SMSを悪用したフィッシング詐欺「スミッシング」
まずは、SMSを悪用したフィッシング詐欺である「スミッシング」が増えている理由を解説します。
スミッシングとは
スミッシングは、「SMS」と「フィッシング詐欺」を結びつけた造語です。
「SMS（ショートメッセージサービス）」はスマホなどのモバイル機器のメッセージ機能であり、これを利用して、個人情報を抜き取るフィッシングサイトへと誘導する「フィッシング詐欺」がスミッシングです。
スミッシングの仕組みは、まず企業が個人に対してメッセージを送っているかのように見せかけてURLをタップするように誘導します。このリンク先が正規のサイトと似たような見た目をしており、個人情報やクレジットカード番号などを入力させ、情報を盗みとります。
フィッシング詐欺のSMSバージョンが「スミッシング」だと認識しておきましょう。
スミッシングが増えている理由
スミッシングが増えている理由は、SMS認証を使用した二段階認証およびスマホの普及だと考えられています。
昨今では、オンラインサービスやネットショッピングなど、ネット上の手続きが普及しており、セキュリティ向上のためにSMS認証と組み合わせた二段階認証を導入する会社が増えています。
そして二段階認証を利用する際、SMSに認証用コードが届き、以前よりもSMSを目にする機会が多くなったからこそ、フィッシングサイトに誘導するメッセージが増えたと考えられます。
SMSではなく一般的なメールの場合、無視されることが多く、迷惑メール対策も万全となっているため、昨今ではフィッシングサイトに誘導するメッセージが効果的とはいえません。文面やメールアドレスを見ただけで、「おかしい」「詐欺」と感じる人も多いです。
しかしSMSは、一般的なメールよりも開封率が高く、電話番号さえ把握すればすぐにメッセージを送れる手軽さがあり、フィッシング詐欺を仕掛けやすいのです。
SMSを悪用したフィッシングの事例
フィッシングは、さまざまな企業や組織のふりをして、個人情報を抜き取ろうとします。ここでは、大手金融機関や宅配業者、通信事業者、通販サイトを装う手口を紹介します。自分に届いたSMSが当てはまるのか、確認してみてください。
大手金融機関を装う手口
三井住友銀行やりそな銀行といった大手銀行などの金融機関を装い、次のような内容のメッセージを送り、偽サイトに誘導する手口があります。
- セキュリティ向上
- 契約しているカードの再発行
- カード発行の際に手続きにミスがあった
偽サイトに、インターネットバンキングのID・パスワードを入力してしまうと、不正振込などに使われてしまいます。
宅配業者を装う手口
クロネコヤマトや佐川急便などの宅配業者を装い、不在通知のメッセージを送信するケースもあります。添付されたURLを開くと「なりすましサイト」に飛び、個人情報の入力を求められたり、添付ファイルを開くとウィルスに感染したりする被害があります。
また、なりすましサイトの「インストール」「ダウンロード」ボタンなどをクリックすると、不正なアプリがインストールされてしまい、スマホ内の情報が抜き出されてしまいます。身に覚えのない不在通知のメッセージには注意が必要です。
通信事業者を装う手口
ソフトバンクやドコモ、auといった通信事業者を装い、詐欺を仕掛けるケースも珍しくありません。具体的には、次のような手口があります。
- セキュリティ強化サービスを装い偽サイトに誘導
- 偽サイトで不正アプリをダウンロードさせようとする
- キャリア決済方法のログインパスワード入力を求める
不正なアプリをダウンロードしてしまうと、すでにあるアプリを不正なものに置き換えられ、ログインするためのID・パスワードを盗みとられてしまいます。
通販サイトを装う手口
Amazonや楽天などの通販サイトを装う手口もあります。具体的には、「月額料金が未納となっている」といった架空請求や、不正ログイン・アカウントエラーがあったという内容のメッセージを送信し、偽サイトに誘導する手口などです。
また、偽サイトにアクセスすると、ログイン情報やクレジットカード情報など個人情報が抜き取られてしまう可能性があるでしょう。
フィッシングの被害を防ぐための対策・見分け方
フィッシングの被害を防ぐための対策・見分け方は、次の通りです。
- 送信元を確認する
- URLを確認する
- カスタマーサポートに問い合わせる
詐欺に遭わないために、対策や見分け方を理解しておきましょう。
送信元を確認する
端末に表示される送信元を確認することで、フィッシングなのかそうではないのか、わかることもあります。例えば、次のような送信元の場合、フィッシングである可能性があります。
- 「AMAZONなど」のアルファベット表記
- 「+１・・・」などの海外TEL番号
- 「03」「0120」ではない携帯電話番号
企業が正規なやり方でSMSを送っている場合、「03」「0120」など会社が保有している番号を送信元にしているケースが多いです。そのため、「080」「090」など一般的な携帯電話番号からの送信には、注意が必要です。
また多くの会社では、ホームページにSMS送信の送信元番号を載せているため、見慣れないSMSが届いた場合は、その番号を検索してみると良いでしょう。
URLを確認する
SMSに届いたURLをチェックすることも、フィッシングの被害を防ぐための対策・見分け方です。
「商品を購入した覚えがある」「このURLに身に覚えがある」といった場合も、すぐにクリックしないようにしましょう。なぜなら、フィッシング詐欺は、ユーザーにとって身に覚えのあるURLを利用するケースがあるからです。正規のURLに似せることで、ユーザーを誤解させ、個人情報などを抜き取ろうとします。
対策としては、公式のURLと比較して、URLが本物かどうか必ず確認することです。会社によっては、ホームページに正しいURLとそうではない偽のURLを掲載しているため、検索して調べるようにしましょう。
カスタマーサポートに問い合わせる
送信元やURLを確認しても、正規のメッセージかどうか判断できない場合は、会社のカスタマーサポートに問い合わせることもおすすめです。
また、メッセージの文面が、適切な日本語になっているかどうかも、ひとつの判別基準です。次のような文面の場合は、注意が必要です。
- よくわからない記号の羅列
- 日本語の使い方に誤りが多い
しかしながら昨今では、自然な文面になっているパターンも多いため、おかしいと思った際はカスタマーサポートやコールセンターに問い合わせ、正規のメッセージだと判断できた場合のみ、SMSに記載されているURLをクリックしましょう。
万が一クリックしてしまったら
誤ってURLをクリックしてしまった場合の対処法は、次の通りです。
- 速やかに閉じて安全性を確認
- ウイルススキャンを実施
ここでは、こうした万が一クリックしてしまった時の対処法と個人情報を入力してしまった場合の対応について紹介します。
速やかに閉じて安全性を確認
フィッシングのURLにアクセスしてしまった場合は、速やかに閉じて安全性を確認しましょう。メッセージの内容や件名を検索し、同じような注意喚起情報や報告事例がなければ、問題ありません。
基本的に、URLにアクセスした後に個人情報を渡さなければ、大きな被害に遭いませんので、不正なサイトかもしれないと判断した時点で速やかにサイトを閉じましょう。
ウイルススキャンを実施
詐欺SMSだった場合、万が一に備えてマルウェアの駆除を行いましょう。特に添付ファイルを開いてしまった場合は、マルウェア感染してしまい、内部データを盗まれてしまう恐れがあるため、ウイルススキャンを実施することをおすすめします。
ウイルススキャンを実施するためには、スマホの場合、テザリング機能をオフにして通信回線に直接接続し、対策ソフトを最新にアップデートしてからスキャンを始めると安心です。
万が一マルウェアが検出されてしまった場合は、ウイルス対策ソフトの指示に従い対処しましょう。
Androidのウイルススキャンの方法
Androidのウイルススキャンの手順は次の通りです。
- ホーム、もしくはアプリ画面で「マイセキュア」をタップ
- 「今すぐ脅威をスキャン」をタップ
- スキャン開始
- スキャン完了
iPhoneのウイルススキャンの方法
iPhoneなどiOSにはウイルススキャンの機能はありません。しかし、ウイルスに感染しているかチェックする方法はあります。その手順は以下の通りです。
- iPhoneのネットをすべて切断
- ホーム画面を点検する
- 複数のアプリを起動し、通常通りに動くか確認
- ストレージ使用量・バッテリー消費量をチェック
この手順で問題があった場合、まずはiPhoneを再起動しましょう。再起動しても不具合がある場合は、初期化も視野に入れる必要があります。
個人情報を入力してしまった場合
サイトにアクセスし、案内に従って銀行口座やクレジットカードに関する情報を入力してしまった場合、その金融機関やクレジットカード会社にすぐに連絡しましょう。会社によって条件などが異なりますが、損害が補償される可能性があります。
また、SNSやWebサービスのアカウント情報を入力した場合は、アカウントの乗っ取りなどが起きていないかも確認しておきましょう。アカウントが乗っ取られている場合、勝手にSNSなどを操作されてしまい、大きな被害を受ける可能性もあるかもしれません。
アカウントが乗っ取られログインできない場合、パスワードが変更されている可能性があるため、パスワードの再発行を行いアカウントを取り戻します。
SNSやWebサービスのアカウントを乗っ取られ、実際に被害があった場合は警察庁の「サイバー犯罪相談窓口」に連絡しましょう。
正しい知識でフィッシングの被害を防ごう
「SMS」と「フィッシング詐欺」を結びつけた造語である「スミッシング」の被害は、SMS認証を使用した二段階認証およびスマホの普及によって、増加傾向にあります。
具体的にスミッシングとは、スマホなどのメッセージ機能を利用して、個人情報を抜き取るフィッシングサイトへと誘導する「フィッシング詐欺」のことです。大手金融機関や宅配業者、通信事業者、通販サイトなどを装い、個人情報を抜き取ろうとします。
こうしたフィッシングの被害を防ぐための対策・見分け方は、送信元やURLを確認する、もしくは、カスタマーサポートに問い合わせることです。誤ってURLをクリックしてしまった場合は、速やかに閉じて安全性を確認し、ウイルススキャンを実施しましょう。
正しい知識があればスミッシングのリスクは下げられます。詐欺の可能性があるということを念頭に置いておいておくのがおすすめです。
