詐欺SMS(フィッシング)の見分け方

「スミッシング」は、SMS(ショートメッセージサービス)とフィッシングを組み合わせた造語で、電子メールよりも開封率が高いとされるSMSの特性を悪用した手口です。宅配便の不在通知や料金未納通知など、多くの人が実際に受け取る可能性のある内容を装うことで、警戒心を下げようとする点が特徴です。

送信者の表示名を、実在する企業と同じ名称に偽装する手口(送信者ID詐称)が使われることもあり、過去に実在の企業から届いた本物のSMSと同じスレッド内に、詐欺のSMSが紛れて表示されるケースも報告されています。表示名だけで信用せず、本文の内容やリンク先を確認することが大切です。

SMSはメールと違って迷惑メールフィルタのような仕組みが行き届いていない場合があり、電話番号さえわかれば無差別に大量送信できてしまう点も、この手口が広まりやすい理由のひとつとされています。知らない番号や短い番号からの心当たりのないSMSには、常に一定の警戒を持つことが基本の心構えです。

共通する特徴として、緊急性をあおる文面、公式サイトと微妙に異なるURL、SMS内でいきなり個人情報やパスワードの入力を求める点などが挙げられます。少しでも違和感を覚えたら、SMS内のリンクは開かず、契約している事業者の公式アプリやブックマークしておいた公式サイトから直接状況を確認するようにしましょう。

誤ってリンクを開いたり情報を入力したりしてしまった場合は、落ち着いてパスワードの変更やカード会社への連絡を行いましょう。不審なSMSを受け取った際は、フィッシング対策協議会への情報提供や、契約している携帯電話会社への相談も選択肢の一つです。

見分け方としてよくある誤解に、「見慣れた電話番号や、大手企業と同じ名称で届いていれば安全」というものがあります。しかし、SMSの送信元表示は技術的に偽装が可能で、実在する企業の名称や番号をそのまま表示させる「送信者ID詐称」という手口が広く使われています。反対に、見慣れない国番号(+63や+1など)から届く、あるいは意味のない数字の羅列から届くSMSも実際に報告されており、送信元の表示だけを根拠に安全・危険を判断することはできません。実際にフィッシング対策協議会などに報告される偽サイトの多くは、公式サイトが「.co.jp」を使っているのに対し、見慣れない「.xyz」や「.tk」といった安価に取得できるトップレベルドメインを使っていたり、公式のドメイン名の一部にハイフンを挟んで別の文字列を追加していたりするパターンが目立ちます。URLの見た目全体をなんとなく確認するのではなく、ドメイン名の「.」で区切られた末尾部分が公式サイトと完全に一致しているかを意識して確認する習慣が有効です。