スミッシングとは？SMS詐欺の手口・事例・対策

スマートフォンに届くSMSは、認証コード、配送通知、金融機関からのお知らせなど、日常的な連絡手段として使われています。一方で、こうした信頼感を悪用し、偽のSMSから偽サイトへ誘導する詐欺もあります。

スミッシングの意味、SMS詐欺・SMSフィッシングとの関係、よくある手口や事例、見分け方、被害を防ぐための対策を整理します。後半では、企業が正規のSMSを送るときに、ユーザーから不審なメッセージと誤解されにくくするための運用ポイントも紹介します。

スミッシングとは

スミッシングとは、SMSを使って受信者を偽サイトや偽の窓口へ誘導し、個人情報や認証情報を盗み取る詐欺手口です。SMS詐欺の代表的な手口として扱われることもあります。「Smishing」は、SMSとphishing（フィッシング）を組み合わせた造語です。

盗み取られやすい情報には、ログインID、パスワード、クレジットカード番号、暗証番号、SMS認証コード、氏名や住所などがあります。

典型的には、配送業者、金融機関、ECサイト、携帯キャリア、公的機関などを装ったSMSが届きます。メッセージ内のURLを開くと、本物に似せた偽サイトへ誘導され、ログイン情報、クレジットカード情報、認証コードなどの入力を求められることがあります。

スミッシング・フィッシング・SMS詐欺の違い

スミッシングは、フィッシング詐欺の一種です。フィッシングがメールや偽サイトなどを含む広い概念であるのに対し、スミッシングはSMSを入り口にする点が特徴です。

実際の検索やニュースでは、スミッシング、SMS詐欺、SMSフィッシングが近い意味で使われることもあります。本記事では、SMSから偽サイトや偽窓口へ誘導する詐欺を中心に解説します。

スミッシングの主な手口

ここでは、攻撃者が受信者をどのように誘導し、情報を盗み取ろうとするかという手口を整理します。スミッシングでは、緊急性、不安、報酬、アカウント停止などを強調し、受信者が冷静に確認する前にURLを開かせようとします。

• 偽サイトへの誘導：本物に似せたログイン画面や決済画面へ誘導し、ID・パスワード・カード情報を入力させます。
• 認証コードの詐取：本人確認を装って、SMS認証コードやワンタイムパスワードを入力させる場合があります。
• 不正アプリのインストール：配送確認やセキュリティ確認を装い、見知らぬアプリを入れさせようとするケースがあります。
• 電話窓口への誘導：SMS内の電話番号に連絡させ、サポートや確認手続きを装って情報を聞き出す場合があります。

スミッシングでよくある事例・文面パターン

ここでは、攻撃者がどのような企業や機関を装い、何を理由に受信者の行動を促すかを、代表的な文面のパターンとして整理します。個別企業の被害事例を示すものではありません。

• 配送通知を装う事例：不在通知や住所確認を理由に、再配達手続きのページへ誘導します。
• 金融機関を装う事例：口座の利用制限や本人確認を理由に、ログイン情報やカード情報を入力させます。
• ECサイトを装う事例：アカウント異常や支払い方法の確認を理由に、偽の会員ページへ誘導します。
• 携帯キャリアを装う事例：料金未払いや通信停止を理由に、支払い情報や契約情報を盗み取ろうとします。
• 公的機関を装う事例：税金、給付金、健康保険、マイナンバーなどを口実に、偽サイトへ誘導する場合があります。

スミッシングを見分けるポイント

不自然な日本語だけで、SMSが本物かどうかを判断することはできません。送信元、URL、要求内容、確認方法を分けて確認します。

警察庁のフィッシング対策でも、不審なSMS内のリンクを不用意に開かず、迷惑メッセージブロック機能などを活用することが案内されています。

• 送信元名や番号だけで判断しない：有名企業名や公式らしい表示があっても、本物とは限りません。見慣れない番号には注意しつつ、通知内容はSMSとは別に公式アプリや公式サイトから確認します。
• SMS内のURLをすぐに開かない：短縮URLや見慣れないドメインが使われている場合は特に注意が必要です。心当たりがある通知でも、ブックマーク済みの公式サイトや公式アプリから確認します。
• 不自然に急がせる文面に注意する：「本日中」「停止」「差し押さえ」「至急」など、強い不安をあおり、すぐに操作するよう求める内容には注意が必要です。
• 個人情報や認証コードの入力要求を疑う：SMSから開いたページで、パスワード、カード番号、認証コードなどを求められた場合は、入力せずに公式の窓口から確認します。

スミッシングに引っかかったときの対処法

必要な対処は、URLを開いただけなのか、情報や認証コードを入力したのか、不審なアプリをインストールしたのかによって異なります。URLを開いただけで必ず被害が発生するとは限りませんが、リンク先が安全という意味ではありません。アクセスを続けたり、画面の指示に従って情報を入力したり、アプリをインストールしたりすると、被害につながるおそれがあります。次のうち、自分の状況に当てはまる項目から確認してください。

• URLを開いただけの場合：それ以上操作せず、情報を入力しないままページを閉じます。IPAは、同資料で扱う偽SMSの手口について、偽サイトにアクセスしても、その後に操作や情報入力、アプリのインストールをしていなければ被害にはつながらないと案内しています。ただし、リンク先が安全という意味ではありません。再度開かず、公式アプリや公式サイトから利用状況を確認します。
• ID・パスワードを入力した場合：正規サイトからすぐにパスワードを変更し、同じパスワードを使っている他サービスも確認します。
• カード情報や口座情報を入力した場合：カード会社や金融機関へ連絡し、利用停止、不正利用の確認、再発行などを相談します。
• 認証コードを入力した場合：アカウントのログイン履歴や取引履歴を確認し、必要に応じてサービス提供元へ連絡します。
• 不審なアプリを入れた場合：特にAndroid端末では、まず機内モードに設定し、Wi-Fiも切って通信を止めます。IPAの偽SMSで不正なアプリをインストールした場合の対処を確認し、アプリの削除や端末の初期化が必要か、携帯キャリアや端末メーカーの窓口へ相談します。

フィッシングと思われるメールやSMSを受け取った場合は、フィッシング対策協議会の報告窓口に情報提供する方法もあります。ただし、カード情報や口座情報を入力してしまった場合は、まずカード会社や金融機関など、被害に関係する窓口への連絡を優先してください。

スミッシング被害を防ぐための対策

スミッシング対策では、「怪しいSMSを見抜く」だけでなく、「怪しいSMSに触れる機会を減らす」ことも重要です。端末や携帯キャリアが提供する迷惑SMS対策機能もあわせて確認しましょう。

• 公式アプリ・公式サイトから確認する：SMS内のリンクではなく、公式アプリ、ブックマーク済みの公式サイト、または普段利用している正規のログイン画面から確認します。
• 迷惑SMS対策機能を確認する：携帯キャリアやスマートフォンには、迷惑SMSや危険なSMSを判定・ブロックする機能があります。NTTドコモのSMS拒否設定、auの迷惑SMSブロック、ソフトバンクのSMSの迷惑メール拒否設定、楽天モバイルの迷惑SMS拒否設定など、利用中の回線で設定できる対策を確認しておくと安心です。
• 多要素認証（MFA）を設定する：パスワードだけに依存せず、認証アプリや生体認証などを組み合わせます。
• 認証コードを他人に伝えない：SMSで届いたワンタイムパスワードや認証コードは、第三者に共有しないようにします。

企業がSMSを送るときに誤解されにくくするポイント

企業が正規のSMSを送る場合も、ユーザーから見ると不審なSMSと区別しにくいことがあります。企業はスミッシングそのものを完全に防げるわけではありませんが、自社の正規SMSをユーザーが見分けやすくすることはできます。

そのため、SMS配信では到達率だけでなく、受信者が安心して確認できる設計が重要です。

• 公式サイトにSMS送信ルールを掲載する：どの用途でSMSを送るのか、どの送信元番号・送信元名・ドメインを使うのかを案内しておくと、ユーザーが判断しやすくなります。送信元表示の基本は、SMS送信者IDの解説でも整理しています。
• URLのドメインを統一する：短縮URLや見慣れないドメインを避け、ユーザーが公式と判断しやすいURLを使います。
• SMSで求める操作を限定する：パスワードやカード情報の直接入力を求めるSMSは避け、公式アプリや公式サイトでの確認に誘導します。
• 配信内容をテンプレート化する：部門ごとに文面がばらつくと不審に見えやすいため、用途別にテンプレートを管理します。
• 送信ログと頻度を管理する：同じ内容を短時間に繰り返したり、用途に合わない頻度で送ったりすると、受信者が正規の案内か判断しにくくなります。配信頻度と送信履歴を確認できる状態にします。

EngageLabで正規SMSの運用を管理する

EngageLab SMS では、正規SMSの文面をテンプレートで管理し、送信履歴や配信結果を確認できます。認証コードや各種通知を継続して送る場合は、用途ごとの文面と配信状況を確認できる運用体制が重要です。

スミッシング対策そのものを企業だけで完全に防ぐことはできません。しかし、自社の正規SMSについて、送信元、文面、URL、頻度、ログを一貫して管理すれば、ユーザーは公式連絡かどうかを確認する手掛かりを持てます。その結果、不審なSMSとの混同を抑えられます。

SMS配信や認証コード送信の運用を見直したい場合は、EngageLabのSMS関連機能をご確認ください。

スミッシングに関するよくある質問

SMSを開くだけで感染しますか？

一般的なスミッシングでは、SMSを受信したり本文を開いたりしただけで、直ちに端末が感染するわけではありません。IPAは、同資料で扱う偽SMSの手口について、偽サイトにアクセスしても、その後に操作や情報入力、アプリのインストールをしていなければ被害にはつながらないと案内しています。ただし、SMS内のリンク先が安全という意味ではありません。URLは開かず、すでに開いた場合はそれ以上操作せずにページを閉じてください。

怪しいSMSが届いたらどうすればよいですか？

SMS内のURLを開かず、公式アプリや公式サイトから直接確認してください。不安な場合は、SMSに書かれた電話番号ではなく、公式サイトに掲載されている窓口から確認します。

スミッシングに引っかかった場合、どこに相談できますか？

入力した情報の種類によって相談先は異なります。カード情報や口座情報を入力した場合はカード会社や金融機関へ連絡し、金銭被害や不安がある場合は警察庁のサイバー事案に関する相談窓口や警察相談専用電話「#9110」、消費者ホットライン「188」などの公的窓口も確認してください。

まとめ

スミッシングは、SMSを悪用したフィッシング詐欺です。配送通知、金融機関、ECサイト、携帯キャリア、公的機関などを装い、偽サイトへ誘導して個人情報や認証情報を盗み取ろうとします。

利用者側では、SMS内のURLをすぐに開かず、情報を入力する前に公式アプリや公式サイトから確認することが大切です。

企業側では、自社の正規SMSの送信元、URL、文面、頻度を管理し、ユーザーが安心して確認できるSMS運用を整えることが重要です。