配信停止リンクはフィッシング？押していい場合と危険な場合

配信停止リンクは、フィッシングなど悪意のあるものである場合があります。危険なのは、知らない送信者からのメールにあるリンクです。自分で登録したメルマガ（ニュースレター）やショップから本当に届いたメールなら、配信停止リンクは安全で、メールを止めるいちばん早い方法です。迷惑メールや詐欺が疑われるメールでは、リンクを押さないでください。アドレスが使われていると相手に知らせたり、偽のサインインページが開いたりすることがあるため、代わりにそのメールを報告します。

通常は、メールアプリに備わっている「登録解除」ボタンを使うほうが安全です。ただし、どの方法で配信停止しても、アドレスが使われていることは送信者に伝わります。すでにアドレスを知っている会社なら害はありませんが、迷惑メールの送信者にとってはまさに望みどおりです。そもそもメインのアドレスをリストに渡さないようにするには、CatchNoneが使えます。ショップやメルマガごとに専用のアドレスを用意でき、そのメールはリモート画像をブロックした状態で開きます。iPhone、iPad、Macで使えます。以下のメニューとルールは、2026年9月にGoogle、Apple、Microsoft、Yahooのドキュメントで確認したものです。

配信停止リンクは安全？送信者しだいで決まる

最後の列を見てください。リンク、ボタン、メールのどれを使っても、配信停止は送信者へのメッセージです。ワンクリックでの登録解除の基になっている規格RFC 8058は、これが「メッセージの送信先アドレスが有効だったことを、送信側に強く示唆する」と述べています。ブロックと削除は自分の側で完結し、報告は送信者に直接連絡しません。メールを開いて画像を読み込んだ時点で、すでに送信者に伝わっている場合もあります。これがメールのトラッキングピクセルの仕組みです。

メールが本当にその会社から届いたのか自信がないときは、メール内のリンクは使いません。米国のFTC（連邦取引委員会）のフィッシング対策のアドバイスは、「メールに書かれた情報ではなく、本物だとわかっている電話番号やウェブサイトを使って会社に連絡する」ことです。その会社のアプリを開くか、ウェブアドレスを自分で入力してサインインし、アカウント設定で宣伝メールをオフにします。Outlookでは、送信者の写真に「?」が表示されている場合、Outlookが送信者を確認できなかったことを意味します。

配信停止リンクがフィッシングなどに悪用される手口

アドレスが使われていると確認される

Microsoftは、送信者を知っていて信頼できる場合を除き、「メーリングリストの登録解除のためであっても」メッセージには返信しないよう勧めています。迷惑メールに応答すると、アドレスが有効だと確認されてしまうためです。英国のICO（情報コミッショナー事務局）は、迷惑メールに返信すると「メールアドレスが使われていることが伝わる」と述べ、メール内の広告をクリックすると「さらに多くのメールが届く可能性がある」としています。Appleも、迷惑メールの送信者はアカウントが有効かどうかを確かめるために画像の読み込みも利用していると説明しています。

偽のページでパスワードを求められる

「配信停止」のリンクの中には、登録内容を管理するためにサインインを求めるページへ誘導するものがあります。Googleのフィッシングに関するアドバイスははっきりしていて、リンク先でパスワードを求められたら「情報を入力せず、利用したいウェブサイトに直接アクセスする」ようにとしています。米国のCISAは、偽のサイトは「正規のサイトとまったく同じに見えることがあるが、URLのつづりが少し違っていたり、別のドメインが使われていたりする場合がある」と警告しています。

悪意のあるファイルをダウンロードさせる

FTCは、詐欺師が「開いたりクリックしたりすると、デバイスに有害なマルウェアをインストールする」リンクや添付ファイルを送ってくることがあると述べています。ファイル、アプリ、「セキュリティアップデート」をしきりに勧めてくるページが出たら、そこで閉じてください。

本物の配信停止ページと偽物の見分け方

本物の配信停止で、パスワード、支払い、ダウンロードが必要になることはありません。FTCのCAN-SPAM法のガイドによると、米国の送信者は、リストから外すために料金を請求したり、「メールアドレス以外の」個人情報を求めたり、返信メール1通か「インターネット上のウェブサイトの1ページ」へのアクセスを超える手間を求めたりしてはいけません。Yahooの送信者向けガイドラインも、「ユーザーにログインを求めない」配信停止の手続きを推奨しています。次のようなページは閉じてください。

• 配信停止の前にサインインを求める
• メールアドレス以外の情報や、カードの情報を求める
• ファイルのダウンロードやアプリのインストールを勧める

配信停止ボタンが1つだけある確認ページは普通です。Mailchimpでは、フッターのリンクをクリックするとそうしたページが開きます。また、リンクのドメインがブランドと違うこと自体も、それだけでは危険の兆候ではありません。Mailchimpのような配信サービスは、送信者に「当社が提供する配信停止リンク」を使わせているからです。ドメインが問題になるのは、ページがサインインを求めてきたときです。

配信停止リンクが危険な割合はどのくらい？

信頼できる割合は、どこも公表していません。DNSセキュリティ企業のDNSFilterは2025年6月、ウォール・ストリート・ジャーナルに対し、アドレスに「unsubscribe」を含むリンクのクリックのうち、約644回に1回が悪意のある可能性のあるサイトにつながっていたと語りました。測定方法は公表されていないため、自分が被害に遭う確率としてではなく、リスクが現実にあることを示すものとして受け止めてください。

メールアプリの「登録解除」ボタンはリンクより安全？

たいていは安全です。メーリングリストは、リストから外す方法をメールアプリに伝えるList-Unsubscribeという隠れたヘッダーを付けられます。このヘッダーは1998年のRFC 2369にさかのぼり、ウェブアドレス、メールアドレス、またはその両方を含められます。アプリがこのヘッダーを見つけると、アプリ独自の登録解除ボタンを表示できます。

安全な理由は2つあります。

• GmailとYahooは、表示するかどうかを判断します。 Gmailの送信者向けFAQによると、ボタンを表示するのは「Googleの自動審査に合格したメッセージのみ」で、この審査には送信者向けのルールや受信者からの迷惑メール報告が含まれます。Yahooは、正しいワンクリックのヘッダーがあり、「十分な評価とエンゲージメント」がある場合にだけ、差出人アドレスの横に青い「Unsubscribe」（登録解除）を表示します（Yahooの送信者向けFAQ）。すべてのアプリがこのように送信者を審査しているわけではありません。Appleはこうした確認について説明しておらず、アプリによっては、迷惑メールも含め、このヘッダーがあるすべてのメッセージにボタンを表示します。
• ワンクリックならウェブページは開きません。 アプリはバックグラウンドでリクエストを1回送るだけです。RFC 8058は、このリクエストに「Cookie、HTTP認証、その他のコンテキスト情報を含めてはならない（MUST NOT）」と定めており、送信者がリダイレクトすることも認めていません。サインインする画面も、ダウンロードするものもありません。

ただし、万全ではありません。

• 「Go to website」（ウェブサイトに移動）。 Gmailは、送信者によっては代わりにそのサイトへのアクセスを求められると説明しています。開くのは、メール内のリンクと同じ種類のページです。
• メールによる登録解除。 アプリがヘッダーのmailto:アドレスを使うと、自分のアドレスからリスト宛てにメールが送られます。Microsoftが避けるよう勧めている返信と同じ種類のものです。
• アドレスはやはり確認されます。 RFC 8058は、リクエストに「メールの受信者とリストを特定するのに十分な情報」を含めなければならないとしています。
• 送信者が誠実だという証明にはなりません。 ワンクリックにはDKIM署名が必要ですが、DKIM署名が示すのは、どのドメインがメッセージに署名したかであって、そのドメインが信頼できるかではありません。迷惑メールの送信者も、自分のドメインでメールに署名できます。
• 対象は1つのリストだけです。 Gmailは、「送信者の1つのメーリングリストからしか登録解除されない場合がある」としています。

つまり、ボタンは知っている送信者に使い、迷惑メールは配信停止せずに報告します。

ワンクリックでの登録解除とは？

ワンクリックでの登録解除は、2017年にRFC 8058で定められた仕組みで、2つ目のヘッダーList-Unsubscribe-Postを追加します。これにより、メールアプリは、バックグラウンドでHTTPSリクエストを1回送るだけで、ウェブページもメールも使わずにリストから外せます。スマートフォンでは、ワンタップでの登録解除と呼ばれることもあります。以下はRFCに載っている例です。ウェブ版のGmailで実際のメッセージのヘッダーを見るには、メッセージを開き、返信ボタンの横にある「More」（その他）をクリックしてから、「メッセージのソースを表示」をクリックします。

List-Unsubscribe:
    <mailto:listrequest@example.com?subject=unsubscribe>,
    <https://example.com/unsubscribe.html?opaque=123456789>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribeは、リストから抜ける方法の一覧です。ここではメールアドレスとウェブアドレスがあります。
• opaque=123456789は、受信者とリストを特定する部分です。
• List-Unsubscribe-Postがあるとワンクリックになります。アプリは本文List-Unsubscribe=One-Clickを付けてPOST /unsubscribe.html?opaque=123456789を送り、ページは開きません。

ワンクリックの仕組みができたのは、ヘッダーの配信停止アドレスに自動でアクセスする迷惑メール対策ソフトが、誤って登録解除してしまっていたためです。そのため、送信者は確認ページを追加していました。POSTなら、送信者は本人のリクエストとこうした自動アクセスを区別できるため、確認ページは必要ありません。アプリは「ユーザーの同意なしに」このリクエストを送ってはならないため、確認を求められます。

組み込みの「登録解除」ボタンがある場所

Gmail

ウェブ、Android、iPhone、iPadのGmailでは、ワンクリックの登録解除が送信者名の横にあります（Googleの手順）。

1. 登録解除したいメールを開きます。
2. 送信者名の横にある「登録解除」をクリックまたはタップします。
3. ポップアップで「登録解除」または「Go to website」を選びます。

メールが止まるまで数日かかることがあります。Gmailの「Manage subscriptions」（登録の管理）画面は2025年7月に登場し、現在も「段階的に展開中」です。ここでは、送信者の有効なリストすべてから一度に登録解除でき、その送信者からの新しいメールは「迷惑メール」に移動されます。開くには、ウェブ版では「More」＞「Manage subscriptions」をクリックし、アプリでは「Menu」（メニュー）＞「Manage subscriptions」をタップします。

Macの「メール」

macOS 26とmacOS 27では、メーリングリストから届いたメッセージのヘッダーの下にバナーが表示されます。バナーの「Unsubscribe」（登録解除）をクリックし、警告で「OK」をクリックします（Appleの手順）。「メール」がワンクリックのリクエストを送るのか、自分のアカウントからメールを送るのかをAppleは説明していないため、知っている送信者にだけ使ってください。

iPhoneとiPad

AppleのiPhoneとiPadのガイドには、メッセージ内の登録解除ボタンについての説明がありません。その代わりに説明されているのがiCloud Mail Cleanup（iCloudメールのクリーンアップ）です。これはiCloudメールでのみ使え、すべての言語で使えるわけではありません。「Updates」（アップデート）と「Promotions」（プロモーション）から送信者を提案し、その送信者からの今後のメールを「Trash」（ゴミ箱）に移動します。iOS 26と27では、「設定」＞［自分の名前］＞「iCloud」＞「メール」＞「iCloud Mail Cleanup」にあります。詳しい手順は、登録しているメーリングリストの見つけ方で説明しています。

「メール」がメッセージの上部に独自の「Unsubscribe」を表示する場合も、その仕組みをAppleは説明していないため、知っている送信者にだけ使ってください。

Outlook.com

Microsoftは、Outlook.com、新しいOutlook、Outlookアプリについて、メッセージごとの登録解除ボタンを説明していません。その代わり、Outlook.comでは「Settings」（設定）＞「Mail」（メール）＞「Subscriptions」（サブスクリプション）に、認識した送信者が一覧表示され、それぞれに「Unsubscribe」の選択肢があります。アプリによっては、報告のダイアログでも登録解除を提案されます。信頼できないメールでは、報告だけ、またはブロックを選んでください。

登録解除ボタンが表示されないメールがあるのはなぜ？

たいていは、メッセージが利用中のメールサービスの審査に通らなかったか、使えるヘッダーが付いていないためです。

• GmailとYahooの審査。 前述のとおり、正しいヘッダーがあっても、審査に通らなければボタンは表示されません。Googleによると、これは「送信者がメッセージ本文に独自の配信停止リンクを追加している場合でも」同じです。
• Outlook.comの例外。 迷惑メールフォルダに振り分けられたメールや、受信拒否リストに入れた送信者のメールでは、この選択肢が表示されないことがあります。
• DKIM署名がない。 RFC 8058は、DKIM署名がない場合、アプリは「ワンクリックでの登録解除を提示すべきではない（SHOULD NOT）」としています。
• トランザクションメール。 レシート、パスワードの再設定、確認コードは購読ではなく、GmailとYahooもこうしたメールにはワンクリックの登録解除を求めていません。
• 設定していない送信者。 List-Unsubscribeヘッダーがなければ、アプリには表示するものがありません。

ボタンがないからといって詐欺とは限らず、ボタンがあるからといって誠実な送信者だという証明にもなりません。

2024年にワンクリックの登録解除が広まった理由

Googleは2023年10月3日に大量送信者向けのルールを発表し、Yahooも同じ変更を支持しました。2026年9月時点のルールは次のとおりです。

ほかのサービスの要件は、もっと緩やかです。2025年5月5日からのMicrosoftのOutlook.com向けルールは、1日5,000通を超えて送るドメインにSPF、DKIM、DMARCを求めていますが、機能する配信停止リンクは推奨にとどまります。AppleのiCloudメールのポストマスター向けページは、大量送信者に「配信停止リンク」を求めています。

Gmailで認められるのはヘッダーだけです。GoogleのFAQによると、mailto:やURLの配信停止リンクは「ワンクリックでの登録解除の要件を満たしません」。また、Gmailは2025年11月から、メールの拒否を含めて「適用を強化」し始めました。これらはメールサービス各社のルールで、法律ではありません。法律上の最低限の要件は、下のよくある質問で説明しています。

配信停止、迷惑メール報告、ブロック、フィッシング報告の使い分け

つまずきやすい点が2つあります。Googleの登録の管理に関するヘルプにあるとおり、Gmailでブロックしても「その送信者のメーリングリストの登録が自動的に解除されるわけではありません」。Outlookでフィッシングを報告すると、送信者は報告されますがブロックはされないため、送り続けてくる場合はブロックもしてください。

Gmail、Outlook、Appleの「メール」での報告とブロックの手順と、それでも届き続ける迷惑メールへの対処は、迷惑メールを本当に減らす方法で説明しています。見落としやすいのが、パソコン版Gmailの「Report phishing」（フィッシングを報告）で、返信ボタンの横の「More」の中にあります。配信停止したのに実在の会社からメールが届き続ける場合は、配信停止しても止まらない理由でよくある原因を確認してください。

迷惑メールの配信停止リンクを押してしまったときの対処

迷惑メールの配信停止リンクを、うっかりタップやクリックしてしまった場合、どうするかはその後に何が起きたかによります。

• 押しただけの場合。 ページを閉じ、メールを迷惑メールまたはフィッシングとして報告して削除します。押したことでアドレスが確認された可能性があるため、迷惑メールが増えることがあります。
• 何かがダウンロードされた場合。 開かずに削除します。FTCは、「コンピューターのセキュリティソフトを更新し、スキャンを実行して、問題として検出されたものを削除する」よう勧めています。
• パスワードを入力した場合。 メールを経由せず、自分で本物のサイトにアクセスし、すぐにパスワードを変更します。同じパスワードを使っているほかのサービスでも変更してください。二段階認証をオンにし、心当たりのないサインインがないか確認します。Google、Microsoft、Appleでの確認方法は、メールアカウントが乗っ取られていないか確認する方法で説明しています。
• カードや銀行の情報を入力した場合。 すぐに銀行やカード会社に連絡します。米国では、IdentityTheft.govにもアクセスしてください。英国では、reportfraud.police.ukで報告するか、0300 123 2040（イングランド、ウェールズ、北アイルランド）に電話します。スコットランドでは、101でPolice Scotlandに電話します。

米国のAPWGやFTC、英国のNCSCなど、メールサービス以外の窓口に報告する方法は、迷惑メールやフィッシングの報告先を参照してください。

配信停止そのものを不要にする：リストごとに別のアドレス

もっとすっきりした解決策は、その手前にあります。ショップやメルマガごとに専用のアドレスを渡すことです。あるリストが配信停止を無視したり、アドレスを売ったり、情報漏洩を起こしたりしても、影響を受けるのはそのアドレスだけで、ほかに手を付けずに、そのアドレスをフィルターで振り分けたりオフにしたりできます。Appleの迷惑メールについてのアドバイスも、「メールエイリアスを使う」という項目で締めくくられています。

いちばん簡単なのはプラスアドレス（「+」を使うアドレス）です。Gmailなど対応しているメールサービスでは、you+shop@example.com宛てのメールがyou@example.comに届きます。ただし、「+」以降の部分は誰でも消せるため、送信者はメインのアドレスを割り出せます。独立したエイリアスなら、メインのアドレスはわかりません。下で紹介するCatchNoneなら、リストごとにエイリアスを用意でき、そのメールは専用のアプリで読めます。登録用に何を使うかのガイドで、選択肢を比較しています。

CatchNoneでリストごとに別のアドレスを

CatchNoneは、ショップ、メルマガ、アカウントごとに専用のアドレスを用意します。Premiumなら、ドメインやメールボックスを用意せずにランダムな@catchnone.comのアドレスを使えます。お持ちのドメインのアドレスなら、無料プランで10個まで使え、Lite・Premiumでは、自分のドメインのエイリアスを無制限に作成できます。どのメールにも届いたエイリアスがバッジで表示されるので、アドレスを売ったり漏らしたりしたリストがすぐにわかります。受信専用の設計なので、登録用のメールは専用のアプリにまとまります。メッセージはJavaScriptをオフにした状態で開き、リモート画像は、ほとんどのトラッキングピクセルも含めて、自分で読み込むまで表示されません。リストが配信停止を無視したり、エイリアスに迷惑メールが届くようになったりしたら、その@catchnone.comのエイリアスを「オフにする」で止められます。以後のメールは送信者に返送され、ほかのエイリアスはそのまま使えます。自分のドメインでは、利用中のメールサービスでそのアドレスをブロックしてください。

CatchNoneの「登録解除」ボタンは、まず確認を求めます。ワンクリックに対応したリストなら、Cookieもウェブページも使わずに、デバイスからリクエストを送ります。ただし、リスト側にはデバイスのIPアドレスが見え、そのエイリアスが使われていることも伝わります。ワンクリックに対応していない場合、リストがメールアドレスを示していれば、宛先入力済みのメールをいつものメールアプリで開きます。このメールは本当のアドレスから送信されます。メールアドレスもなければ、送信者のページを開きます。リンクは変更されずにブラウザで開きます。また、CatchNoneはDKIMも送信者の評価も確認しないため、List-Unsubscribeヘッダーがあるメールには必ずこのボタンが表示されます。知っているリストに使ってください。iPhone、iPad、Mac向けのCatchNoneをダウンロード。

よくある質問

iPhoneでメールの配信停止をしても安全？

知っている送信者からのメールなら安全です。Gmailアプリでは送信者名の横の「登録解除」をタップし、iCloudメールではiCloud Mail Cleanupを使います。どちらでもなければ、メール内のリンクを使います。迷惑メールは、左にスワイプして「More」（その他）をタップし、「Move to Junk」（迷惑メールに移動）をタップします。Appleは「“メール”でのアクティビティを保護」をオンにすることも勧めています（「設定」＞「アプリ」＞「メール」＞「プライバシー保護」）。何が変わるのかは、「メールプライバシー保護」の仕組みのガイドで説明しています。

迷惑メールは配信停止するべき？

いいえ。迷惑メールは自分で登録したリストではないため、抜けるものがありません。クリック、タップ、返信をすると、アドレスが使われていると確認されるおそれがあります。迷惑メールとして報告してから削除します。報告はフィルターを学習させるもので、送信者に直接連絡することはありません。同じ送信者から届き続ける場合は、そのアドレスをブロックします。配信停止は自分で登録したリストだけにし、配信停止を無視するリストは迷惑メールとして報告します。

Gmailで「登録解除」を押すとどうなる？

ポップアップが表示され、「登録解除」で確定するよう求められます。自社のページを使うよう求める送信者の場合は、「Go to website」が表示されます。メールが止まるまで数日かかることがあります。登録解除した後に送信者からまたメールが届いた場合、Gmailはその新しいメールを「迷惑メール」に移動します。

迷惑メールを報告すると送信者に伝わる？

Gmailでは、誰が報告したかは伝わりません。報告するとメッセージが「迷惑メール」に移動してフィルターが学習し、Gmailが大量送信者に返すフィードバックは、キャンペーンごとに集計した苦情のデータです。Yahooは違います。そのComplaint Feedback Loop（苦情フィードバックループ）では、メールを迷惑メールとして報告すると、登録している送信者に、メッセージのヘッダーを含む報告が送られます。自分で登録したリストについては、代わりに配信停止するのがGoogleのおすすめです。

配信停止リンクは法律で義務付けられている？

米国では、CAN-SPAM法により、商用メールには機能するオプトアウト（配信停止）の手段を入れることが義務付けられており、申し出は10営業日以内に処理しなければなりません。ワンクリックのボタンは、法律ではなく、GmailとYahooの送信者向けルールによるものです。国ごとの期限は、配信停止しても止まらない理由で説明しています。