verify@x.com・access-support@x.comのメールは本物?見分け方と対処法【2026年版】

「verify@x.com からメールが届いたけれど、これは本物?開いて大丈夫?」「access-support@x.com から凍結の通知が来た。詐欺じゃないの?」──いま、まさにその不安でこのページにたどり着いた方が多いはずです。

先に結論をお伝えします。verify@x.com も access-support@x.com も、X(旧Twitter)が実際に使用している正規の送信元アドレスです。ただし、送信元アドレスは偽装(なりすまし)が可能なため、「アドレスが合っているから本物」と即断するのは危険です。

本記事では、SNSアカウントの凍結解除・乗っ取り復旧を専門に扱ってきた行政書士が、①X公式が実際に使うアドレスの一覧、②本物と偽物を見分ける5つのチェックポイント、③判定後にとるべき行動(本物だった場合/偽物だった場合/踏んでしまった場合)を、実際の相談現場の経験に基づいて解説します。上から順に読めば、5分で「いま何をすべきか」まで判断できます。

X公式が実際に使うメールアドレス一覧【2026年7月時点】

まず前提知識として、X公式が利用者への連絡に使う主なメールアドレスを整理します。真偽判定の第一歩は「そもそも公式がどのアドレスを使うのか」を知ることです。なお、Xのメール送信仕様は変更されることがあるため、以下は2026年7月時点で、実務上の相談事例で確認できている範囲の整理です。

送信元アドレス	主に届く場面
verify@x.com	メールアドレスの確認、認証コード、ログイン認証、登録情報の変更確認
access-support@x.com	アカウント凍結・機能制限の通知、異議申し立てへの返信
info@x.com	お知らせ、ポリシー・規約変更の案内など
notify@x.com	通知系(ログイン通知、アクティビティ関連のお知らせ等)
@twitter.com 系(旧)	Twitter時代の旧アドレス。過去に受信した古いメールに残っていることがある

verify@x.com が届く場面

verify@x.com は、その名のとおり「確認(verify)」に関わる場面で届きます。代表的なのは次の3つです。

• アカウント作成時・メールアドレス変更時の「メールアドレスを確認してください」
• 新しい端末・場所からのログイン時の認証コード(確認コード)の送付
• パスワードや電話番号など登録情報を変更したときの確認通知

つまり「自分が直前に何か操作をした」ときに届くのが基本です。逆に、何も操作していないのに認証コードが届いた場合、第三者があなたのアカウントにログインを試みているサインである可能性があります(後述)。

access-support@x.com が届く場面

access-support@x.com は、凍結・制限などの「アカウントへのアクセスに関するサポート」で使われるアドレスです。実務上の相談事例では、次の場面でこのアドレスからの受信が確認できています。

• アカウント凍結・ロックの通知
• 異議申し立て(Appeal)を送った後のXサポートからの返信
• ポスト削除要求・機能制限(いわゆるシャドウバン類似の制限を含む)の通知

凍結解除の手続き中の方にとっては、このアドレスからのメールが解除可否を左右する重要な連絡になります。迷惑メールフォルダに振り分けられているケースも非常に多いため、凍結中の方は必ず迷惑メールフォルダも確認してください。ご自身のアカウントが今どの状態(ロックか凍結か)にあるか曖昧な方は、先に「ロック?凍結?いまの状態を確認する方法」をご覧ください。

その他の公式アドレスと「一覧にないアドレス」の扱い

info@x.com や notify@x.com は、規約変更のお知らせやアクティビティ通知など、緊急性の低い連絡で使われます。これらは「無視しても直ちに実害がない」ものが大半です。一方、判断に迷うのは「見たことのないアドレス」からのメールです。実務上の目安は次のとおりです。

• @x.com / @twitter.com 以外のドメイン → 原則として偽物と扱う
• @x.com だが見慣れないアカウント名 → 次章の5点チェックで精査(アドレス偽装の可能性)
• 判定しきれない → メール内のリンクは使わず、公式アプリから直接確認(本記事後半で解説)

本物か偽物かを見分ける5つのチェックポイント

ここからが本記事の核心です。届いたメールを手元に置いて、①から順にチェックしてください。①〜③は誰でも1分ででき、これだけで偽物の大半をはじけます。④⑤まで通れば、本物と判断してほぼ問題ありません。

順番	チェック内容	難易度
①	送信元アドレスのドメインを確認する	かんたん
②	リンク先URLが x.com / twitter.com か確認する	かんたん
③	日本語の不自然さ・過度な煽り文句がないか	かんたん
④	心当たり(直前の自分の操作)があるか	ふつう
⑤	メールヘッダ(SPF/DKIM)で最終確認	上級者向け

①送信元アドレスのドメインを確認する(表示名に騙されない)

最初に確認すべきは「表示名」ではなく「メールアドレス本体」です。メールの表示名(差出人名)は誰でも自由に「X」「X Support」と名乗れます。表示名が「X」でも、アドレスが @x.com / @twitter.com 以外なら、その時点で偽物確定と考えてください。

スマホでは初期状態だと表示名しか見えないことが多いため、次の手順でアドレス本体を表示させます。

• iPhone(標準メール):差出人名をタップ → アドレスが表示される
• Gmailアプリ:差出人名の下の「To 自分」付近をタップして詳細を展開
• Android(各メーラー):差出人名をタップ、または「詳細を表示」を選択

このとき注意したいのが「そっくりドメイン」です。「x-support.com」「verify-x.com」「x.com.mail-check.net」のように、x.comという文字列を含めた別ドメインが使われます。ドメインは「@より後ろの、最後の『○○.com』部分」で判定するのがコツです。

②リンク先URLが x.com / twitter.com かを確認する

次に、メール本文内のボタンやリンクの「実際の飛び先URL」を確認します。リンクの表示文字と実際のURLは別物にできるため、「x.com/…と書いてあるから安全」ではありません。

• スマホ:リンクを長押しすると、開かずにURLのプレビューが表示されます(タップしないよう注意)
• PC:リンクにマウスカーソルを乗せるだけで、画面下部などに飛び先URLが表示されます

表示されたURLの先頭のドメイン部分が x.com または twitter.com であれば正規のリンクです。それ以外、特に見慣れない短縮URLや、x.comを装った類似ドメインであれば偽物と判断してください。なお、最も安全な運用は「本物と判定できても、メール内リンクは使わず、公式アプリやブラウザのブックマークから直接ログインして確認する」ことです。この習慣があれば、判定を誤っても実害が生じません。

③日本語の不自然さ・過度な緊急性の煽りがないか

フィッシングメールの多くは、機械翻訳由来の不自然な日本語や、行動を急がせる煽り文句を含みます。典型的なのは次のようなトーンです。

• 「24時間以内に確認しない場合、アカウントは永久に削除されます」
• 「異常なログインを検出しました。直ちに下のボタンから本人確認を行ってください」
• 敬語の乱れ、字体の混在、宛名が「お客様」のみで@ユーザー名の記載がない 等

本物のXからの通知は、凍結通知であっても文面は事務的・淡々としており、「今すぐ○時間以内に」と期限で恐怖を煽る書き方は基本的にしません。読んだ瞬間に心臓が跳ねるようなメールほど、一呼吸おいて疑う──これが実務での鉄則です。

④心当たりの有無(直前に自分が操作したか)

verify@x.com系の確認メールは、原則としてあなた自身の操作をトリガーに送られます。「ログインした直後」「メールアドレスを変更した直後」に届いたのであれば、本物の可能性が高いといえます。

逆に、何も操作していないのに認証コードやログイン通知が届いた場合は、2つの可能性があります。1つはフィッシング(偽メール)、もう1つは第三者があなたのIDとパスワードでログインを試みている(乗っ取りの前兆)というケースです。後者の場合、メール自体は「本物」です。この見極めと初動については、本記事後半の「本物だった場合の対処法」で解説します。

⑤メールヘッダ(SPF/DKIM)での最終確認【上級者向け】

①〜④で判定しきれない場合の最終手段が、メールヘッダの認証結果の確認です。SPF・DKIMは「そのメールが本当にそのドメインから送られたか」を技術的に検証する仕組みで、偽装メールはここで見破れます。

• Gmail(PC)の場合:メールを開く → 右上の「︙」→「メッセージのソースを表示」→ 上部の SPF / DKIM / DMARC 欄がすべて「PASS」になっているか確認
• Gmail(簡易確認):差出人詳細を展開し、「送信元」「署名元」に x.com が表示されているか確認

FAIL や SOFTFAIL の表示があれば偽装の疑いが濃厚です。なお、この確認は難しければ飛ばして構いません。①②③で怪しい点が1つでもあれば、⑤まで進まず「偽物扱い」で対処するほうが安全です。

本物メールの代表パターンと「届いた意味」

5点チェックで「本物らしい」と判定できたら、次に重要なのは「なぜこのメールが届いたのか」を正しく読むことです。実際の相談現場で多い本物メールを3類型に整理し、それぞれの意味と、放置した場合のリスクを解説します。

「メールアドレスを確認してください」(verify@x.com)

アカウント作成時やメールアドレス変更時に届く、最も基本的な確認メールです。届いた意味は「このメールアドレスがあなたのものだとXに証明してください」というもの。確認ボタンを押す(またはコードを入力する)ことで手続きが完了します。

放置した場合のリスク:メールアドレスが未確認のままだと、パスワードを忘れた際の再設定ができない、セキュリティ通知を受け取れない、一部機能が制限されるなどの不利益があります。また、未確認状態のアカウントは、凍結時の本人確認・異議申し立てでも不利に働きます。心当たりのある確認メールは、後回しにせず対応しておきましょう。ただしその際も、メール内リンクではなく、公式アプリの「設定とプライバシー」→「アカウント」から確認する方法が最も安全です。

「新しいログインがありました」(ログイン通知)

新しい端末・ブラウザ・場所からのログインを検知した際に届く通知です。自分のログインに心当たりがあるなら、対応不要です(旅行先や新しいスマホでのログイン等でも届きます)。

問題は心当たりがない場合です。これは第三者があなたのパスワードでログインに成功した(または試行している)ことを意味し、乗っ取りの初動サインにあたります。この段階で正しく動けば被害はほぼ防げますが、放置すると、登録メールアドレスを書き換えられてアカウントを完全に奪われる、DMで詐欺リンクをばらまかれる、といった二次被害に発展します。具体的な手順は後述の「本物だった場合の対処法」をご覧ください。

「アカウントが凍結されました/機能が制限されました」(access-support@x.com)

凍結・ロック・機能制限の通知は、ほぼ access-support@x.com から届きます。このメールには凍結の類型(永久凍結か、一時的制限か)や、求められている対応(電話番号認証、異議申し立て等)が記載されており、凍結解除の出発点となる最重要メールです。

放置した場合のリスク:凍結には事実上の対応期限があるケースがあり、また時間の経過とともに解除の難易度は上がる傾向があります。特にビジネス利用のアカウントでは、放置期間がそのまま機会損失になります。凍結通知を受け取ったら、まず「凍結された直後にやること・やってはいけないこと」を確認し、焦って自己流の連続申請をする前に手順を整えてください。異議申し立ての文面作成には「凍結解除の異議申し立ての書き方・例文集」が使えます。

偽物(フィッシング)だった場合の対処法

5点チェックの結果、偽物と判定できた場合の対処は、実はとてもシンプルです。「何もせず、報告して、削除する」。これだけです。偽メールは、受信しただけ・件名を読んだだけでは基本的に被害は生じません。危険なのは「その先の行動」です。

やってはいけないこと3つ

報告と削除の手順

偽物と判定したメールは、削除する前に「迷惑メール(フィッシング)として報告」しておくと、以後の類似メールが自動的にブロックされやすくなり、他の利用者の保護にもつながります。

• Gmail:メールを開く → 右上「︙」→「フィッシングを報告」
• iPhone標準メール:メール一覧で左スワイプ →「その他」→「迷惑メールに移動」
• 各キャリアメール:迷惑メール報告機能、または迷惑メールフィルタの強化設定を利用

なお、後述しますが、もしそのメールで実害(情報入力・金銭被害)が生じた可能性がある場合は、削除せずに証拠として保全してください。削除は「実害ゼロが確定している場合」の対応です。

本物だった場合の対処法【状況別】

本物のメールだった場合、次にやるべきことはメールの種類によって分岐します。ご自身の状況に該当する項目だけ読めば大丈夫です。

凍結・機能制限の通知だった場合

まず、メール本文と、実際にアカウントへアクセスしたときの表示から、「ロックなのか凍結なのか」「何が原因とされているのか」を確認します。状態の見分け方は「ロック?凍結?いまの状態を確認する」で詳しく解説しています。

そのうえで、電話番号認証等で解除できる類型であれば案内に従い、異議申し立てが必要な類型であれば、異議申し立ての書き方・例文集を参考に、事実関係を整理した文面を作成してください。感情的な抗議文や、同じ文面での連続申請は解除を遠ざけます。また、異議申し立て後に「解除しました」というメールが届いたのにログインできないケースもあります。その場合は「解除メールが来たのに使えないときの対処法」をご覧ください。

心当たりのないログイン通知・認証コードだった場合

乗っ取りの初動サインです。アカウントを奪われる前に、次の3手順を今すぐ・この順番で実行してください。

1. パスワードを変更する(他サービスと使い回していた場合は、そちらも変更)
2. すべてのセッションからログアウトする(設定 → セキュリティとアカウントアクセス → アプリとセッション)
3. 2要素認証(2FA)を設定する(認証アプリ方式を推奨)

すでに登録メールアドレスを書き換えられている・ログイン自体ができないなど、乗っ取りが進行している場合は、初動を誤ると復旧の難易度が大きく上がります。その段階の方は、この記事を読み進めるより先に、下記の相談窓口から現状をお知らせください。

認証・確認依頼のメールだった場合

自分の操作に心当たりがあるなら、そのまま手続きを完了させて問題ありません。ただし、ここでも推奨するのは「メール内リンクを使わない」習慣です。公式アプリまたはブラウザのブックマークからXを開き、設定画面から同じ手続きができないかをまず確認する。この一手間が、判定ミスによる被害をゼロにする最強の防御策です。

リンクを踏んでしまった・情報を入力してしまった時の緊急対応

「判定する前に、もうリンクを押してしまった」「偽サイトと気づかずパスワードを入力してしまった」──この記事を読んでいる方の中には、すでにその段階の方もいるはずです。大丈夫です。ここからの30分の動き方で、被害の大半は食い止められます。入力してしまった内容別に、危険度とやるべきことを整理します。

入力してしまった内容	危険度	最優先の対応
リンクを開いただけ(何も入力していない)	中	念のためパスワード変更+セッション切断。不審な挙動がないか数日監視
ID・パスワードを入力した	高	直ちに下記4ステップ。使い回している他サービスのパスワードも全変更
カード情報・口座情報を入力した	最高	カード会社・金融機関へ即時連絡し利用停止。あわせて下記4ステップ

アカウント側の緊急対応は、次の4ステップを順番どおりに実行してください。

1. パスワード変更 ── 攻撃者より先にログイン権を取り戻す
2. 全セッションからのログアウト ── 攻撃者の接続を強制的に切断する
3. 連携アプリの確認・解除 ── 見覚えのない連携アプリを削除する(乗っ取り維持の裏口になります)
4. 2要素認証の設定 ── 再侵入を防ぐ

そして重要なのが、問題のメールと偽サイトの画面を「削除せずに保全する」ことです。理由は次章で詳しく説明しますが、後の被害回復・法的対応の成否は、この初動の証拠保全でほぼ決まります。

もうひとつ、忘れられがちなのが周囲への周知です。乗っ取りが成立していた場合、攻撃者はあなたのアカウントからフォロワーや相互フォローの相手に詐欺DMを送り、被害を連鎖させようとします。「アカウントが乗っ取られた可能性があります。私からのDMのリンクは開かないでください」と、別の連絡手段(LINE・別SNS・口頭)で身近な人に一報を入れるだけで、あなた発の二次被害を大きく減らせます。特にビジネスアカウントの場合、この一報の有無が取引先との信頼関係に直結します。

行政書士だから伝えたい「証拠保全」と法的対応の視点

ここからは、一般的なセキュリティ記事ではあまり語られない、法律実務の側から見たフィッシング被害への備えをお伝えします。私たちは書面作成の専門家として、被害後の各種通知書・報告書面の作成や、凍結・乗っ取りからの復旧支援に日常的に関わっています。その経験から断言できるのは、「被害直後に証拠を残せた人と、慌てて全部削除してしまった人とでは、その後に取れる選択肢の数がまったく違う」ということです。

なぜ「削除する前の保全」が重要なのか

フィッシングによる不正ログインやアカウント乗っ取りは、不正アクセス禁止法違反や詐欺罪等に問われ得る犯罪行為です。被害届の提出や、その先の刑事告訴、カード会社への補償申請、Xサポートへの復旧申請──どの手続きでも共通して求められるのが「客観的な記録」です。具体的には、次のような場面で証拠が効いてきます。

• 警察への相談・被害届:偽メールの原文(ヘッダ含む)や偽サイトのURLは、捜査の端緒となる基礎資料です
• カード会社への補償申請:不正利用の経緯を時系列で示せるかどうかが、補償判断に影響します
• Xへの復旧申請・異議申し立て:「いつ・どのメールを起点に・何が起きたか」を具体的に示せると、本人性の主張に説得力が出ます
• 二次被害への対応:乗っ取られたアカウントから第三者に詐欺DMが送られた場合など、「自分も被害者である」ことを示す資料になります

今日からできる証拠保全チェックリスト

この5点があるだけで、警察相談も、補償申請も、専門家への依頼も、すべてが速く正確に進みます。逆にここが抜けると、後から再現できない情報(特にメールヘッダ)が多く、打てる手が減っていきます。

フィッシングは「どんな犯罪」にあたるのか

「詐欺メールなんて日常茶飯事。警察に相談するほどのことなのか」と迷う方は多いのですが、法的に整理すると、フィッシングとその後の行為は複数の犯罪類型に該当し得る、れっきとした事件です。

• 不正アクセス禁止法違反:盗んだID・パスワードで他人のアカウントにログインする行為はもちろん、フィッシングサイトを設置してID等の入力を求める行為自体も、同法の処罰対象として規定されています。
• 詐欺罪・電子計算機使用詐欺罪:盗んだカード情報等で金銭的利益を得れば、刑法上の詐欺類型の問題になります。
• 民事上の損害賠償:加害者を特定できた場合には、不法行為に基づく損害賠償請求の対象にもなり得ます。

つまり、あなたは「うっかり引っかかった人」ではなく「犯罪の被害者」です。被害者である以上、警察への相談、被害届、事案によっては刑事告訴という選択肢が制度上用意されています。そして、これらの手続きで必ず問われるのが「事実を裏づける資料」──だからこそ、前述の証拠保全が効いてくるのです。当方は、被害の経緯を整理した時系列書面や各種通知書の作成といった、書面の専門家としての立場から被害後の手続きをサポートできます。

実務で見てきた「明暗が分かれた」ケースの類型

個別の事案は書けませんが、直近5年間の相談対応の中で繰り返し見てきた典型的な分岐点を、類型としてご紹介します。

• 早期にSOSを出せたケース:偽サイトにパスワードを入力した直後に相談 → その場で全セッション切断と2FA設定を実行し、乗っ取り成立前に防御が完了。被害ゼロで終了。
• 自己流で悪化したケース:不安のあまり短時間に何度も操作・申請を繰り返し、状況が複雑化してから相談。復旧はできたものの、初動から依頼した場合に比べ時間も労力も数倍かかった。
• 証拠を消してしまったケース:「気持ち悪いから」と偽メールを完全削除。その後カードの不正利用が発覚したが、経緯を示す資料が乏しく、説明に大きな手間がかかった。

共通する教訓はひとつです。「消す前に残す。動く前に相談する。」この順番さえ守れば、フィッシング被害は十分にリカバリー可能です。

よくある質問(FAQ)

まとめ:迷ったら「メールのリンクは使わない」が鉄則

最後に、本記事の要点をチェックリストとして再掲します。

そして、すべてに共通する原則はひとつ。「本物と判定できても、メール内のリンクは使わず、公式アプリから直接確認する」。この習慣だけで、フィッシング被害のほとんどは未然に防げます。

それでも、凍結通知への対応、乗っ取りからの復旧、入力してしまった後の被害防止は、一人で抱えるには判断の分岐が多く、初動を誤ると取り返しがつきにくい領域です。「このメール、結局どうすればいい?」の一文からで構いません。状況を伺い、いま打つべき手を優先順位つきでご案内します。

最終更新日:2026年7月19日