スミッシング
Smishing
概要（サマリー）
スミッシングとは、ショートメッセージ（SMS）で偽の案内を送り、リンクや電話番号へ誘導して情報を盗むフィッシングである。
SMS と phishing を組み合わせた呼び名である。
宅配の不在通知や、口座の異常を知らせる短い文が、スマホの通知欄に届く。
開くとフィッシングサイトへ進み、パスワードやカード番号の入力を求められる。
詳細解説
短い文で、今すぐ押させる
SMS は画面が狭く、差出人の詳しい情報が見えにくい。
「再配達はこちら」「未払いがあります」「不正利用を止めてください」のように、短い文で急がせる。
ソーシャルエンジニアリングのうち、メッセージの短さと通知の目立ちやすさを使う手口である。
警察庁は、携帯電話会社、宅配、銀行をかたった SMS で偽サイトへ誘導する事例を多数確認している、と案内している。
届いたこと自体は、自分の番号が特別に狙われた証拠とは限らない。同じ文面が広く送られていることもある。
送信元が、普通の携帯電話番号のこともある。
警察庁の資料では、スミッシングのメッセージの大部分が、マルウェアに感染したスマートフォンから送られていると分析されている。
見知らぬ個人の番号から届いたことは、安全の証拠にも、送り主本人の悪意の証拠にもならない。
偽サイトで不正なアプリを入れてしまうと、今度は自分のスマホが同じ SMS の送り元にされることがある。
「アプリを更新してください」と誘導され、公式ストア以外からアプリを入れるよう求められたら、そこで止める。
リンクの文字だけでは判別しにくい
本文のURLは短縮されていたり、本物に似たドメインだったりする。
表示された文字と、実際に開く先が違うこともある。
そのため、文面のリンクをタップして本物かどうか判断するのは難しい。
警察庁は、金融機関が ID やパスワードなどをメールや SMS で問い合わせることはない、と説明している。
他のサービスでも、SMS のリンク先でパスワードを入れさせる案内は、まず疑ってよい。
ログインが必要なら、メッセージのリンクではなく、公式アプリや自分で登録したブックマークから開く。
認証コードを人に渡す流れ
ログインの二要素認証では、SMS に届く番号をそのサービスの画面へ自分で入力することがある。
スミッシングでは、その番号を「確認のため」と電話や別の画面で聞き出し、本人の代わりにログインしようとする。
番号が届いた理由を、自分でそのサービスへログインした覚えがあるかどうかで切り分ける。
身に覚えのない番号を、電話の相手やメッセージの指示先へ読み上げない。
電話で同じ内容を続けて聞いてくる場合は、ビッシングと組み合わさっている。
SMS を開いたあと、記載の番号へかけ直す必要はない。公式アプリや、契約書に書いてある窓口を使う。
開いてしまったとき
リンク先で ID やパスワード、カード番号を入力してしまった場合は、そのサービスに自分でログインし、パスワードを変える。
同じパスワードを他でも使っているなら、そちらも別のパスワードへ変える。
入力したのがカード情報なら、カード会社の案内に従って利用停止や補償の相談をする。
偽サイトを見つけた場合、警察庁は URL を「フィッシング110番」へ通報するよう案内している。
フィッシング対策協議会も、届いたフィッシングの報告を受け付けている。
被害に遭った場合は、最寄りの警察署やサイバー事案の相談窓口へ連絡する。
届きにくくする設定
携帯電話会社が提供する迷惑メッセージの拒否機能を使うと、届く数を減らせることがある。
OS やアプリを更新し、知らない案内から設定画面へ進まないことも基本になる。
フィルタを入れていても、文面のうまさは時期によって変わる。最後の確認は、リンクを押す前に公式の入り口へ戻ることである。
自分のサービスが送る SMS と、偽の SMS
正規のサービスも、配送やログインの案内を SMS で送る。
だから「SMS が来たこと」自体は危険の証拠にならない。
危険なのは、本文のリンクからログインやカード番号の入力へ進むことである。
自分のサービスから SMS を送る側なら、文面に秘密の入力を求めない。
「アプリを開いて確認」と書き、短縮リンクだけに頼らない。
利用者が公式アプリの通知と、見知らぬ SMS を比べられるようにする。
届いた SMS を家族や同僚に転送して「これ本物？」と聞くときも、リンクを一緒に踏ませない。
判断に迷う文面は、リンクを開かずに削除してよい。
AIコーディングとの関係
自分のサービスから利用者へ SMS を送る場合、文面がスミッシングと見分けにくくないかを確認する。
AI には「この通知文を、利用者が公式アプリ以外のリンクを押さなくて済む書き方に直してください」と頼める。
短縮 URL や、パスワード、認証コードの転送を求める文は、正規の通知でも危険な案内に見える。
AI が提案した文面を採用する前に、リンク先が自分のドメインか、コードを第三者へ渡させていないかを見る。
テスト用の電話番号や、本番の認証コードを AI との会話に貼らない。
よくある勘違い
携帯会社の名前が書いてあれば本物？
差出人名や文面は偽装できる。
会社名があることと、リンク先が公式であることは別である。公式アプリやブックマークから開き直す。
SMS はメールより安全？
届く場所が違うだけで、誘導の目的はフィッシングと同じである。
短いから確認しやすい、とは限らない。情報が足りないぶん、急いで押しやすい。
届いた番号を相手に伝えれば本人確認になる？
認証コードは、自分がそのサービスの画面へ入力するためのものである。
電話や別のメッセージで読み上げるよう求められたら、手続きを止める。
まとめ
- スミッシングは、SMS で偽サイトや電話番号へ誘導するフィッシングである。
- 宅配、料金、口座の異常など、短い文で急がせる形が多い。
- 本文のリンクは開かず、公式アプリやブックマークからアクセスする。
- 身に覚えのない認証コードは、人に読み上げない。
情報ソース
より詳しくAIに聞いてみよう
- スミッシングを、宅配の不在通知がスマホに届く場面で説明してください。
- メールのフィッシング、スミッシング、ビッシングの違いを整理してください。
- SMS に届いた認証コードを、人に伝えてよい場合と伝えてはいけない場合を教えてください。
- 自分のサービスが送る SMS 通知を、偽の案内と見分けやすい文面にする指示を作ってください。
- 通知文のリンク先を確認するとき、AI に本番の URL や認証コードを貼らない方法を教えてください。