのは典型的なフィッシング手口です。まずは公式で確認し、メールのリンクは踏まないのが安全です。
まとめ：守るべきルールは3つだけ
- メールのリンクは押さない
- 公式ページからログインして確認
- 入力してしまったら パスワード変更＋最近のサインイン確認
Rewardsは「正しく使えばお得」ですが、迷惑メールに引っ張られると損をします。
不安なメールが来たら、この記事の手順で落ち着いて確認してください。
おすすめ関連記事
・「いつものPC作業」がお金に変わる！Microsoft Rewardsでギフトカードを無料で手に入れる方法
