スミッシング詐欺とは何か、典型的な手口と対処法解説

宅配業者や金融機関、携帯キャリア、官公庁などを名乗るSMSが突然届き、「支払い確認」「不在通知」「アカウント停止」といった言葉で焦らせるケースが増えています。

SMSは日常的に使う連絡手段のため、メールよりも警戒が緩みやすく、思わずURLを開いてしまうことがあります。

一度でも偽サイトに誘導されると、入力した情報が悪用されて被害拡大の恐れがあります。さらに、慌てて操作を進めると状況の確認が難しくなり、適切な手当てが遅れることもあります。

そこで本記事では、スミッシング詐欺の仕組みと典型的な手口、見分けるポイント、受信後から情報入力後までの状況別対処法を、手順付きで解説します。

スミッシング詐欺とは

スミッシング詐欺とは、SMS（ショートメッセージ）でURL付きメッセージを送り、偽のログイン画面や偽の手続き画面へ誘導して、ID・パスワード、氏名・住所、クレジットカード情報などを盗み取る詐欺です。フィッシング詐欺の中でも、SMSを入口にする点が特徴です。

盗み取られた情報は、アカウント乗っ取り、不正購入、不正送金、カードの不正利用などに悪用される可能性があります。個人だけでなく、業務用アカウントが狙われた場合は、企業ネットワークへの侵入の足がかりになることもあります。

スミッシング詐欺の手口

スミッシング詐欺は、SMSを入口にして偽サイトへ誘導する流れが基本です。代表的なパターンを整理します。

宅配業者の不在通知を装って偽サイトへ誘導

「不在通知」「再配達の確認」といった文面でURLをタップさせ、偽の再配達手続きページに誘導します。手続きの途中で住所や氏名、追加料金の支払いを求め、カード情報の入力に繋げるケースがあります。

金融機関やカード会社を名乗り「支払い確認」で焦らせる

「利用確認」「不正利用の疑い」「支払いが確認できない」などの名目で、緊急にログインが必要だと思わせます。偽サイトで入力したID・パスワードが盗まれると、口座の不正操作やカードの不正利用に繋がる可能性があります。

ECサイトや携帯キャリアを名乗り「アカウント停止」を告げる

「アカウントが停止されます」「本人確認が必要です」といった文面で、偽のログイン画面に誘導します。認証情報を盗まれると、購入履歴の悪用、ポイントの不正利用、登録情報の変更などが起きることがあります。

偽ログイン画面でID・パスワードを入力させる

本物そっくりのログイン画面を用意し、入力欄に誘導します。特に、同じパスワードを使い回している場合は、他サービスの不正ログインに連鎖しやすくなります。

偽アプリ配布やプロファイル導入で端末を危険にさらす

URL先で「アプリの更新」「セキュリティ設定」などと称し、アプリのインストールや構成プロファイルの導入を促す場合があります。端末に不審なアプリや設定が入り込むと、入力情報の窃取や不審な通信に繋がる可能性があります。

スミッシング詐欺で起こり得る被害とリスク

スミッシング詐欺は「入力した情報の種類」によって被害が変わります。想定されるリスクを先に把握しておくと、優先順位を付けやすくなります。

アカウント乗っ取りと不正ログイン

ID・パスワードが盗まれると、対象サービスだけでなく、同じパスワードを使っている他サービスにも不正ログインされる可能性があります。メールやSNSが乗っ取られると、本人になりすました連絡が送られ、周囲の人も被害に巻き込まれることがあります。

クレジットカードの不正利用

カード番号、有効期限、セキュリティコードなどを入力してしまうと、オンライン決済で不正利用される恐れがあります。少額のテスト決済の後に高額利用に繋がるケースもあるため、早期の確認が重要です。

不正送金などの金銭被害

銀行口座や決済サービスの認証情報が盗まれると、不正送金や不正出金に繋がる可能性があります。被害が発生している場合は、まず金融機関側の手続きが優先になります。

個人情報の悪用と二次被害

氏名・住所・電話番号などが渡ると、別の詐欺への誘導、なりすまし申込み、追加のスミッシング送信などに悪用されることがあります。被害が落ち着いた後も、同種のSMSが届くケースがあります。

業務用アカウント経由の侵入リスク

業務で使うメールやクラウドの認証情報が盗まれた場合、社内共有データの閲覧や不正送信に繋がる可能性があります。個人の端末が入口になって、業務へ波及する点に注意が必要です。

スミッシング詐欺を受信したときの対処法

状況別に「優先すべき行動」を整理します。大切なのは、焦ってURLを開いたり入力したりしないことと、すでに操作した場合は被害拡大を止める順番で動くことです。

URLを開いていない場合は削除し受信拒否を設定する

心当たりがないSMSは、URLをタップせず削除するのが安全です。同じ番号や似た文面が繰り返し届く場合は、受信拒否や迷惑SMS設定も有効です。返信はせず、記載の連絡先に電話しないほうが安全です。

URLを開いた場合はブラウザを閉じ通信を見直す

URLを開いただけで入力をしていなくても、偽サイトにアクセスした事実は残ります。まずはブラウザを閉じ、不要なタブを残さないことが重要です。端末に不審な設定が入っていないかを確認するため、通信やインストール状況も落ち着いて見直してください。

ID・パスワードを入力した場合は認証情報を直ちに変更する

偽サイトにID・パスワードを入力した場合は、正規アプリまたは正規サイトからログインし、すぐにパスワードを変更してください。二要素認証を有効にできるサービスは必ず有効化し、使い回しがある場合は他サービスも変更が必要です。

カードや口座情報を入力した場合は金融機関へ連絡する

カード情報や銀行口座情報を入力した場合は、カード会社や金融機関へ連絡し、利用状況の確認と不正利用監視、必要に応じて利用停止や再発行を進めます。時間が経つほど被害が広がる可能性があるため、後回しにしないことが大切です。

不審なアプリやプロファイルが疑われる場合は端末を確認する

「アプリを入れてしまった」「許可を求められて許可した」といった場合は、端末側の設定確認が重要です。誤って削除や初期化を急ぐと、後から確認に必要な情報が揃わないことがあります。まずは現状を把握して、必要な対処を選んでください。

詳しく調べる際はフォレンジック調査会社に相談を