スミッシングとは？SMSフィッシング詐欺の見分け方と開いてしまったときの対処法

iPhoneに突然、「荷物をお届けしましたが不在でした」「料金のお支払いが確認できません」といったSMSが届くことがあります。

本物の通知の場合もありますが、宅配業者や通信会社、金融機関などを装った「スミッシング」の可能性もあるため注意が必要です。

スミッシングとは、SMSを使って偽サイトなどへ誘導し、パスワードやクレジットカード情報などを盗み取ろうとするフィッシング詐欺の一種です。

この記事では、スミッシングの代表的な手口や見分け方、不審なSMSが届いた場合やリンクを開いてしまった場合の対処法を解説します。

スミッシングとは？

スミッシングとは、「SMS」と「フィッシング」を組み合わせた言葉で、SMSを利用したフィッシング詐欺を指します。

攻撃者は実在する企業やサービスを装ったSMSを送り、本文に記載したURLから偽サイトへ誘導します。

そこで、

• ID・パスワード
• クレジットカード情報
• 銀行口座に関する情報
• 個人情報
• 認証コード

などを入力させ、情報を盗み取るのが代表的な手口です。

偽サイトが本物のWebサイトと非常によく似ている場合もあるため、見た目だけで判断しないことが重要です。

スミッシングで使われる代表的なSMS

スミッシングでは、受信者が思わず確認したくなる内容が使われます。

代表的なのが以下のようなSMSです。

• 荷物を届けたが不在だった
• 住所不明のため荷物を持ち帰った
• 携帯電話料金が未払いになっている
• アカウントが利用停止になる
• 不正アクセスを検知した
• 本人確認が必要になった
• カードの利用を一時停止した

「すぐに確認してください」「本日中に手続きしてください」など、受信者を焦らせてURLをタップさせようとするケースにも注意しましょう。

スミッシングを見分けるポイント

巧妙なスミッシングは、文面だけで本物か偽物かを判断するのが難しい場合があります。

そのため、以下のポイントを確認しましょう。

SMS内のURLからログインを求められていないか

「本人確認」「未払い料金の確認」などを理由にURLへ誘導し、ログイン情報やカード情報を入力させようとするSMSには注意が必要です。

本物か判断できない場合は、SMS内のリンクからアクセスしないようにしましょう。

不安や焦りをあおる内容になっていないか

「アカウントを停止します」「至急手続きしてください」など、時間的な余裕がないと思わせる文面はフィッシングでよく使われる手法です。

急いで操作せず、まず公式情報を確認しましょう。

身に覚えのある内容か確認する

荷物を注文していないのに不在通知が届いた、利用していないサービスから料金請求が届いたといった場合は特に注意してください。

ただし、実際に荷物を待っているタイミングなどを狙ったSMSもあるため、身に覚えがあるだけで本物と判断するのも危険です。

送信元の名前だけで信用しない

SMSに有名企業の名前が表示されていても、それだけで本物とは判断できません。

企業名やサービス名、ロゴなどは偽装される可能性があります。

「有名企業から届いたように見えるから安全」と判断しないことが重要です。

怪しいSMSが届いたときの対処法

不審なSMSが届いた場合は、本文に記載されているURLを開かないのが基本です。

荷物や料金、アカウントなどについて確認する必要がある場合は、

• 公式アプリを開く
• 保存している公式サイトのブックマークからアクセスする
• 自分で公式サイトを確認する
• 公式サイトに掲載された問い合わせ先へ連絡する

といった方法で確認しましょう。

SMSに記載された電話番号へ、そのまま連絡することも避けた方が安全です。

スミッシングのURLを開いてしまったら？

URLをタップしただけで、直ちにアカウントが乗っ取られたと決まるわけではありません。

ただし、「何も入力していないから絶対に安全」とも断定できません。

不審なページを開いてしまった場合は、そのページを閉じ、それ以上操作しないようにします。

ファイルやアプリ、構成プロファイルなどのインストールを求められても実行しないでください。

その後、iPhoneや利用しているサービスに不審な動作がないか確認しましょう。

パスワードを入力してしまった場合の対処法

偽サイトにIDやパスワードを入力してしまった場合は、早急な対応が必要です。

まず、本物の公式サイトや公式アプリから対象アカウントのパスワードを変更します。

同じパスワードをほかのサービスでも使用している場合は、それぞれ異なるパスワードへ変更してください。

さらに、

• ログイン履歴を確認する
• 身に覚えのない端末をログアウトさせる
• 2ファクタ認証・多要素認証を有効にする
• 登録メールアドレスや電話番号が変更されていないか確認する

なども行いましょう。

クレジットカード情報を入力してしまった場合

偽サイトにクレジットカード番号やセキュリティコードなどを入力してしまった場合は、カード会社へ速やかに連絡しましょう。

カード会社の公式アプリや公式サイト、カード裏面などに記載された正規の窓口から連絡します。

利用明細も確認し、身に覚えのない決済がないかチェックしてください。

認証コードを入力・伝えてしまった場合も注意

SMSで届いた認証コードやワンタイムパスワードを偽サイトへ入力したり、第三者へ伝えたりする手口にも注意が必要です。

認証コードは、パスワードとは別の本人確認として使われる重要な情報です。

自分でログインなどの操作をしていないのに認証コードが届いた場合は、第三者がログインを試している可能性もあります。

安易に入力・共有せず、対象サービスの公式サイトや公式アプリからアカウントの状態を確認しましょう。

iPhoneで迷惑メッセージを報告する方法

iPhoneのメッセージアプリでは、不明な差出人から届いたメッセージなどについて「迷惑メッセージを報告」が表示される場合があります。

迷惑メッセージとして報告したうえで削除できます。

また、必要に応じて送信者をブロックする方法もあります。

ただし、ブロックだけですべてのスミッシングを防げるわけではありません。別の電話番号や送信元から同様のSMSが届く可能性もあります。

スミッシング被害を防ぐための対策

スミッシングは手口が変化するため、怪しいSMSの特徴をすべて暗記して見分けるのは困難です。

そこで、普段から次のルールを決めておくと被害を防ぎやすくなります。

• SMS内のリンクから重要なアカウントへログインしない
• 公式アプリや公式サイトから確認する
• サービスごとに異なるパスワードを使用する
• 2ファクタ認証・多要素認証を利用する
• 認証コードを第三者へ教えない
• iPhoneやアプリを最新の状態に保つ

「怪しいURLを見抜く」ことだけに頼らず、SMSから直接ログインしない習慣をつけることが重要です。

スミッシングはSMS内のリンクを開かず公式サービスから確認しよう

スミッシングは、宅配業者や通信会社、金融機関などを装ったSMSから偽サイトへ誘導し、パスワードやカード情報などを盗み取ろうとするフィッシング詐欺です。

最近の偽SMSや偽サイトは巧妙なものもあり、文章や送信元の表示だけで本物か偽物かを判断するのは難しい場合があります。

不審なSMSが届いた場合はリンクを開かず、公式アプリや自分で確認した公式サイトから情報を確認しましょう。

もしパスワードやカード情報、認証コードを入力してしまった場合は放置せず、パスワード変更やカード会社への連絡など、入力した情報に応じた対応を速やかに行うことが重要です。