30秒で分かる結論
偽SMSを見た目で見分けるのは、もう現実的ではありません。
確実なのは、SMSやメールのリンクからはログインしないという習慣です。用件が本当なら、公式アプリやブックマークから自分でアクセスすれば必ず確認できます。
まず初めに
結論から言う。もう「見分けよう」とするのはやめろ。偽サイトの作り込みは、素人の目視チェックで太刀打ちできる段階をとっくに過ぎている。見分ける努力は、負ける勝負に時間を使っているだけだ。リンクを踏まない。それだけでいい。※個人の感想です
何が起きているのか
宅配便の不在通知、通信料金の未納、金融機関からの警告などを装ったSMSが継続的に送られています。
リンク先は本物とほとんど区別がつかない偽サイトで、入力したIDとパスワード、カード番号がそのまま攻撃者に渡ります。デザイン、ロゴ、文面のいずれをとっても、正規のサイトと並べて比較しない限り違いに気づけないほど精巧に作られているケースが珍しくありません。
なぜ重要なのか
SMSは、送信元の表示名を偽装されることがあります。
その結果、本物の通知が並んでいるスレッドの中に、偽物が混ざって表示されることがあります。過去のやり取りと同じ場所に出てくるため、本物だと思い込みやすくなっています。これは利用者の注意力の問題ではなく、SMSという仕組み自体が持つ弱点です。どれだけ注意深い人でも、同じスレッドの中に本物と偽物が並んでいれば、見分けるための手がかりはほとんど残りません。
私たちへの影響
だまされた場合に起きることは、入力した情報によって変わります。
- IDとパスワードを入力した場合 — アカウントを乗っ取られる
- カード番号を入力した場合 — 不正利用される
- アプリをインストールさせられた場合 — 端末内の情報を抜き取られ、さらに他人へ同じSMSを送る踏み台にされる
3つ目の「踏み台にされる」が特に厄介です。自分が被害者であると同時に、次の被害を広げる加害者側の役回りを、意図せず引き受けることになります。
見分けようとしないための3つの習慣
見分ける技術を磨くより、そもそも判断が必要ない状態を作るほうが確実です。
- SMS内のリンクは開かない。宅配の確認は宅配業者の公式アプリ、支払いの確認は該当サービスの公式アプリから行う
- 急かす文面は疑う。「24時間以内」「本日中」といった時間の圧力は、確認する時間を与えないための手口である
- 提供元不明のアプリを入れない。Androidで「提供元不明のアプリを許可」を求められたら、その時点で中止する
この3つに共通しているのは、いずれも「その場で考えて判断する」ことを求めていない点です。あらかじめ決めたルール通りに行動するだけで、判断ミスの入り込む余地をなくせます。
なぜ「急かす文面」が効くのか
「24時間以内に手続きしないと利用停止」といった文面は、単なる脅し文句ではありません。人は時間の制約を突きつけられると、普段なら気づくはずの違和感を確認する余裕を失いやすくなります。この心理的な圧力こそが、詐欺の文面が一貫して「急がせる」構成になっている理由です。逆に言えば、急かされた瞬間こそ、いったん手を止めて確認する価値があります。
パソコンとスマホ、両方で同じ習慣を
この習慣は、スマートフォンだけでなくパソコンでのメール利用でも同じです。銀行やクレジットカード会社を装ったメールでも、リンクの誘導先は同じ仕組みの偽サイトであることが多く、SMSかメールかという媒体の違いは本質ではありません。「知らないリンクは開かず、公式アプリ・ブックマークから確認する」というルールは、どちらの環境でも共通して使えます。媒体ごとに別のルールを覚える必要はなく、一つの習慣を徹底するだけで十分です。
初心者が知っておくべきこと
すでに入力してしまった場合は、次の順番で対応してください。
- 該当サービスのパスワードを、公式アプリやブックマークから変更する
- 同じパスワードを使っている他のサービスも変更する
- 二段階認証を設定する
- カード情報を入力した場合は、カード会社へ連絡して利用停止を依頼する
気づいた時点で対応すれば、被害を抑えられることは多くあります。恥ずかしさから対応が遅れるほうが損失は大きくなります。誰にでも起こり得ることであり、対応の速さが被害の大きさを左右する場面では、恥ずかしさを理由にした先延ばしが一番の敵になります。「引っかかった自分が悪い」と一人で抱え込むより、まず手を動かして被害を止めることを優先してください。
なぜこの手口は無くならないのか
スミッシング（SMSを使ったフィッシング）が続く理由は単純です。大量のSMSを機械的に送るコストは非常に低く、その中のごく一部でも引っかかれば、攻撃者にとっては割に合う取引になるからです。宅配便や金融機関を装う内容が使われ続けているのも、誰もが日常的に利用しているサービスであるほど、心当たりのある人に当たる確率が上がるためです。個人の側でどれだけ注意しても、この手口自体が完全になくなることは考えにくく、だからこそ「リンクを開かない」という行動のルールを先に決めておくことが重要になります。
家族や周囲に伝えておくこと
自分自身が気をつけるだけでなく、家族や職場の同僚にも同じ習慣を共有しておくと、被害の連鎖を防ぎやすくなります。特に、宅配便やネットショッピングを頻繁に利用する人ほど、この種のSMSを受け取る機会が多くなります。「知らないリンクは開かない」というルールを、家庭内の共通認識にしておくだけでも効果があります。
IT Postの見方
IT Postでは、この種の詐欺を「注意力の問題」として語るべきではないと考えます。偽サイトの精度は、個人の警戒心で対抗できる水準をとっくに超えています。それでも「気をつけましょう」で片づける説明をよく見かけますが、それは負けが分かっている勝負に、丸腰の個人を送り出しているようなものです。個人に警戒を求めるより、リンクを踏まなくて済む導線（公式アプリ・ブックマーク）を最初から用意しておくほうが、はるかに実効性があります。※個人の感想です
今後どうなりそうか
生成AIの普及により、不自然な日本語という手がかりは今後さらに減っていくと考えられます。
文面の違和感で判断する方法は有効性を失っていくため、「リンクを開かない」という行動側のルールがより重要になります。
