スミッシングとは？手口・被害事例・効果的な対策を徹底解説

スミッシングの仕組み

ほとんどのスミッシングでは、フィッシングメールのような形式が用いられます。送信されるメッセージには緊急性や重要性を装った内容が含まれており、受信者を焦らせてリンクをクリックさせるよう促します。

特に金融機関や通信事業者を装ったメッセージが多く、これらは個人情報や口座番号の入力を求めてくるため注意が必要です。

デバイスの乗っ取り

スミッシングによる被害の1つに、デバイスの乗っ取りがあります。攻撃者はマルウェアを用いてデバイスを遠隔操作し、被害者の知らない間に犯罪行為を行います。

また、乗っ取られたデバイスからは個人情報が漏洩したり、さらなる詐欺メッセージが拡散されたりする危険性もあります。

口座登録による不正課金

個人の口座情報の盗難による不正課金のリスクも考えられます。攻撃者は盗んだ情報を悪用し、受信者の口座から無断で金銭を引き出したり、その情報を他の詐欺に利用したりします。

これらの情報をメールやSMSで求められた際は、特に注意が必要です。予期せぬ金銭的損失に繋がり、取り返しのつかない状況に陥る可能性があります。

個人情報・データの盗聴

スミッシングでは、個人情報やデータの盗聴も一般的な被害として挙げられます。攻撃者は盗聴を通じて得た情報を不正に利用し、被害者のプライバシーを侵害するだけでなく、詐欺や犯罪に利用するケースがあります。

盗まれた個人情報は被害者だけでなくその家族や知人にも影響を及ぼし、広範な被害を引き起こす可能性があります。

大手​ECサイト​の装い

Amazonや楽天など、大手ECサイトの名前を騙り、偽のキャンペーンや注文確認と称してスミッシングを行う事例が報告されています。「アカウントの支払い方法を確認できず、注文が完了できませんでした」といった文面のSMSが届き、特定リンクへの誘導が行われます。

リンクをクリックしてしまうと、その先でアカウント情報が盗まれてしまい、個人情報の漏洩や金銭的被害が発生する恐れがあるため注意が必要です。

実際に、大手ECサイトを装ったスミッシングにクレジットカード番号を入力し、気付かない間に数万円の決済が行われていたというケースが報告されています。

有名宅配業者の不在通知

ヤマトなどの有名宅配業者を装った偽の不在通知でユーザーを騙す手口も、スミッシングの事例として多く見られます。2020年には国民生活センターが「宅配便業者を装った『不在通知』の偽SMSに注意しましょう－URLにはアクセスしない、ID・パスワードを入力しない！－」というタイトルで注意喚起を行っています。

具体的な手口としては、「やまと運輸よりお荷物を発送しましたが、宛先不明です。下記よりご確認ください。」などのSMSが届き、特定リンクへの誘導が行われます。

佐川急便・ヤマト運輸・日本郵政の3社は「SMSによる案内は行っていない」と公式サイトで明言していることから、有名宅配業者の不在通知がSNSで届いても絶対に応じてはいけません。

携帯キャリアの未納通知

docomo、au、SoftBankなど、携帯キャリアを装った未納通知がSMSで届くパターンもあります。このケースでは、「未払い料金のお知らせ」といった文面で支払いを促してくる手口が主流です。

その際、SMSに添付されたリンクをクリックしてしまうと、クレジットカード番号や暗証番号、パスワードなどを求められ、不正決済が行われる可能性があるため注意が必要です。

2019年には国民生活センターが「携帯電話会社をかたる偽ＳＭＳにご注意！‐あなたのキャリア決済が狙われています‐ 」というタイトルで注意喚起を行っています。

URLを公式サイトと見比べる

スミッシングから身を守るための1つの対策として、受信したSMSのURLを公式サイトのものと照らし合わせる方法が挙げられます。この方法により、攻撃者が偽造した不正なリンクを識別することができます。

公式サイトと異なるURLが含まれている場合、そのリンクは詐欺目的である可能性が高いためアクセスは避けるべきです。すぐにSMSを削除するなどの対処が求められます。

URLを無闇にクリックしない

スミッシングの被害を防ぐためには、知らない発信者からのリンクを無闇にクリックしないことが重要です。SMSで添付されているリンクは詐欺である可能性があるため、基本的にはクリックしないことが推奨されます。

リンクの内容が気になる場合は、必要に応じて関連する公式機関や企業に確認を取るようにしましょう。

問い合わせや個人情報の入力は公式サイトから行う

スミッシングの攻撃者はSMSを通じて偽のリンクを送信し、ユーザーを詐欺サイトに誘導しようとします。これを防ぐため、問い合わせや個人情報の入力は必ず公式サイトから行うようにしましょう。

SMSを介したリンクではなく、直接ブラウザから公式サイトにアクセスする習慣を身につけることが大切です。この手順を踏むことで、偽のサイトへの誘導を防ぎ、個人情報の漏洩を避けることに繋がります。

スミッシングによる手口を社内で共有する

組織全体でスミッシングの対策を講じることも重要です。スミッシングの手口や対策を社内で共有することにより、従業員の意識を高め、社内全体のセキュリティを強化できます。

定期的な情報共有とトレーニングを実施することで、従業員1人ひとりがスミッシングの脅威に対する理解を深め、警戒心を持つことが可能となります。

セキュリティ対策ソフトを導入する

セキュリティ対策ソフトウェアの導入は、スミッシングのリスクを軽減するのに有効です。対策ソフトには攻撃の検知機能が備わっているため、不正なリンクやマルウェアの検出に役立ちます。

対策ソフトによってはコンサルティングサービスも提供されており、必要に応じてスミッシングやフィッシング詐欺などの相談を行えます。

【関連記事】企業が取り組むべきセキュリティ対策とは？重要性や対策内容を解説