メールで届いた HTML ファイル、開いても大丈夫？危険なファイルを開く前に確かめる方法

.html のファイルが、メールやチャットで届く。先生が作ったクイズ、友だちが ChatGPT で作ったゲーム、そして心当たりのない「請求書」。HTML ファイルの多くは、ただの Web ページです。でも、なかにはフィッシングのファイルがあります。Microsoft や銀行にそっくりなログインの画面を出し、入力したパスワードをファイルの作り手へ送ります。このガイドでは、2 つの見分け方、ファイルを動かさずに中を見る方法、パスワードを入力してしまったときにすることを説明します。

HTML ファイルは、写真とはできることが違う

写真は、写っているものを見せるだけです。HTML ファイルは Web ページです。ブラウザで開くと、JavaScript を動かし、入力欄を出し、ほかのサイトから画像やスクリプトを読み込み、入力欄に打った内容をどこかのサーバーへ送れます。

Microsoft の脅威の研究者は、HTML の添付ファイルから始まる攻撃を 2 種類まとめています。

• 偽のログイン画面。 Microsoft が 1 年かけて追った請求書を装う攻撃では、添付ファイルを開くと、ぼかした Excel の表の上に、偽の Microsoft Office 365 のログイン画面が出ました。宛先の人のメールアドレスや会社のロゴが出るものもありました。入力したパスワードは、攻撃者に届きました（Microsoft、2021 年 8 月 12 日、英語）。
• ブラウザの中で組み立てられるファイル。 Microsoft が HTML スマグリングと呼ぶ手口では、ページがブラウザの中でファイルを組み立てて「ダウンロード」フォルダに保存します。悪意のあるプログラムそのものは、メールのフィルターを通らずに届きます。それでも攻撃が成り立つのは、保存されたファイルを本人が開いたときです（Microsoft、2021 年 11 月 11 日、英語）。

メールのサービスは、初期設定では .html のファイルを通します。Gmail でブロックされるファイルの種類には .hta、.js、.exe が入っていますが、.html はありません。Outlook は .hta、.mht、.mhtml をブロックしますが、.htm と .html はブロックしません。Google はすべてのメッセージをスキャンして不正なソフトウェアから守っているとし、Microsoft 365 のマルウェア対策も既定でオンです。それでも Microsoft は、HTML スマグリングは Web プロキシやメールのゲートウェイのような、ふつうの境界の守りをすり抜けうると書いています。受信トレイに届いたファイルでも、このどちらかでありえます。

危ない HTML ファイルのしるし

1 つでも当てはまれば、そのファイルはブラウザで開かないでください。

• 届くと知らなかった。 米国の CISA は、知り合いからでも、頼んでいない添付ファイルには気をつけるよう勧めています。送り主のアドレスは偽れるからです。返信ではなく、電話や新しいメッセージなど別の方法で、送った人に確かめます。
• 名前が別の種類のファイルを装っている。 invoice.xls.html や report.pdf.html のような名前です。Microsoft は、名前に「xls」を入れるのは、Excel のファイルだと思わせるためだと書いています。
• 書類を見るためにログインを求める。 自分の端末の中のファイルが、メールや仕事のパスワードをたずねる理由はありません。Microsoft が追った添付ファイルは、表を見る権限が時間切れになったと告げていました。
• 自分のことを知っている。 自分のメールアドレスが入力済みだったり、会社のロゴが載っていたりします。Microsoft が見た偽のログイン画面には、その両方がありました。
• メールが今すぐの行動をせかすか、銀行、社内の IT 担当、役所を名乗っている。英国の国家サイバーセキュリティセンター（NCSC）は、権威、緊急性、感情、希少性を、詐欺を見分けるしるしに挙げています。
• テキストとして開くと、コードがほとんど読めない。 でたらめな英数字が長く続きます。Microsoft のメールの保護は、Base64 のコードをデコードしたり、JavaScript を難読化したりする HTML ファイルを検知の対象にしています。
• ファイルを保存する、または開くよう求める。 入力するパスワードが添えてあることもあります。Microsoft は、パスワードのかかったスクリプトを「ダウンロード」フォルダに保存し、そのパスワードをページに表示する添付ファイルを確認しています。

開く前に HTML ファイルを確かめる 4 つの手順

どの手順も、ファイルのコードを動かさずに中を見ます。ファイルをアップロードする手順もありません。

1. ファイルを保存して、ダブルクリックはしない

添付ファイルは、まず端末に保存します。パソコンで .html ファイルをダブルクリックするとブラウザで開き、スクリプトが動きます。Mac では、Mac で HTML ファイルを開く方法（英語）のとおり、ダブルクリックすると、ファイルの「情報を見る」ウインドウの「このアプリケーションで開く」に出ているブラウザで開きます（スクリプトが動きます）。iPhone の「ファイル」アプリでタップするとクイックルックのプレビューが開き、iOS 26.3 でのテスト では JavaScript は動かず、ネットからも何も読み込みませんでした。それでも、プレビューに何も入力しないでください。

2. テキストとして読む

標準テキストとして開くと、ページではなくコードが見えます。Mac では、Apple のテキストエディットのガイドのとおり、テキストエディットで「ファイル」＞「開く」を選び、ファイルを選んで「オプションを表示」をクリックし、「リッチテキストコマンドを無視」を選びます。これを選ばないと、テキストエディットはファイルをブラウザと同じようにフォーマットしたテキストとして表示します。Windows では、Microsoft がメモ帳を、テキスト ベースのファイルとソース コードを編集するアプリとして紹介しています。メモ帳は試していません。

コードの中で、次のものを探します。

• type="password": パスワードの入力欄
• <form に、知らないサイトを指す action= がある: 入力した内容の送り先
• でたらめな英数字の長いかたまり: 読めないようにエンコードしたコード
• 知らないサイトを指す <script src=

届くと知っていたクイズのようなページなら、見出し、問題、スタイル、答えを確かめるスクリプトと、読んでたどれるコードになっています。

3. またはスクリプトを止めてビューアーで開く

ページを動かさずに見た目だけ見るなら、Convika の無料の HTML ビューアー を開き、「スクリプトを動かす」のチェックを外してからファイルを選びます。ページの HTML と CSS だけが表示されます。ファイルを読むのはブラウザで、アップロードはされません。ビューアーがページを Convika に送るのは、「アップロードしてリンクをつくる」を押したときだけです。

2026 年 10 月 25 日に、わざと悪さをするページを、手元で動かしたビューアーで試しました。使ったのは Playwright の Chromium 156、Firefox 157、WebKit 27.2 です。「スクリプトを動かす」を外すと、スクリプトは 1 つも動かず、「Sign in」のボタンは何も送らず、ダウンロードのリンクは何も保存せず、リンクは新しいタブを開かず、ビューアーのタブもそのままでした。起きたことは 2 つです。ほかのサイトの画像が読み込まれたので、ページの作り手には開かれたことがわかります。そして、ふつうのリンクを押すと、ほかのサイトがビューアーの枠の中に読み込まれました。

4. 開くか消すかを決める

届くと知っていたページのコードで、パスワードもたずねていないなら、スクリプトを動かして開きます。ビューアーで「スクリプトを動かす」を入れるか、ブラウザで開きます。ログインを求めるとき、コードが何をするのかわからないときは、開かないでください。ファイルを消すか、電話や新しいメッセージで送った人にたずねます。

HTML ファイルの見方を比べる

ビューアーのサンドボックスが止めるもの、止めないもの

Convika のビューアーは、ページをサンドボックスの枠の中に描きます。サンドボックスは、ページのコードにできることを絞る仕組みです。この枠には、convika.com としてふるまう、ポップアップや警告のダイアログを出す、タブを移動させる、といったことを許す設定を渡していません。10 月 25 日のテストで見えたのは次のとおりで、3 つのブラウザで同じでした。

つまりサンドボックスは、convika.com を読むこと、ウィンドウを開くこと、ファイルを保存することは止めますが、フォームを見せることは止めません。ビューアーはファイルのウイルスチェックをしませんし、ファイルを安全にもしません。偽のログイン画面は、枠の中でも本物そっくりに見えます。スクリプトを動かしていれば、そこに入力した内容は作り手に届きえます。届くと知らなかったページには、ビューアーでもほかの場所でも、パスワードを入力しないでください。

スクリプトを動かしてよいとき

クイズの点数を数える、ゲームのキャラクターを動かす、グラフを描く。どれもスクリプトの仕事です。次のときは動かしてかまいません。

• 自分で作ったファイルか、自分で ChatGPT、Claude、Gemini に頼んで自分でダウンロードしたファイル
• 知り合いから届くと聞いていて、コードが上の確認を通ったファイル
• 先生や同僚に、会って、または電話で、送ったと確かめたファイル

「AI が作った」と言われて届いたファイルも、その人から届いたファイルです。ほかと同じように確かめてください。そして、信頼できるページでも、ほかで使っているパスワードをたずねる理由はありません。

Gmail と Outlook は HTML の添付をどう扱うか

• Gmail は、ブロックの一覧にある .hta、.js、.exe などの種類を、zip の中に入れても添付させません。.html は一覧にありません。
• Outlook は .hta、.mht、.mhtml の添付をブロックしますが、.htm と .html はブロックしません。Microsoft 365 では、管理者がマルウェア対策ポリシーの一般的な添付ファイル フィルターに htm と html を加えると、そのファイルを拒否するか検疫します。どちらも既定の一覧には入っていません。

個人の受信トレイに届く .html ファイルでも、管理者がこのフィルターに加えた学校や会社では、拒否されたり検疫されたりすることがあります。

学校や職場なら、IT 担当に知らせる

学校や職場のアカウントなら、だまって消さずに報告します。NCSC は、仕事のパソコンやスマホに詐欺のメッセージが届いたら IT 部門に連絡するよう勧めています。CISA は、送り主の名前の近くにある報告のボタンか、「迷惑メールを報告」のボタンを使うよう勧めています。Microsoft のマルウェア対策のドキュメントにあるとおり、管理者はそのファイルの種類を全員に対して止められます。

もう開いた、パスワードを入力してしまったとき

詐欺の相手に情報を渡してしまった人への NCSC の助言は、次のとおりです。

• パスワードを入力した: そのアカウントと、同じパスワードを使っているすべてのアカウントで、パスワードを変えます。NCSC は使えるならパスキーを勧め、Microsoft の研究者は多要素認証を勧めています。盗まれたパスワードの価値を下げられます。
• 学校や職場の端末だった: IT 部門に知らせます。
• 保存されたファイルを開いた、何かをインストールした: ウイルス対策ソフトでフルスキャンを行い、見つかったものを処理させます。
• 銀行やカードの情報を入力した: 銀行に連絡します。

コードをテキストとして読んだだけ、または「スクリプトを動かす」を外したビューアーで開いて何も入力していないなら、スクリプトは動いていません。

HTML ファイルを送る側なら、リンクを送る

自分で作ったファイルを人に開いてもらうなら、リンクを送れば相手は上の確認をどれもせずにすみます。上のボックスにファイルを入れるかコードを貼ると、アカウントなしでプレビューのリンクができます。このプレビューではスクリプトが止まっています。「このページを受け取る（無料・カード不要）」から登録すると、ページがアカウントに入り、スクリプトが動き、公開もできるようになります。人から届いたファイルを、確かめるためだけにアップロードしないでください。確かめるのは、上の手順で自分の端末の中でできます。

添付ファイルを送る側の手順は、HTML ファイルをメールで送る方法 にあります。Google ドライブで共有したファイルは、ページではなくコードかダウンロードで開きます（Google ドライブの HTML ファイル）。開いたらコードや真っ白な画面が出たときは、HTML ファイルがコードのまま・真っ白で表示されるとき を見てください。

よくある質問

HTML ファイルにウイルスは入っている？

入っていることがあります。HTML ファイルはブラウザが動かすコードで、Microsoft は、ブラウザの中で悪意のあるファイルを組み立てて「ダウンロード」フォルダに保存する HTML の添付ファイルを報告しています（2021 年 11 月）。その攻撃も、保存されたファイルを本人が開かないと成り立ちません。マルウェアをまったく含まず、偽のログイン画面でパスワードを盗むものもあります。HTML ファイルは届くと知っていたものだけを開き、先にテキストとして読むか、スクリプトを止めて確かめてください。

.html の添付ファイルは開いても大丈夫？

届くと知っていて、送った人もわかっているなら大丈夫です。たとえば、先生が送ると言っていたクイズです。突然届いた、銀行や IT 担当を名乗っている、ログインを求める、というファイルはブラウザで開かないでください。保存してテキストとして読むか、HTML ビューアー で「スクリプトを動かす」を外してからファイルを選びます。返信ではなく、電話や新しいメッセージで送った人に確かめます。

HTML ファイルを動かさずに確かめるには？

標準テキストとして開きます。Mac では、Apple のガイドのとおり、開くダイアログで「リッチテキストコマンドを無視」を選んでテキストエディットで開くと、HTML のコードが出ます。Windows では、Microsoft がメモ帳をテキスト ベースのファイルとソース コードを編集するアプリとしていますが、試してはいません。ページそのものを見るなら、Convika の HTML ビューアー を開き、「スクリプトを動かす」を外してファイルを選びます。HTML と CSS だけが表示され、ファイルはアップロードされません。

ログインを求める HTML の添付ファイルが届いたのはなぜ？

フィッシングの可能性が高いです。端末の中のファイルが、メールや仕事のパスワードをたずねる理由はありません。Microsoft が 1 年かけて追った攻撃では、添付ファイルがぼかした表の上に偽の Office 365 のログイン画面を出し、見る権限が時間切れになったと告げ、入力したパスワードを攻撃者に送りました。何も入力しないでください。もう入力したなら、今すぐそのパスワードを変えます。

HTML ファイルをオンラインのビューアーにアップロードしても大丈夫？

ビューアーによります。ブラウザの中でファイルを読むものも、サーバーへ送るものもあります。Convika の HTML ビューアー はブラウザの中で読み、「アップロードしてリンクをつくる」を押したときだけページを Convika に送ります。ほかのビューアーで人に見せたくないファイルを開くなら、先に確かめてください。10 月 25 日のテストでは、Tiiny Host のビューアーはページに書いてあるとおりコードを W3C のバリデーターに送り、Code Beautify と Tiiny Host はサンドボックスなしでページのスクリプトを動かしました。それぞれの結果は オンライン HTML ビューアーの比較（英語）にあります。

メモ帳やテキストエディットで開くと、HTML ファイルは動く？

テキストエディットのコードの表示なら動きません。開くときに「リッチテキストコマンドを無視」を選ぶか、テキストエディットの設定で「HTMLファイルを、フォーマットしたテキストではなくHTMLコードとして表示します」を選ぶと、Apple のガイドのとおりコードが出ます。どちらも選ばないと、ブラウザと同じようにフォーマットしたテキストで表示され、その表示で何が動き、何を読み込むかは試していません。メモ帳は、Microsoft がテキスト ベースのファイルとソース コードを編集するアプリとしていますが、試していません。信頼できないファイルは、テキストエディットのコードの表示か、「スクリプトを動かす」を外した HTML ビューアーで見てください。

ChatGPT が作った HTML ファイルは開いても安全？

自分で ChatGPT に頼んで、自分でダウンロードしたものなら大丈夫です。動くのは、ChatGPT が自分のために書いたコードです。ほかの人から「ChatGPT で作った」と届いたファイルは、その人から届いたファイルなので、ほかと同じように確かめてください。どちらにしても、クイズやゲームがほかで使っているパスワードをたずねる理由はありません。

HTML ファイルにパスワードを入力してしまったら？

NCSC の助言のとおり、今すぐそのパスワードを、そのアカウントと、同じパスワードを使っているほかのすべてのアカウントで変えます。多要素認証が使えるなら、オンにします。学校や職場のアカウントなら、すぐに IT 部門に知らせます。銀行の情報を入力したなら、銀行に連絡します。

出典

• Attackers use Morse code, other encryption methods in evasive phishing campaign（Microsoft Threat Intelligence、2021 年 8 月 12 日、英語）（2026 年 10 月 25 日に確認）
• HTML smuggling surges（Microsoft Threat Intelligence、2021 年 11 月 11 日、英語）（2026 年 10 月 25 日に確認）
• Using Caution with Email Attachments（CISA、2021 年 2 月 1 日、アーカイブ、英語）（2026 年 10 月 25 日に確認）
• Recognize and Report Phishing（CISA、アーカイブ、英語）（2026 年 10 月 25 日に確認）
• How to spot a scam email, text message or call（NCSC、英語）（2026 年 10 月 25 日に確認）
• Phishing scams: If you've shared sensitive information（NCSC、2022 年 9 月 5 日に見直し、英語）（2026 年 10 月 25 日に確認）
• Gmail でブロックされるファイルの種類（Gmail ヘルプ）（2026 年 10 月 28 日に確認）
• フィッシングと不正なソフトウェアに対する高度な保護（Google Workspace 管理者ヘルプ）（2026 年 10 月 28 日に確認）
• Outlook でブロックされる添付ファイル（Microsoft サポート）（2026 年 10 月 28 日に確認）
• EOP のマルウェア対策保護（Microsoft Learn）（2026 年 10 月 28 日に確認）
• Windows メモ帳（Microsoft Store）（2026 年 10 月 28 日に確認）
• Mac のテキストエディットで HTML 書類を扱う（Apple）（2026 年 10 月 28 日に確認）
• <iframe>: インラインフレーム要素（MDN）（2026 年 10 月 28 日に確認）