正解：B が本物

Aの住所部分は amazon.co.jp.security-check.example.com。右端から読むと example.com です。amazon.co.jp は、その持ち主が自分のサーバーに付けた名札（サブドメイン）にすぎません。

見分けのコツは「点の数を数えず、右端だけ見る」。左に本物の文字列がどれだけ並んでいても関係ありません。

正解：A が本物（ハイフンは無罪）

楽天カードの正規サイトは、公式が案内しているとおり https://www.rakuten-card.co.jp/。本物のほうにハイフンが入っています。「ハイフン＝偽物」で判定すると、本物を偽物と誤判定してしまいます。

区切りとして意味があるのは点（ドット）だけです。ハイフンは単なる文字の一部で、区切りにはなりません。Bは rakuten.co.jp-card まで全部ひとかたまりの飾りで、右端は example.net。

正解：A が本物（.com でハイフン入りだが正規）

えきねっとの公式サイトは https://www.eki-net.com です。公式の注意喚起ページでも「えきねっとWebサイトのURLは https://www.eki-net.com から始まります」と案内されています。

なお過去には、末尾だけ差し替えた偽サイトが検索広告の上位に表示された事例が報じられています。「日本の会社だから .co.jp のはず」という思い込みは通用しません。正解は覚えるのではなく、公式アプリかブックマークから開くこと。

正解：B（@ の右側につながる）

URLに @ が入っていると、@ より左は「ユーザー名」の扱いになり、実際の接続先は @ の右側になります。だから www.smbc.co.jp の文字は完全に飾りです。

開いたあとならブラウザのアドレスバーが本当の接続先を表示してくれますが、メールやSMSの文面で文字列を眺めている段階では、この形がいちばん騙されます。

正解：メルカリではない（example.com のサイト）

最初の / より右は、そのサーバーの中のフォルダ名です。誰でも好きな名前で作れるので、/jp.mercari.com/ というフォルダを置くだけで「それっぽい」URLが完成します。

メルカリの正規ドメインは日本向けが jp.mercari.com。ブランド名が / の右にある時点で、判定材料としては無価値です。

正解：A が本物（Bは「yarnato」）

Bは yamato の m を r + n の2文字に置き換えています。スマホの小さい文字では「m」にしか見えません。

同じ手口の定番はこのあたりです。l（小文字のエル）と I（大文字のアイ）と 1（数字のイチ）／0（ゼロ）と O（オー）／vv と w。

1文字ずつ読むのは現実的ではありません。だからこそ「自分で入力しない・ブックマークから開く」が最終的な答えになります。

正解：B（アルファベット以外の文字が使われている印）

日本語やキリル文字などを使ったドメイン名は、内部的に xn-- で始まる形（Punycode）に変換されます。上の xn--80ak6aa92e を戻すと 「аррӏе」——見た目は apple ですが、実際はキリル文字が混ざった別のドメインです（2017年に実証され話題になった例）。

現在のChromeは、ラテン文字に見えるキリル文字などを検出すると、あえて日本語表示をやめてこの xn-- 形式で表示します（Chromium公式のIDN表示ルール）。つまり xn-- は「見た目と中身が違うかもしれない」という警告表示でもあります。

ただし xn-- は日本語ドメインでも普通に出ます（例：「アマゾン」→ xn--cckwcxetd）。xn--＝即詐欺ではありませんが、ログイン画面で出てきたら手を止める理由にはなります。

正解：B（鍵マークは「本物」の証明ではない）

鍵マークが意味するのは「通信が暗号化されている」ことだけで、「運営者が本物かどうか」は一切保証していません。

理由は単純で、いま主流の「ドメイン認証（DV）証明書」はそのドメインを操作できることさえ確認できれば、無料で、数分で、自動発行されます。組織の実在確認はしません。詐欺サイト側からすれば、鍵マークを付けないほうが手間です。

仕組みの詳細はLet’s EncryptでHTTPS化する全手順で解説しています（＝この記事を読むと「誰でも鍵マークを付けられる」ことが実感できます）。

正解：A が本物（PayPayの正規ドメインは paypay.ne.jp）

.ne.jp は日本国内のネットワークサービス向けのJPドメインです。PayPayは about.paypay.ne.jp、developer.paypay.ne.jp のように、すべて paypay.ne.jp の下にぶら下げています。

実際の詐欺では、安く大量に取れる末尾（.top .xyz .cfd .icu など）がよく使われます。ただし「その末尾だから詐欺」は言い過ぎです。フィッシングの年次調査（Interisle「Phishing Landscape 2026」）によれば、偽サイトの実数がいちばん多い末尾は今も .com。新しい末尾が上位に来るのは「規模で割った比率」で見たときの話です。

正しい使い方は「この会社が、ログイン画面に、いつもと違う末尾を使うのは変では？」という違和感の材料にすることです。単独の判定基準にはしません。

正解：本物（ETC利用照会サービス）

www2 という数字つきのサブドメイン、ハイフン、意味不明な数字の羅列——怪しい要素が3つそろっていますが、右端は etc-meisai.jp のままです。

ETC利用照会サービスは、東日本高速道路・首都高速道路・中日本高速道路・西日本高速道路・阪神高速道路・本州四国連絡高速道路の6社が運営する正規サービスです。www2 や www3 のような名前は、組織側がサーバーを分けるときに普通に付けます。

正解：問題なし（同じ myna.go.jp 内の順番待ちページ）

混雑時に「順番待ち」のページへ自動で移動する仕組みです。URLは変わりましたが、右端は myna.go.jp のまま＝運営者は変わっていません。

しかも .go.jp は日本の政府機関しか登録できないドメインです。詐欺グループが取得することはできません。右端さえ確認できれば、途中でURLが変わっても慌てる必要はありません。

正解：A が本物

Bは sagawa-exp.co.jp という文字列を左側に置いただけで、右端は example.net です。

ここで知っておくと強いのが、.co.jp は「日本国内で登記している企業」しか登録できず、原則として1組織1つだけという点です（JPRSの登録ルール）。.go.jp（政府機関）、.ac.jp（大学等）、.lg.jp（地方公共団体）も同様に資格が要ります。

つまり右端が本物の .co.jp なら、その組織はかなり確からしい。だからこそ詐欺側は、右端ではなく左側に .co.jp の文字を紛れ込ませてきます。

正解：B（判断材料がゼロ＝開かない）

短縮URLは行き先を隠す道具です。この記事でここまで練習した「右端を読む」が、原理的に使えません。

そして重要なのは、銀行・カード会社・行政が、ログインや個人情報入力へ誘導するために短縮URLを使うことは通常ないという点です。SMS＋短縮URL＋緊急性を煽る文面、の3点セットはほぼ詐欺と考えて構いません。

正解：B が本物（日本郵便は japanpost.jp）

Aは「jp」「post」「tsuiseki」と、それっぽい単語をハイフンでつないだだけ。この形の名前は、誰でも数百円〜数千円で好きなだけ作れます。右端は example です。

日本郵便の公式サイトは japanpost.jp で、荷物追跡もこのドメインの下にあります。同社は「不審なメール・SMSおよび架空Webサイト」として繰り返し注意喚起を出しています。

正解：A が本物（direct.smbc.co.jp）

Aは direct がサブドメイン（飾り）で、右端は smbc.co.jp。三井住友銀行の正規ドメインです。

Bは smbc.co.jp の文字が左側にあるだけで、右端は example.net（Q1・Q12と同じ手口）。Cは smbc-direct というそれっぽい別ドメインで、右端は example（Q14と同じ手口）。

3つとも「smbc」「direct」という文字は入っています。違いは、その文字が右端にあるか、左側の飾りに過ぎないか、それだけです。