自分のメールアドレスから自分宛てに「セキュリティ緊急アラート：不正アクセス検知」というメールが届く手口は、多くの場合、差出人欄の表示を自分のアドレスに偽装しただけで、メールアカウントが乗っ取られたことを意味しません。ただし「多くの場合」であって「必ず」ではないため、乗っ取りの有無を確かめる手順があります。この記事は2026年10月21日時点の情報で、詐欺被害ナビやIPA（情報処理推進機構）などの公開情報をもとに、文面のパターン、偽装の仕組み、独自ドメインメール（エックスサーバーなど）とGmailでの確認手順、乗っ取られていた場合の対処までを順に解説します。

結論｜多くは差出人の偽装、ただし確かめる手順がある

「自分から自分に届いた」という事実だけでは、乗っ取りかどうかは判断できません。差出人欄は送る側が自由に書き換えられる部分だからです。一方、本当に乗っ取られていれば、送信済みフォルダやログイン履歴、転送設定に痕跡が残ることがあります。順番に見ていけば判断の材料はそろいます。

偽装と乗っ取りは別の話

IPAの安心相談窓口だより（2021年9月）は、自分のアドレスが差出人になった偽の脅迫メールについて、見かけ上の送信元の表示名やアドレスはメールソフトやサービスの設定で任意に登録して送れるものであり、アカウントが乗っ取られたかのような不安を感じさせるが実際はそうではない、と説明しています。つまり「差出人が自分」という見た目は、偽装でも作れます。

逆に、見た目が自分のアドレスだからといって安心もできません。切り分けはメールの文面ではなく、ヘッダーとログイン履歴で行います。

確認の全体像

確認は、ヘッダー、送信済みとアクティビティ、ログイン履歴、転送設定、サーバーのログ、端末の6点を、負担の軽い順に見ていきます。どこかで不審な点が出たら「トラブル対処」の章へ進んでください。

届いている文面のパターン

「自分のアドレスから届く」型の迷惑メールは、2026年に入ってからも詐欺被害ナビなどで繰り返し報告されています。文面は違っても、共通の型があります。

SOCをかたる「不正アクセス検知」型

詐欺被害ナビが2026年10月18日に取り上げた例では、件名が「【重要】[自動配信] セキュリティ緊急アラート：不正アクセス検知（要確認）」で、差出人には受信者自身のアドレスが表示されます。本文はSOC（セキュリティ運用センター）を名乗り、海外IPからの不正アクセスを検知した、アカウントを凍結するので緊急の本人確認が必要、という内容です。差出人が自分である理由は「システムメンテナンスによる自動送信」と説明され、メール内の認証サイトへのリンクに誘導されます。

「ハッキングした」と脅すセクストーション型

沖縄県の注意喚起によると、自分のアドレスから自分宛てに「パソコンやスマホを乗っ取り、閲覧情報を盗んだ。拡散されたくなければ570ドル分のビットコインを払え」と要求する迷惑メールが出回っています。ネットで入力したパスワードを文面に示して不安をあおるものもあります。

電話番号やアカウント確認へ誘導する型

詐欺被害ナビでは、2026年9月にも自分のアドレスから届いたように見える不審メールの記事が複数出ており、050で始まる電話番号への誘導を警戒するものもあります。リンクを開かせる型、電話をかけさせる型、返信させる型のどれでも、目的は本人に行動させて情報やお金を引き出すことです。

なぜ自分のアドレスから届くのか

メールには「差出人」を示す場所が2つあり、見えているのは偽装しやすい側だからです。ここを知っておくと、ヘッダーの読み方も分かります。

Envelope-FromとHeader-Fromの違い

郵便にたとえると、封筒に書かれた差出人（Envelope-From）と、便せんの冒頭に書かれた差出人（Header-From）の2つがあります。メールソフトが「差出人」として表示するのは、多くの場合Header-Fromです。この欄には、送る側が好きなアドレスを書けます。どのサーバーから届いたかは、別途ヘッダーの「Received」という行に記録されます。

自分宛てにする理由と、受信側の認証

自分のアドレスで届く理由について、沖縄県が紹介するIPAの見解は、迷惑メールのフィルターをすり抜けるために送信者がアドレスを偽装している、というものです。受信側がSPF・DKIM・DMARCで送信元を検証し、不合格なら迷惑メールにしたり拒否したりする仕組みは、まさにこの偽装を見抜くために使われます。ただし、検証の結果にどう従うかは受信側の設定次第です。自社ドメインにDMARCを設定していても、すべての偽装メールが止まるわけではありません。

乗っ取られていないか確かめる6つの手順

どれか1つで不審な点が見つかったら、その時点で「トラブル対処」の章に移ってください。

ステップ1｜メールヘッダーで送信元サーバーを確認する

届いたメールを削除する前に、ヘッダーを開きます。Gmailなら、メールを開いて右上の縦三点から「メッセージのソースを表示」を選ぶと、詳細なヘッダーが表示されます。ここで見るのは、「Received」の送信元サーバーと、「Authentication-Results」にある spf・dkim・dmarc の結果です。詐欺被害ナビも、削除前に件名・受信日時・差出人表示・ヘッダーを保存するよう勧めています。

判断の目安です。自社ドメインのメールなのに、Receivedの送信元が自社のサーバーと無関係で、spfやdmarcが fail や none なら、外部から偽装されたメールと考えられます。自社のサーバーから送られ認証がすべて pass の場合は、自分のアカウントや自社サイトの問い合わせフォームを経由した可能性があるため、以降を丁寧に確認します。これは現場での目安です。

ステップ2｜送信済みフォルダとGmailのアクティビティを見る

送信済みフォルダに身に覚えのないメールがないかを見ます。ただし乗っ取った側が削除している場合もあり、記録がなくても安全の証明にはなりません（詐欺被害ナビも同様に注意しています）。

Gmailでは、パソコンで画面右下の「詳細」を開くと、同時セッションとアクセスタイプ、直近10件のIPアドレスと大まかな場所が表示されます。Googleのヘルプによると、場所は大まかで、POP/IMAPのメールソフトやスマートフォンの回線では実際と離れて見えることがあります。

ステップ3｜ログイン履歴に知らない接続元がないか見る

Googleアカウントは、セキュリティ通知でデバイスの種類、時刻、場所を確認し、心当たりがなければ「いいえ、アカウントを保護します」を選ぶ流れが公式ヘルプで案内されています。

エックスサーバーを使っている場合は、XServerアカウントにログインして、上部メニュー右端のアカウントメニューから「ログインセキュリティ」を開き、「ログイン履歴」の「さらに読み込み」を押すと、直近30件の日時、IPアドレス、ホスト名が確認できます。これはXServerアカウント（契約管理）のログイン履歴で、メールアカウントそのもののログインとは別です。エックスサーバーの公式マニュアルは、身に覚えのないログインがないか定期的に見ることをすすめています。

ステップ4｜転送設定とフィルタを確認する

メールの乗っ取りでは、パスワードを変えられることより、見えないところに転送設定が仕込まれていることのほうが長く気づかれません。Gmailは、設定の「すべての設定を表示」から「メール転送とPOP/IMAP」タブを開き、知らない転送先がないかを見ます。受信メールを自動で削除したりアーカイブしたりするフィルタがないかも、同じ設定画面から確認します。警告メールや取引先からの返信を隠すために作られている場合があります。

独自ドメインのメールでは、サーバー側の転送設定と、Webメールやメールソフト側の振り分けルールの両方を見ます。前任者や外注先が作った古い設定が残っていることもあるため、身に覚えのない設定は関係者に聞いてから消します。

ステップ5｜サーバーのログと送信制限の設定を確認する

エックスサーバーのサーバーパネルでは、アクセスログとエラーログをドメイン単位で確認できます。メール関連には「SMTP認証セキュリティ設定」もあります。ただし、メールの送信履歴を一覧で見られる画面は、今回の調査では公式マニュアルで確認できませんでした。送った覚えのないバウンスメールが届くなどの異常があれば、サーバー会社のサポートに相談します。

ステップ6｜端末のウイルススキャンとパスワードの確認

沖縄県の資料によると、IPAは不正アプリが入っている可能性を否定できないため、念のためにウイルススキャンをすすめています。メールを見ている端末すべて（パソコン、スマートフォン）でスキャンします。あわせて、そのパスワードを他のサービスと使い回していないかを確認します。使い回しがあれば、パスワード管理ツールで一意のものに変える機会です。Bitwardenとは｜無料で使えるパスワード管理ツールで、使い方を解説しています。

やってはいけない対応

リンク・電話・返信は使わない

IPAは、不審なメールには、添付ファイルを開かない、記載のURLにアクセスしない、記載の電話番号に電話しない、返信しない、の4点を基本としています。「アカウントを凍結する」と書かれていても、本当にそうならサービス側の公式アプリやブックマークからログインした画面に同じ通知が出ます。確認はそちらで行います。

証拠を消す前に、報告先を決めて動く

削除する前にヘッダーと件名を保存しておくと、サーバー会社への相談や社内報告で使えます。会社のアドレスなら、社内の規程に沿って情報システム担当者へ報告します。詐欺被害ナビは、フィッシング対策協議会への情報提供も案内しています。脅しや金銭要求で不安なときは、消費生活センター（188）に相談できます。

自社ドメインを偽装されにくくする設定

偽装そのものは防げませんが、自社ドメインを使った偽装メールを受信側で見抜かれやすくする設定はあります。

SPF・DKIM・DMARCを設定する

SPFは送ってよいサーバーの宣言、DKIMは電子署名、DMARCは不合格時の扱いの指示です。エックスサーバーでは、サーバーパネルの「DKIM設定」で対象ドメインの「OFF」をクリックし、「ON」に切り替えると設定できます。他社のネームサーバーを使っている場合は、サーバーパネルの設定のあとに、DNSレコードの追加が必要です。DMARCを段階的に強める手順はフィッシング対策の基本｜見分け方7つと自社ドメインを守るSPF・DKIM・DMARC設定で詳しく説明しているので、あわせてご覧ください。

二段階認証とパスワードの使い回し対策

エックスサーバーは二段階認証に対応しており、普段と異なる環境からのログインでは登録メールの認証コードを求める機能もあります。Googleアカウントも2段階認証を設定すると、パスワードだけでは入れなくなります。

トラブル対処｜本当に乗っ取られていた場合

認証情報を入力してしまった場合

詐欺被害ナビは、認証情報を入力してしまったら速やかに公式サイトからパスワードを変更し、勤務先ならセキュリティ担当者へ連絡するよう案内しています。同じパスワードを使っている他のサービスも変更します。変更は、メール内のリンクからではなく、公式アプリやブックマークからログインして行います。

乗っ取りの兆候があった場合の流れ

見知らぬ転送設定や送信履歴があったときは、次の順に進めます。

よくある質問

Q. 自分のアドレスから届いたメールは、乗っ取りのサインですか？

A. それだけでは判断できません。差出人の表示は偽装できるため、IPAも見かけの送信元で真偽を判断するのは難しいとしています。ヘッダーとログイン履歴で確認してください。

Q. 返信やクリックをしてしまった場合はどうすればいいですか？

A. 以降のやり取りはやめ、リンク先で何も入力していなければ、端末のウイルススキャンを行います。入力してしまったときは、公式サイトからパスワードを変更します。不安が残るときは消費生活センター（188）に相談できます。

Q. 本文に自分のパスワードが書かれていたら、流出していますか？

A. 過去に別のサービスから流出したパスワードが使われている可能性があります。今も使っているなら変更してください。

Q. 迷惑メールフォルダに入っていたら安全ですか？

A. フォルダの振り分けは安全の保証ではありません。迷惑メールに入っていても受信トレイにあっても、リンクや電話番号を使わない点は変わりません。

Q. 会社のアドレスに届いたら、誰に報告すればいいですか？

A. 社内の規程に従い、情報システム担当者へ共有します。担当者がいなければ、サーバー会社のサポートに相談します。

まとめ

自分のアドレスから届く「不正アクセス検知」メールの多くは、差出人を偽装しただけで、乗っ取りではありません。ただし、ヘッダー、送信済みとアクティビティ、ログイン履歴、転送設定、サーバーの状況、端末の6点を見れば、乗っ取りかどうかの判断材料はそろいます。リンクや電話番号は使わず、確認は公式アプリやブックマークから行ってください。手口は変わっていくため、最新の情報は各サービスの公式サイトやIPAの注意喚起でご確認ください。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。