スミッシングとは？SMS詐欺の手口と被害を防ぐ実践的な対策
スマートフォンが生活に欠かせないツールになった今、「宅配業者からSMSが届いてURLをタップしたら、見覚えのないサイトに飛んでしまった」という経験がある方は少なくないでしょう。その何気ない一操作が、銀行口座の不正引き出しやマルウェア感染につながる可能性があります。これが「スミッシング」と呼ばれる攻撃手法です。
メールを使ったフィッシング詐欺は広く知られるようになりましたが、SMSを使ったスミッシングはまだ認知と対策が十分に浸透していないのが現状です。迷惑メールには気をつけていても、SMSには警戒心を持ちにくい。その「認知のギャップ」こそが、攻撃者が今なおSMSを悪用し続ける最大の理由です。
フィッシング対策協議会が公開している月次報告によると、フィッシング詐欺全体の報告件数は2021年以降、年間数十万件規模で推移しており、SMSを起点とするスミッシング系の報告も継続的に増加傾向にあります。被害は高齢者だけでなく、ネット通販を日常的に使う若年層にも広がっており、「自分は大丈夫」という過信が最も危険な状態です。
この記事では、スミッシングの定義・仕組みから具体的な攻撃例、個人・組織それぞれの対策、被害に遭ってしまった場合の初動対応まで、実践的な視点で解説します。
スミッシングとは何か
定義と語源
スミッシング（Smishing）とは、SMS（ショートメッセージサービス）を悪用したフィッシング詐欺の一種です。「SMS」と「フィッシング（Phishing）」を組み合わせた造語で、英語圏では2006年頃から使われ始め、日本でも2010年代後半から被害が急増しています。
具体的な手口は次のとおりです。攻撃者がターゲットのスマートフォンに偽の組織（宅配業者・金融機関・公的機関など）を装ったSMSを送り、本文中に記載したURLをタップさせます。遷移先の偽サイトでIDやパスワード、クレジットカード番号などの個人情報を入力させたり、マルウェアをダウンロードさせたりすることで、金銭的・情報的な被害を発生させます。
一見シンプルな手口に思えますが、「SMSという信頼性の高い媒体を使う」「短文のため怪しさが出にくい」「スマートフォンという個人の情報端末を直接狙う」という3点が組み合わさることで、非常に効果的な詐欺として機能しています。
フィッシング・ビッシングとの違い
フィッシング詐欺を媒体別に分類すると、以下の3種類に整理できます。
フィッシング（Phishing）は、メールを使って偽サイトへ誘導する最も古典的な手法です。迷惑メールフィルターの精度向上と「怪しいメールには注意」という意識の普及によって、単純なフィッシングの成功率は低下しています。
スミッシング（Smishing）は、SMSを使った手法です。フィッシングと異なり、SMSは電話番号に届く性質上「本物感」があります。宅配業者や金融機関からのSMSを日常的に受け取っているユーザーにとって、偽のSMSは心理的な警戒のハードルを下げる効果を持ちます。また、SMSには文字数制限があるため短文になりやすく、逆に「怪しい雰囲気」が出にくいという側面もあります。
ビッシング（Vishing）は、音声通話（Voice）を使って情報をだまし取る手法です。「オレオレ詐欺」の延長線上にあり、電話口で緊急性を演出して判断力を奪います。
https://miraikyoso.jp/n/nc9ca6bdcfa92
3つの中でスミッシングが現在最も被害が拡大しているのは、スマートフォンの普及と宅配通知など「SMSを受け取ることが日常化した」という社会的背景が重なったためです。ユーザーが習慣的に行う「SMSの通知を確認してURLをタップする」という行動そのものが、攻撃の入り口になっています。
日本における被害動向
フィッシング対策協議会の報告によると、2023年のフィッシング報告件数は年間約100万件超に達し、その中でもSMSを悪用したスミッシングの割合は無視できない水準になっています。警察庁が公表しているインターネットバンキングの不正送金被害も、スミッシングが起点となるケースが増えており、2023年の被害額は約87億円（警察庁「令和5年上半期におけるサイバー空間をめぐる脅威の情勢等について」参照）に上っています。
注目すべきは、被害者の年齢層の広がりです。以前は高齢者が主なターゲットとされていましたが、ネット通販や宅配サービスを頻繁に利用する若年層・現役世代にも被害が拡大しています。攻撃者は「ターゲットを絞らない大量送信」から「特定の行動パターンを持つユーザーへの絞り込み」へと戦略を進化させており、「自分は関係ない」と思える層がむしろ狙われやすくなっています。
スミッシングの仕組みと攻撃プロセス
攻撃者はどこから電話番号を入手するか
スミッシングの起点は「電話番号の入手」です。攻撃者が番号を取得するルートは主に4つあります。
データ漏洩からの入手が最も多いケースです。過去に発生した企業のデータ漏洩事件では、氏名・住所・電話番号・メールアドレスが一括でダークウェブで売買されます。一度でもどこかのサービスに登録した番号は、複数の犯罪者グループの手に渡っている可能性があります。「Have I Been Pwned」のようなサービスで自分のメールアドレスが過去の漏洩に含まれているか確認できますが、電話番号の漏洩はユーザー本人が気づきにくいという問題があります。
番号の総当たり（ランダム生成）も広く行われています。日本の携帯電話番号の構造は規則的なため、ツールを使えば有効な番号を機械的に生成できます。この場合、送信の一定割合が架空番号に届くことになりますが、コストが非常に低いため大量送信で補う形です。1,000通送って1件引っかかれば「成功」になる計算のため、成功率の低さは問題になりません。
SNSや求人サイトからの収集も報告されています。プロフィールや連絡先情報を公開している場合、スクレイピングで収集される可能性があります。特にビジネス系SNSで携帯番号を公開しているケースは注意が必要です。
SMS配信サービスの悪用も問題になっています。企業向けのSMS一括配信サービスを偽の事業者名で契約し、不正送信に利用するケースがあります。送信元表示名を「yamato」「amazon」などに見せかけることも技術的に可能で（SMSスプーフィング）、これが「本物のSMSに混じって偽SMSが届く」状況を作り出します。
SMS送信から被害発生までの流れ
攻撃の一連のプロセスを見ると、そのシンプルさが際立ちます。
まず、攻撃者から「お荷物の配達ができませんでした。再配達のお手続きはこちら」のような短文とURLが届きます。URLは短縮サービスを使って実際の遷移先を隠していることが多いため、一見しただけでは正規のURLかどうか判断できません。
ユーザーがURLをタップすると、公式サービスに酷似したドメイン（例：amazon-delivery.xyz、yamato-jp.infoなど）の偽サイトに誘導されます。デザインは本物と見分けがつかないほど精巧に作られており、画像やレイアウトを本物のサイトからそのままコピーしているケースも多いです。
偽サイトでIDやパスワード、クレジットカード番号などを入力すると、その情報は攻撃者のサーバーにリアルタイムで送信されます。また、「アプリの更新が必要です」と誘導されて、マルウェアを含むアプリをダウンロードさせられるパターンもあります。
最終的に、入力した情報はクレジットカードの不正利用、銀行口座への不正アクセス、各種サービスのアカウント乗っ取りに使われます。被害発覚まで数日〜数週間かかることも多く、その間に被害が拡大するケースもあります。
このプロセス全体が、ユーザーの「行動の自動化」に乗じて設計されています。宅配通知のSMSが届いたらタップする、というパターンが日常化しているからこそ被害が生まれます。
マルウェアを使ったスミッシングの特殊性
URLクリックによる偽サイト誘導だけでなく、マルウェアのインストールを目的としたスミッシングも存在します。Androidデバイスでは、SMSから「FluBot」「MoqHao（ロハム）」といったSMSマルウェアがインストールされた事例が国内外で報告されています。
これらのマルウェアの特徴は、感染後の自己増殖機能にあります。感染したスマートフォンの連絡先リストを取得し、そのリストに対してスミッシングSMSを自動送信する機能を持つため、被害者が知らぬうちに加害者にもなるという構造です。この「感染者が次の送信源になる」仕組みが、スミッシングを急速に拡散させる原因になっています。
MoqHaoは特に日本での活動が確認されており、日本のユーザーを対象に宅配業者やキャリアを装ったSMSを日本語で送信します。IPAや警察庁からも注意喚起が出ています。
iPhoneの場合、App Store以外からのアプリインストールが標準では制限されているため、マルウェア型スミッシングの被害はAndroidに比べて少ないです。ただし、偽サイトへの誘導と情報搾取のリスクは同様に存在します。
スミッシングの代表的な攻撃例
攻撃者が最も多く使うなりすましは「すでに信頼関係がある組織」です。以下に、日本で実際に報告されている主要な手口を具体的に紹介します。
ECサイト・通販業者を装った手口
「ご注文の商品を配達できませんでした。再配達のお手続きはこちら」「Amazonアカウントのセキュリティ確認が必要です。ログインして確認してください」といったSMSが届き、偽サイトでAmazonやRakutenのログイン情報やクレジットカード番号を入力させます。
ネット通販の利用頻度が高い層にとって、このSMSは「ありうる通知」として受け取られるため、他のなりすましに比べて被害率が高くなりやすいです。フィッシング対策協議会の報告でも、ECサービス系のフィッシングは全体の中で常に上位を占めており、その起点としてSMSが使われるケースが増加しています。
特に注意が必要なのは、「支払い情報の更新依頼」を装ったパターンです。「お客様のお支払い情報の有効期限が切れました。更新してください」というSMSは、カード情報を更新しないとサービスが使えなくなるという焦りを生みます。こうした場合も、SMSのURLからではなく公式アプリから直接アクセスして確認することが重要です。
宅配業者を装った手口
「ヤマト運輸：ご不在のため持ち帰りました。再配達はこちら」という典型的なパターンです。SMSの発信元表示を「yamato」「sagawa」などに偽装するスプーフィングが使われるケースもあり、正規のSMSスレッドに偽のSMSが混入するように見えることすらあります。
このなりすましが特に効果的なのは、再配達の習慣を直接利用しているからです。ネット通販を利用する多くのユーザーは、不在通知のSMSを受け取ると反射的にURLをタップする行動パターンを持っています。「考える前にタップしてしまった」という声が多いのもこの手口の特徴で、行動の自動化を最も直接的に悪用した手口といえます。
ヤマト運輸・佐川急便・日本郵便の各公式サービスは、各社の公式アプリや「e受取アシスト」「受取通知サービス」などのシステムからの通知に統一されており、SMSに直接URLを記載して操作を求めることはないと案内しています。
公的機関・行政機関を装った手口
「マイナポータルから重要なお知らせがあります。確認してください」「国税庁：税金の未払いがあります。本日中に確認が必要です。放置すると法的手続きに移行します」など、権威と緊急性を組み合わせた手口です。
公的機関への恐怖感と罰則・期限というプレッシャーを与えることで、冷静な判断を奪うことを狙っています。「税務署から連絡が来た」という状況への心理的な弱さを直接利用しています。
埼玉県警察をはじめ全国の警察が「公的機関がSMSでURLを送ることは原則ない」と注意喚起を出しています。また、マイナンバー関連の詐欺SMSは総務省・デジタル庁からも公式に注意喚起が行われています。公的機関からの重要連絡は書面（郵便）または公式ポータルサイトへのログイン確認が原則です。
金融機関・クレジットカード会社を装った手口
「お客様のカードが不正利用された可能性があります。確認のためこちらにアクセスしてください」という緊急性を演出したSMSです。偽サイトでカード番号・有効期限・セキュリティコード（CVV）を入力させ、その情報で即座に不正利用が行われます。
金融機関へのなりすましは被害額が大きくなりやすく、実際に数十万〜数百万円規模の被害事例が警察に報告されています。クレジットカードの不正利用は気づきにくいケースもあり（海外利用として処理されるなど）、被害が長期間継続することもあります。
また、インターネットバンキングのIDとパスワードを搾取して不正送金につなげる手口も増加しています。警察庁の報告では、インターネットバンキングの不正送金被害の多くが、フィッシングやスミッシングによる認証情報の搾取を起点としています。
通信キャリアを装った手口
「ドコモ：月額料金の未払いがあります。本日中に手続きしないとサービスが停止されます」「SoftBank：重要なセキュリティ更新が必要です。こちらからアップデートを行ってください」といったパターンです。
スマートフォンのサービス停止は日常生活への直接的な影響があるため、「すぐに対処しなければ」という行動を引き出しやすいです。料金未払いのなりすましでは、クレジットカード情報の入力を求めることで直接的な金銭被害につながります。
各キャリアは公式の連絡はマイページや専用アプリを通じて行い、SMSでURLを送って支払いや個人情報の入力を求めることはないと案内しています。
「誤送信」を装った手口
「先日はありがとうございました。また会いましょう！」という、明らかに誤送信を装った親しみやすいSMSが届き、返信してしまうと「どなたですか？」という会話が始まります。その後、SNSへ誘導した後に投資詐欺やロマンス詐欺に発展するパターンです。
IBMのセキュリティ研究者が報告しているこの手法は、最初の接触に警戒感を抱かせない点で非常に巧妙です。フィッシングやマルウェアのような技術的な手口を使わず、人間関係を構築してから詐欺に誘導するため、被害に遭ったと気づくまでに時間がかかります。
スミッシングが被害を生みやすい理由
SMSという媒体の心理的特性
スミッシングの被害が後を絶たない根本的な理由は、技術的な巧妙さよりも「人間の認知特性の悪用」にあります。
SMSはメールと異なり「リアルタイムの連絡」という文脈で受け取られます。電話の延長線上にある媒体として認識されているため、メールよりも高い信頼感があります。また、スマートフォンの通知として届くSMSは、受け取った瞬間に確認・反応することが習慣化しており、「確認してから行動する」という思考のクールダウンが起きにくい環境にあります。
行動心理学でいう「システム1思考」（速くて自動的な思考）が優先される状況で、攻撃者はその隙を狙います。宅配通知のSMSが届いたらタップする、というパターンが日常化しているからこそ、偽のSMSも同じパターンで処理されてしまいます。
URLの短縮・難読化が判断を困難にする
フィッシングメールの場合、怪しいドメイン名に気づく機会があります。しかしSMSでは画面の表示領域が限られているため、URLを短縮サービス（bit.lyなど）で隠すことが一般的です。ユーザーがタップする前にURLの正当性を確認する手段がほとんどなく、タップするまでどこに飛ぶかわかりません。
さらに、攻撃者は公式ドメインに酷似したドメインを低コストで取得します。「amazon-co-jp.info」「yamato-delivery.net」「nttdocomo-support.com」のような、一見すると本物に見えるドメインは数百円〜数千円で取得でき、使い捨てにして別のドメインに乗り換えることで追跡を逃れます。
スパムフィルターの限界
メールのスパムフィルターは長年の進化で高精度になりましたが、SMSのフィルタリングはまだ発展途上です。日本の通信キャリアも独自のSMSフィルタリング機能を提供し始めていますが、多様な文面を使い捨てにしながら大量送信する攻撃者に対して、フィルターが追いつけていない面があります。
特に問題なのが「正規の送信経路を使う手口」です。企業向けのSMS配信サービスを悪用したスミッシングの場合、そのSMSはキャリアの通常の経路で配信されるため、フィルターが機能しにくくなります。
日本語の自然さが向上している
以前のスミッシングは機械翻訳のような不自然な日本語が多く、見分けやすかったです。しかし近年は、生成AIの普及もあり、文法的に自然な日本語で書かれた偽SMSが増えています。「日本語がおかしい」という判断基準が機能しにくくなっており、より精緻な見分け方が必要になっています。
個人が取り組むべきスミッシング対策
基本原則：SMSのURLをタップしない習慣
最も有効な対策は「SMSに記載されたURLをタップしない」という習慣を作ることです。
宅配業者・金融機関・ECサービスなどから本当に重要な連絡があるなら、公式アプリや公式Webサイトから確認すれば必ず同じ情報にアクセスできます。「SMSのURLからアクセスしなければ確認できない情報」は実在しないと考えるくらいがちょうどよい認識です。
「でも本物のSMSかもしれない」と思う方も多いでしょう。そのときは、SMSのURLをタップするのではなく、ブラウザやアプリで直接公式サイトにアクセスして確認する方法を取ってください。少し手間はかかりますが、その一手間が被害を防ぎます。
怪しいSMSを見分けるチェックリスト
全てのSMSを疑う必要はありませんが、以下の要素が1つでも当てはまる場合は慎重に判断してください。
身に覚えのない荷物・注文・未払いに関する通知が届いた場合は要注意です。「今すぐ」「本日中」「アカウント停止」「法的手続き」などの緊急性を煽る表現が含まれている場合も同様です。URLが短縮URLや、公式のドメインとは異なるドメインになっている点も確認してください。文章が機械翻訳のような不自然な日本語である場合や、逆に不自然なほど丁寧な敬語である場合も注意が必要です。公的機関・金融機関・キャリアからSMSでURLが送られてきた場合は、ほぼ詐欺と考えて差し支えありません。
公式アプリ・公式サイトからの直接確認
宅配業者なら、ヤマト運輸（宅急便メンバーズ）・佐川急便（スマートクラブ）・日本郵便（郵便追跡サービス）の各公式アプリをあらかじめインストールしておくことで、配達状況を自分から確認できます。金融機関やキャリアも同様に、公式アプリの通知機能を使えば、SMSに頼らず確認が完結します。
「届いたSMSのURLをタップして確認する」動線ではなく、「自分でアプリや公式サイトを開いて確認する」動線を日常的に作っておくことが、スミッシング被害の根本的な防止策です。一度この習慣が身につけば、偽のSMSが届いてもタップする理由がなくなります。
OSとアプリのアップデートを常に最新に保つ
マルウェアを使ったスミッシングに対して有効なのは、iOSやAndroidのOSアップデートを常に最新の状態に保つことです。脆弱性を悪用した攻撃に対して、アップデートは最も費用対効果の高い防御手段です。「後でアップデートする」を繰り返している間に攻撃の窓口が開いたままになります。
Androidの場合は「提供元不明のアプリのインストール」を許可していないか確認してください（設定→セキュリティで確認できます）。スミッシングでマルウェアをインストールさせる手口の多くは、この設定が有効になっていることを前提としています。
キャリアのSMSフィルタリング機能の活用
NTTドコモ・au・SoftBank・楽天モバイルなど主要キャリアは、迷惑SMSのフィルタリング機能を提供しています。設定画面または各キャリアの公式アプリから有効にできます。完全ではありませんが、大量送信型のスミッシングに対して一定の効果があります。
iPhoneの場合は「設定→メッセージ→不明な差出人をフィルタ」を有効にすると、連絡先に登録されていない番号からのSMSが別フォルダに振り分けられます。Androidの標準メッセージアプリにも迷惑メッセージ報告機能があり、報告することでフィルターの精度向上に貢献できます。
セキュリティソフトの導入
スマートフォン向けのセキュリティソフトは、危険なURLへのアクセスをブロックする機能やマルウェアのスキャン機能を提供しています。ノートン・マカフィー・ウイルスバスターなど主要製品がAndroid・iOS両方に対応しています。「入れれば完全に安全」ではありませんが、多層防御の一環として機能します。特に家族の中にスミッシングへの意識が低いメンバーがいる場合、セキュリティソフトの導入は有効な補助手段になります。
二段階認証（多要素認証）の設定
仮にIDとパスワードを詐取されたとしても、二段階認証が設定されていれば不正ログインを防げるケースが多いです。主要なオンラインサービス（銀行・ECサイト・SNSなど）では二段階認証が設定できます。
ただし、「リアルタイムフィッシング」と呼ばれる高度な手口には注意が必要です。ユーザーが偽サイトでIDとパスワードを入力すると、攻撃者がリアルタイムで本物のサービスにログインを試み、送られてきたSMSの認証コードを偽サイトで入力させる手口です。可能であれば、SMSによる認証よりも認証アプリ（Google AuthenticatorやMicrosoft Authenticatorなど）を使った方式が安全です。
パスワードの使い回しをやめる
スミッシングで1つのサービスのIDとパスワードが漏洩した場合、同じパスワードを他のサービスで使い回していると、連鎖的に複数のアカウントが乗っ取られます。これを「パスワードスプレー攻撃」「クレデンシャルスタッフィング」といい、漏洩した認証情報を使って別サービスへのログインを試みる手口です。
パスワードマネージャー（1Password・Bitwardenなど）を使えば、サービスごとに異なる複雑なパスワードを管理できます。覚えるパスワードをパスワードマネージャーのマスターパスワードだけにすることで、セキュリティと利便性を両立できます。
組織が取り組むべきスミッシング対策
なぜ企業にとってもスミッシングが脅威なのか
スミッシングは個人だけの問題ではありません。会社支給のスマートフォンや、業務に使う個人スマートフォンへのスミッシング攻撃が成功した場合、業務システムへの不正アクセス、機密情報の漏洩、社内ネットワークへのマルウェア感染につながる可能性があります。
テレワークが普及した現在、スマートフォンで業務メールの確認やクラウドサービスへのアクセスを行うことは一般的です。そのスマートフォンへのスミッシング攻撃は、企業のセキュリティ境界を直接狙うものとして捉える必要があります。特にVPNの認証情報や、SaaSサービスへのログイン情報が搾取された場合、組織全体への侵害に発展するリスクがあります。
セキュリティ教育と定期的な訓練
組織レベルで最も費用対効果が高いのは、従業員への定期的なセキュリティ教育です。スミッシングの手口と見分け方を知っているかどうかで、被害リスクは大きく変わります。
特に効果的なのは、実際のスミッシングSMSの事例を使った「見分け方トレーニング」です。「このSMSは本物か偽物か」という問いに対して、自分の判断と解説を対照させる形式の教育は記憶に残りやすく、実際の場面での判断力に直結します。フィッシングメールの模擬訓練サービスは普及していますが、SMSを使った模擬スミッシング訓練を提供するセキュリティベンダーも出てきています。
年1回の研修だけでなく、新しい手口が出るたびに情報共有を行うことも重要です。攻撃手口はスピードで変化するため、タイムリーな情報提供が実効性を高めます。
インシデント報告フローの整備
「怪しいSMSが届いた」「URLを誤ってタップしてしまった」という状況を、従業員が個人で抱え込まないようにするためのフロー整備が重要です。
報告しやすい環境がないと、被害が発覚するまでに時間がかかり、被害が拡大します。「タップしてしまったらすぐ報告する」「報告しても責めない」というカルチャーと、明確な連絡先（IT部門・情報セキュリティ部門）の周知が前提条件です。報告の第一報から初動対応（パスワード変更・デバイス確認・影響範囲の特定）までの流れを事前に文書化しておくことで、インシデント発生時に迷わず動けます。
MDM（モバイルデバイス管理）の活用
会社支給デバイスには、MDM（Mobile Device Management）ツールを使ったポリシー管理が有効です。「提供元不明のアプリインストールの禁止」「業務データへのアクセスに多要素認証を必須化する」「デバイスの紛失・盗難時のリモートワイプ」などをポリシーとして強制適用できます。
BYOD（個人デバイスの業務利用）環境では全てのコントロールは難しいですが、MAM（モバイルアプリケーション管理）を使って業務アプリのデータを個人データと分離・管理する方法もあります。
ゼロトラストの考え方を取り入れる
「社内ネットワークにいれば安全」という前提が崩れた現代では、ゼロトラストセキュリティの考え方が重要です。デバイスの種類や場所に関わらず、常に「認証・認可」を求める設計にすることで、スミッシングでアカウント情報を奪われたとしても、そこから先のアクセスをブロックできます。
具体的には、条件付きアクセスポリシー（デバイスの健全性・場所・ユーザーのリスクスコアに応じてアクセスを制御する仕組み）の導入が、クラウドサービスへの不正アクセス防止に効果的です。MicrosoftのAzure ADやGoogleのBeyondCorpなどが、この考え方に基づいたソリューションを提供しています。
スミッシング被害に遭ってしまった場合の対応
「URLをタップしてしまった」「情報を入力してしまった」という状況に気づいたとき、多くの人はパニックになります。しかし初動の速さと正確さが被害の規模を決定します。焦る気持ちを抑えて、順番通りに対処してください。
ステップ1：インターネットへの接続を切る
マルウェアをダウンロードした可能性がある場合、まず機内モードに切り替えてWi-FiとモバイルデータをOFFにしてください。マルウェアがインターネットを通じてデータを外部に送信したり、外部からの命令を受け取ったりするのをブロックするためです。
「URLをタップしただけでマルウェアに感染することはあるのか」という疑問を持つ方もいると思います。Androidでは「ドライブバイダウンロード」と呼ばれる、ページを表示するだけでマルウェアがダウンロードされる手法が実在します。iPhoneでも、ブラウザの脆弱性が悪用されるゼロデイ攻撃が過去に確認されています。念のため切断するに越したことはありません。
ステップ2：パスワードを即座に変更する
偽サイトで入力してしまったサービスのパスワードを直ちに変更してください。同じパスワードを他のサービスで使い回していた場合は、そのサービス全てのパスワードも変更することが必要です。
パスワード変更は、インターネット接続を切断したデバイスではなく、別のデバイス（PC・タブレットなど）から行うことをお勧めします。マルウェアに感染している可能性があるデバイスから新しいパスワードを設定すると、その情報も盗まれる可能性があります。
ステップ3：金融機関への連絡
クレジットカード情報や口座情報を入力した可能性がある場合は、カード会社・金融機関に速やかに連絡し、カードの利用停止を申請してください。多くの場合、不正利用が確認される前でも利用停止の手続きが可能です。カードを止めてしまうと不便に思えますが、再発行は数日で対応してもらえます。対応が速いほど、被害額を抑えられます。
「もしかしたら本物のSMSだったかもしれない」と思って報告を躊躇するケースがありますが、空振りでも問題ありません。金融機関の窓口やコールセンターは、こうした相談を日常的に受け付けています。
ステップ4：デバイスのスキャンと必要に応じた初期化
セキュリティソフトがインストールされている場合はすぐにフルスキャンを実行してください。マルウェアが検出された場合、または感染が強く疑われる場合は、デバイスの初期化（工場出荷状態へのリセット）を検討してください。
初期化は大きな決断に思えますが、重要なデータがクラウドやPCにバックアップされていれば、スマートフォンの設定と機能はほぼ元通りに復元できます。感染したデバイスを使い続けることは、継続的な情報漏洩リスクを抱えたまま生活することを意味します。
ステップ5：関係機関への相談・通報
被害が発生している・または強く疑われる場合は、以下の機関に相談・通報してください。
警察（サイバー犯罪相談窓口）については、各都道府県警察にサイバー犯罪相談窓口が設置されています。被害届の提出だけでなく、被害を受けたかどうかわからない段階の相談も受け付けています。警察庁のサイバー犯罪相談窓口一覧から最寄りの窓口を確認できます。
金銭的な詐欺被害については、消費者ホットライン（局番なし188）でも相談を受け付けています。
スミッシングの情報共有と社会全体の対策強化のため、フィッシング対策協議会（antiphishing.jp）への報告も有益です。報告された情報は、注意喚起や業界全体の対策に活用されます。
不正プログラムへの対処については、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口でも相談対応しています。
「被害を届け出るのが恥ずかしい」という感覚で泣き寝入りするケースが多いですが、詐欺の被害者であることに羞恥心は不要です。報告が蓄積することで、攻撃パターンの把握・注意喚起の強化・犯人の特定につながります。
スミッシングと関連する発展的な攻撃手法
スピアスミッシング
通常のスミッシングが無差別に大量送信するのに対し、「スピアスミッシング」は特定の個人を狙った攻撃です。標的の名前・職場・役職・最近の行動（SNSから収集した情報）などを盛り込んだ、パーソナライズされたSMSを送ります。
「○○部長、先日の会議の件で確認があります。こちらをご確認ください」のような、業務上ありうる文脈を使ったSMSは、被害者が「本物だ」と思い込みやすくなります。企業の経営層・経理担当・システム管理者など、特定の権限を持つ人物を狙うケースが増えており、成功した場合の被害が大きくなります。
QRコードを使ったクィッシング
スミッシングの変形として、QRコードを使った「クィッシング（Quishing）」も増加しています。SMSやメールでQRコードの画像を送り、スキャンさせることで偽サイトへ誘導します。URLが直接見えないため、フィッシングリンクの判断基準が適用できず、発見が難しくなります。
また、物理的なQRコードを悪用したケースも海外では報告されています。駐車メーターや公共施設に貼られた偽のQRコードを読み取ると偽の支払いサイトに誘導されるという手口で、スミッシングとの境界線が曖昧になっています。
AIを活用した高度化
生成AIの普及により、スミッシングの精度は今後さらに向上すると予想されます。自然な日本語での文面生成はすでに可能ですが、音声クローニング技術を使ったビッシングと組み合わせた手口など、技術的な高度化が進んでいます。「怪しい日本語」という判断基準が機能しなくなりつつある現在、文面の自然さだけでなく「SMSでURLが届いた場合は基本的にタップしない」という行動原則の重要性が増しています。
スミッシングに関するよくある疑問
URLをタップしただけで個人情報は盗まれるか
「URLをタップしただけなら大丈夫」と思っている方は多いですが、状況によります。
偽サイトに誘導されただけで情報を入力しなければ、直接的な情報搾取は起きません。しかしAndroid端末では、悪意のあるWebページを表示しただけでマルウェアがダウンロードされる「ドライブバイダウンロード」という攻撃手法が実在します。これはブラウザやOSの脆弱性を利用するもので、最新のOSとブラウザを使っていれば既知の脆弱性には対応できていますが、ゼロデイ脆弱性（まだパッチが出ていない脆弱性）を突くケースもあります。
iPhoneの場合、App Store以外のアプリインストールが標準で制限されているため、マルウェアのインストールリスクはAndroidより低い傾向があります。しかし、Appleが公開しているセキュリティアップデートの内容を見ると、Safari（ブラウザ）の脆弱性も定期的にパッチが当てられており、「iPhoneだから安全」という過信も禁物です。
「タップしてしまった」と気づいたら、情報を入力していなくても念のためデバイスをスキャンし、その後のアクセス履歴に不審な点がないか確認することをお勧めします。
電話番号が漏洩しているかどうか確認できるか
メールアドレスの漏洩確認には「Have I Been Pwned（haveibeenpwned.com）」というサービスが有名ですが、電話番号の漏洩を直接確認できる公的なサービスは現時点では一般向けに広く提供されていません。
ただし、実質的な指標として「スミッシングのSMSが届くようになった」こと自体が、番号が何らかのリストに載っている可能性を示しています。また、過去に利用したサービスでデータ漏洩が発生したというニュースがあった場合、そのサービスに登録していた電話番号が流出している可能性を念頭に置くべきです。
定期的にスミッシングが届くようになった場合は、スマートフォンのキャリアに迷惑SMS対策の設定や番号変更について相談することも選択肢の一つです。
SMS送信元の電話番号は偽装できるのか
できます。これを「SMSスプーフィング」と呼びます。
一部のSMS配信サービスでは、送信元の表示名（英数字）を任意に設定できます。「yamato」「amazon」「docomo」といった表示名を設定してSMSを送ることで、あたかも公式からの送信のように見せられます。
さらに高度な場合、ユーザーのSMSスレッドに過去の本物のSMSと混じって表示されるケースもあります。これは特定の送信者名や番号ごとにSMSがスレッド表示される仕様を利用したもので、「同じスレッドに本物と偽物が混在する」状況が生まれます。
送信元の表示名や番号だけを信頼してSMSの真偽を判断するのが危険な理由はここにあります。「どこから来たか」ではなく「何を求めているか」「URLをタップする必要があるか」という内容で判断することが重要です。
SMSフィルタリングアプリはどれが効果的か
2026年時点での主な選択肢を整理します。
iPhoneの場合、iOS標準の「不明な差出人をフィルタ」機能に加え、「Truecaller」「Robokiller」などのサードパーティアプリが利用できます。これらはスパムデータベースと照合して迷惑SMSを検出します。
Androidの場合、Google標準の「メッセージ」アプリにもスパム検出機能が内蔵されています。また、各キャリアの迷惑メッセージ対策サービス（ドコモの「迷惑メールおことわりサービス」、auの「迷惑メッセージブロック」など）と組み合わせることで防御層が厚くなります。
完全にスミッシングをブロックできるアプリはありませんが、明らかな大量送信型のスミッシングに対しては効果があります。新しい手口や送信番号への対応には時間差があることを念頭に置き、フィルタリングを「唯一の防御」として頼り切らないことが大切です。
被害届を出しても意味があるか
「少額の被害だし、犯人が捕まるわけでもない」と考えて届け出ない方が多いですが、被害届には重要な意味があります。
まず、警察への届け出がないと「被害が発生していない」とみなされ、捜査の優先度が上がりません。同一の手口や番号から複数の被害届が集まることで、捜査につながるケースがあります。実際に、スミッシングを使ったフィッシング詐欺グループの摘発事例は国内でも報告されています。
また、クレジットカードの不正利用について保険適用を受ける際や、インターネットバンキングの不正送金について金融機関に補償を求める際に、警察への被害届や相談記録が必要になることがあります。被害額の大小に関わらず、記録として残しておくことに意味があります。
まとめ：スミッシングは「知ること」と「行動習慣」で防げる
スミッシングは技術的に高度な攻撃ではありません。SMSというすでに信頼されている媒体を利用して、人間の習慣と心理の隙間に入り込む攻撃です。裏返すと「仕組みを知ること」と「行動習慣を少し変えること」で、被害リスクを大幅に下げられます。
この記事のポイントを整理すると以下のとおりです。スミッシングはSMSを使ったフィッシング詐欺で、宅配・金融機関・公的機関などを装う手口が主流です。被害が生まれるのはSMSへの信頼感と行動の自動化を悪用されているためで、基本対策は「SMSのURLをタップしない」「公式アプリから直接確認する」の2点に集約されます。被害に遭った場合は、インターネット切断・パスワード変更・金融機関への連絡を速やかに実行することが被害を最小化します。組織レベルでは、教育・インシデント報告フロー・MDMの整備が実効性の高い対策です。
「知識はあるが行動が変わらない」状態が最もリスクの高い状態です。この記事を読んだ今日から、SMSにURLが届いたときに「タップするのではなく公式アプリを開く」という行動を実践してみてください。
スミッシングを含むサイバー攻撃への対策は、個人の努力だけでなく組織としての仕組みづくりが重要です。自社のセキュリティ体制やSMS詐欺対策の見直しを検討されている場合は、セキュリティの専門家に相談することも選択肢の一つです。現状のリスク評価から具体的な対策の導入まで、専門的な視点でサポートを受けることで、より実効性の高い防御体制を構築できます。
