SMSで宅配業者から不在通知を受信し、アクセスしたWebサイトでIDとパスワードを求められる。そのような経験をしたユーザーは少なくないだろう。しかし、それは情報を詐取するために設けられたフィッシング詐欺のWebサイトかもしれない。この記事では、SMSを用いた詐欺行為の概要と求められる対策について解説する。
迷惑メッセージとフィッシング詐欺
インターネットが普及し始めたころから、メッセージを利用した詐欺は数多く発生している。メッセージの伝達手段がSMS、メール、そしてSNSなどと幅が広がるのに伴い、迷惑メッセージの内容も多様化・巧妙化し続けている。以前は日本語が不自然な迷惑メッセージが多く、送信者のメールアドレスも不審なものがほとんどだったことから、念入りに確認せずとも迷惑メッセージと判別することは難しくなかった。
しかし近年、ディープラーニングの進化によって翻訳技術が飛躍的に向上しており、文面上の日本語に不自然さを感じられないだけでなく、メッセージ内のリンクをクリックした場合に表示されるWebページも公式サイトと見紛うような作りとなっている。こうした手口の変化もあり、通常のメッセージと迷惑メッセージを選別することが難しくなっているのだ。
公式のWebサイトに近似する偽サイトを事前に準備しておき、パスワード変更や緊急対応を促すようなメッセージをユーザーに送り付け、その偽サイト上でアカウント情報やクレジットカード情報などを詐取しようとするフィッシング詐欺は増加傾向にある。実際、2022年6月にフィッシング対策協議会が公開した「フィッシングレポート2022」によると、2021年に同協議会で受領したフィッシング報告件数は、2020年と比較して約2.3倍 に増加したとされる。
増加するフィッシング詐欺の中でも特に注意が必要とされるものがスミッシングだ。スミッシングはSMSを用いて行うフィッシング詐欺の総称であり、先述のレポートよると、スミッシングで金銭的な詐欺に遭ったことのあるユーザーの割合は、20代と30代の男性では10%以上と、全世代平均と比較して2倍超に達している。10人に1人程度が金銭的な詐欺に遭っている危機的とも言える状況だ。
SMSを使ったフィッシング詐欺の被害事例
SMSを使ったフィッシング詐欺、スミッシングの手口は多様化・巧妙化している。SMSはランダムに生成した携帯番号に一括で送信できるだけでなく、送信者の身元も詐称しやすいため、攻撃者にとって都合がよいという背景がある。攻撃者にとっての費用対効果が高いことから、さまざまな手法が開発・実行されているのだ。
メッセージを受信するユーザーからすると、肌身離さず持ち歩くスマートフォン（以下、スマホ）に直接届くため、不用意にメッセージを開封してしまうケースが少なくない。実際の被害事例として、以下のようなものが知られている。
宅配業者を装うフィッシング詐欺
宅配業者を装うフィッシング詐欺は、URLが記載された不在通知がSMSで送信されてくることが発端となる。記載されたURLをクリックすると、宅配事業者など実在する企業のものに偽装したWebサイトに誘導される。Webサイト上でIDとパスワードを要求され、そこでユーザーがアカウント情報を入力してしまうと、それらの情報は攻撃者の手に渡ってしまう。
あるいは、不正なアプリをインストールするように要求され、自身のスマホからSMSで迷惑メッセージを大量に送信させられてしまうといったケースもある。この場合、勝手に大量のメッセージを送信してしまうことで、法外な通信料を請求されることもある。
ECサイトを装うフィッシング詐欺
著名なECサイトと偽り、納品のお知らせやパスワード変更の依頼といった内容でメッセージを送り付ける。メッセージに記載されているURLをクリックすると、偽サイトに誘導されてパスワードやクレジットカード情報、そのほか個人情報が詐取されてしまう。同様の手法を用いて、通信会社、カード会社、金融機関に偽装するケースもある。いずれの場合でも、メッセージ本文に違和感が少なく、偽サイトの完成度も高いため、騙されてしまうユーザーは後を絶たない。
ビジターアンケートを用いたフィッシング詐欺
インターネットを閲覧中、突如「アンケートの参加者に選ばれました」などといったメッセージが表示され、アンケートに答えればプレゼントをもらえるといった誘い文句でユーザーの関心を惹こうとする。こうした誘い文句に従ってアンケートに答えてしまい、メールアドレスやスマホの電話番号を入力してしまうと、迷惑メッセージがSMSやメールで大量に送信されてくる懸念が生じる。今後も手を替え品を替え、同様の手口が開発されることが想定されるため、細心の注意を払う必要がある。
架空請求詐欺
近年、世間を騒がせている特殊詐欺グループが行っていた手口だ。SMSなどで「有料サイトの利用料金が未納です」といったメッセージを送り付けることでユーザーの不安を煽り、金銭を詐取しようとする。メッセージに記載してある電話番号などに連絡をしてしまうと、言葉巧みに現金振り込みに誘導される。決して連絡を取ることはせず、落ち着いて対応するようにしたい。
SMSによる迷惑メッセージへの対策
手口が巧妙化、多様化するSMSを使ったフィッシング詐欺を未然に防ぐのは容易ではない。しかし、誰でも対応できる簡単な対応策もある。以下のような対策を講じることで安全性は確実に高まるだろう。
攻撃の手口を把握する
詐欺対策の王道とも言えるが、攻撃者がどういった手口を用いて詐欺を仕掛けるかを把握しておけば、実際にそういった状況に直面した際に適切な判断がしやすくなる。過去に、オレオレ詐欺などもその手口が周知されたことで未然に被害を防げたケースも少なくない。一方で、広く詐欺の手法が知れ渡ると、攻撃者は新たな手口を開発するようになる。しかも、そのサイクルは高速化している。
そのため、攻撃の手口を一時的に把握するにとどめず、常にアップデートしていくことが重要だ。最近ではニュースメディアなどでも犯行の手口を紹介するようになっているが、できればセキュリティ専門のWebメディアなどを定期的にチェックするようにしたい。
業者からのSMSを無条件に信頼しない
宅配事業者、ECサイト事業者を騙るSMSは未だに数多く送信されてくる。こうした状況に対抗すべく、各事業者もアプリ経由で通知を行うなど対策を進めている。そのため、利用する頻度の高いサービスについては公式の連絡手段を利用するようにしたい。最近では、事業者によってはSMSでの通知を行わないことを公式に明言しており、代替策としてLINEを利用した通知なども普及しつつある。
また、やむを得ずSMSでそうした通知を受ける場合、記載されたURLをクリックせずに検索エンジンやブックマーク経由でアクセスすることで安全性が高まる。
セキュリティソフトのインストール
セキュリティソフトは、マルウェアを駆除するだけにとどまらず、最近では「総合型」と呼ばれるようにセキュリティリスク全般に対処できるようになっている。例えば、フィッシング詐欺への対策として、スパムフィルターや詐欺サイトへのアクセス遮断といった機能も備える。
人は時に注意力が欠如する場合もあるが、こうしたツールを導入しておけばヒューマンエラーによる被害も抑止できる。まずは自分自身の注意力を高めること、そしてそのための情報収集も重要だが、自らを過信せず、ツールなども併用することで安全性を高めるようにしてほしい。
