偽SMS・迷惑メールの見分け方｜フィッシングの手口と対策

偽のSMSや迷惑メールは、見た目だけで本物と見分けるのが難しくなっています。フィッシング対策協議会も、最近のフィッシングは精巧に作られていて、判別は難しいとしています。そこで大切なのは、怪しいサインを知ったうえで、メッセージの中のリンクからは開かず、いつもの公式アプリやブックマークから確かめる習慣をつけることです。もし情報を入力してしまったら、カード会社への連絡やパスワードの変更をすぐに行います。この記事では、フィッシングの仕組みと手口、怪しいサインと確かめ方、本物と偽物の比べ方、届きにくくする設定、よくある失敗と入力してしまったときの対処、チェックリストをまとめます。

フィッシングとは？ 偽のSMSや迷惑メールの全体像

警察庁は、フィッシングを、実在するサービスや企業をかたって偽のメールやSMSを送り、偽のサイトに誘導して、IDやパスワードなどの情報を盗んだり、不正なプログラム（マルウェア）に感染させたりする手口だと説明しています。情報を盗まれると、アカウントを乗っ取られてお金を奪われたり、通販サイトで勝手に買い物をされたりします。マルウェアに感染すると、スマホの電話帳の情報が盗まれたり、自分のスマホが偽のSMSの送り元になったりすることもあります。

偽のサイトで入力を求められる情報には、次のようなものがあります。

• 金融機関の口座番号、クレジットカードの番号、暗証番号やワンタイムパスワード
• 住所、氏名、電話番号、生年月日
• メールやネットバンキング、SNSなどのIDとパスワード
• 運転免許証やマイナンバーカードなどの画像

迷惑メールとフィッシングの関係

迷惑メールという言葉は、一方的に届く広告や宣伝のメールから、詐欺を目的としたメールまで、広い意味で使われます。広告や宣伝のメールには「特定電子メールの送信の適正化等に関する法律」（特定電子メール法）の決まりがあり、総務省によると、電話番号で送受信するSMSも、この法律でいう電子メールの送り方の一つとされています。一方、フィッシングは情報やお金をだまし取ることを目的にした詐欺で、法律に違反するメールかどうかにかかわらず、被害を防ぐ行動が必要です。

どんな名前をかたってくるのですか？

警察庁によると、携帯電話会社、宅配業者、金融機関をかたるものが多く確認されています。ほかにも、通販サイトや、官公庁を名乗るものがあります。フィッシング対策協議会の緊急情報では、税金や年金の納付を求めるふりをしたものや、不正なアプリのインストールに誘導するものも取り上げられています。文面は「個人情報の漏えい」「不正アクセスを検知」「取引の停止」など、急がせる内容が多いとされています。

SMSで届く偽のメッセージの例

SMSは電話番号だけで送れるため、メールアドレスを知られていなくても届きます。警察庁は、SMSを悪用して携帯電話会社や宅配業者、銀行をかたり、本物そっくりの偽サイトに誘導する例を多く確認しているとしています。紹介されている相談の例には、宅配業者を名乗る不在通知のSMSからアプリを入れたところ、スマホに登録されていた電話番号あてに、荷物の追跡をうたうSMSが知らないうちに大量に送られていた、というものがあります。カード会社を名乗るSMSのリンクからカード情報を入力し、後日、身に覚えのない支払いが見つかった例もあります。被害は自分だけでなく、連絡先に入っている家族や知人に広がることもあります。

見た目では見分けにくい理由

フィッシング対策協議会は、次のような理由から、本物と見分けがつかないことが多いと説明しています。

• 差出人の名前やメールアドレスを、本物と同じように偽ることができる
• 本物のメールを複製したり、AIで自然な日本語を作ったりしている
• 偽のサイトでも、アドレス欄に鍵のマークが表示されることがある
• サイトの見た目は簡単に複製できる

警察庁も、メールの送信元の名前やアドレスは簡単に変えられるうえ、スマホのメールアプリは表示される項目が少ないこともあり、真偽の判断はさらに難しくなるとしています。

偽のSMS・メールを見分けるには？ 怪しいサインと確かめ方

見た目で見破るのが難しいからこそ、怪しいサインに気づいたら、そのメッセージの中では何もしないことが大切です。次のようなサインがあれば、いったん立ち止まりましょう。

• 急がせる：「至急」「本日中」「アカウントを停止します」など、考える時間を与えない。
• リンクを押させる：本文のリンクから、ログインや手続きをさせようとする。
• 大事な情報の入力を求める：パスワード、カード番号、暗証番号、認証コードなどを入力させようとする。
• アプリを入れさせる：荷物の追跡やセキュリティの確認などを名目に、アプリのインストールを求める。
• 心当たりがあるように思わせる：買い物の直後の配送の連絡など、本物だと思い込みやすい時期に届くことがある。

ただし、これらのサインは目安です。本物のお知らせにもリンクが付いていることがあり、反対に、目立つサインが無い偽物もあります。サインがあるかどうかだけで決めず、次の手順で確かめましょう。

警察庁は、金融機関がIDやパスワードなどをメールやSMSで問い合わせることはないとしています。Appleも、予期しないメッセージで個人情報やお金を求められ、疑わしいと感じた場合は、詐欺だと考えるほうが安全だと案内しています。

本物かどうかを確かめる手順

1. メッセージのリンクは開かない：本文のリンクやボタンは押さずに、画面を閉じます。
2. 公式アプリかブックマークから開く：いつも使っている公式アプリや、あらかじめ登録したブックマークからサービスを開き、同じお知らせが届いているかを確かめます。
3. 問い合わせ先は自分で調べる：メッセージに書かれた電話番号ではなく、公式サイトやカードの裏面、契約の書類などで確かめた番号に問い合わせます。
4. 迷ったら相談する：自分で判断がつかないときは、家族や、消費者ホットライン（188）、警察の相談専用電話（#9110）に相談します。

フィッシング対策協議会は、ふだんから「いつもの公式アプリ」「いつもの公式サイト（ブックマーク）」から開くよう習慣づけることで、怪しいメールやSMSが来ても偽のサイトを開かずにすむとしています。

本物と偽物は、どこを比べればよいですか？

見るべき点と、偽物によくある例、確かめ方を表にまとめました。どの点も、ひとつだけで本物と決めることはできません。

届きにくくする設定と、日ごろの対策

偽のメッセージを完全に止めることはできませんが、届く数を減らし、届いても被害につながりにくくする対策があります。警察庁とフィッシング対策協議会が勧めている主な対策は次のとおりです。

• 迷惑メッセージを防ぐ機能を使う：携帯電話会社などが用意している迷惑SMSのブロックや、迷惑メールのフィルターが動いているかを確かめます。
• OSとアプリを最新にする：弱点を悪用されないよう、自動のアップデートを有効にします。
• パスワードを使い回さない：サービスごとに違うパスワードにし、覚えられない場合はパスワード管理の機能を使います。
• 多要素認証やパスキーを設定する：パスワードを盗まれても、すぐにはログインされにくくなります。ログイン通知を有効にすると、不審なログインに気づきやすくなります。
• ブラウザの安全機能を有効にする：危ないサイトを開く前に警告が出ることがあります。ただし、警告が出ない場合もあるため、頼りすぎないようにします。
• アプリは公式のストアから入れる：公式のストアでも、アプリの名前と提供元を確かめてから入れます。

怪しいメッセージを知らせる先

フィッシング対策協議会は、フィッシングと思われるメールやSMSの情報提供を受け付けています。警察庁は、フィッシングサイトを見つけた場合はそのアドレスを「フィッシング110番」（インターネット・ホットラインセンター）に通報するよう案内しています。広告や宣伝の迷惑メールについては、総務省の委託を受けて一般財団法人日本データ通信協会が運営する迷惑メール相談センターが、特定電子メール法に違反するメールの相談や情報を受け付けています。知らせる前に、メッセージのリンクを開いて確かめることはしないでください。

よくある失敗と、入力してしまったときの対処

よくある失敗

• 心当たりがあったので、つい開いた：フィッシング対策協議会は、思い込んでいるとき、急いでいるとき、疲れているときに「ついうっかり」が起こりやすいとしています。
• 差出人が本物だったので信じた：差出人の表示は偽ることができます。
• 鍵のマークがあったので安心した：偽のサイトでも表示されることがあります。
• メッセージにある番号に電話した：かけた先が偽の窓口で、情報を聞き出されることがあります。
• 認証コードを伝えた：Appleは、Apple Accountのパスワードや確認コードをほかの人に教えないよう呼びかけています。どのサービスでも、認証コードは人に伝えないものと考えましょう。
• 同じパスワードを使い回していた：ひとつ盗まれると、ほかのサービスも乗っ取られるおそれがあります。

入力してしまったら、どうすればよいですか？

フィッシング対策協議会と警察庁の案内をもとに、状況ごとの対処をまとめました。

• カードの番号を入力した、身に覚えのない利用がある：すぐにカード会社に連絡して利用を止め、再発行の手続きをします。
• IDやパスワードを入力した：公式アプリか公式サイトから、パスワードを変更します。同じパスワードを使っているほかのサービスも、すべて変更します。
• ログインできなくなった：パスワードを変えられたおそれがあります。パスワードの再設定を行い、サービスのサポート窓口に連絡します。
• 頼んでいない認証コードが届いた：誰かがログインを試みているおそれがあります。パスワードを変え、多要素認証やパスキーを設定します。
• お金の被害にあった：金融機関やカード会社には、補償の制度や相談窓口を設けているところがあります。被害にあったサービスの会社に相談し、最寄りの警察署や警察のオンラインの受付窓口にも相談します。
• リンクを開いただけ：フィッシング対策協議会は、個人情報を入力していなければ、被害が起きる可能性は低いとしています。念のため、アカウントのログインの履歴を確かめましょう。

判断に迷うときや、身に覚えのない請求が来たときは、消費者ホットライン（188）で近くの消費生活センターなどを案内してもらえます。緊急でない警察への相談は#9110、被害が進んでいるなど緊急のときは110番です。

偽のSMS・メール対策のチェックリスト

• メールやSMSのリンクから、ログインや支払いをしない
• よく使うサービスは、公式アプリかブックマークから開く
• 問い合わせの番号は、公式サイトやカードの裏面などで確かめる
• パスワード、カード番号、認証コードは、立ち止まってから入力する
• 迷惑SMSのブロックや迷惑メールのフィルターを確かめた
• OSとアプリの自動アップデートを有効にした
• パスワードを使い回さず、多要素認証やパスキーを設定した
• カードの利用明細や、アカウントのログイン履歴を時々確かめている
• 家族とも、怪しいメッセージが来たら相談し合うと決めた

カードやスマホ決済を使う場合の注意はキャッシュレス決済の種類と使い分けで紹介しています。

よくある質問

リンクを開いてしまっただけでも、危ないですか？

フィッシング対策協議会は、個人情報を入力していなければ、被害が起きる可能性は低いとしています。開いた先で何も入力せず、アプリも入れていなければ、画面を閉じて、アカウントのログインの履歴に不審なものがないかを確かめましょう。

本物のお知らせかどうかは、どう確かめればよいですか？

メッセージの中のリンクや電話番号は使わずに、いつもの公式アプリやブックマークから開いて、同じお知らせがあるかを確かめます。電話で確かめる場合は、公式サイトやカードの裏面などで調べた番号にかけます。

スマホをなくしたあとに「見つかりました」というメッセージが届きました。

Appleは、iPhoneが見つかったとAppleから連絡することはないと案内しています。リンクを開いたり、パスワードや認証コードを入力したりしないようにしましょう。なくしたときの備えと手順はスマホをなくしたときに備える設定で紹介しています。

家族が偽のメッセージにだまされないようにするには？

「メッセージのリンクから手続きをしない」「迷ったら家族に聞く」といった決まりを、家族で共有しておくと役立ちます。迷惑SMSのブロックや、OSの自動アップデートの設定を、一緒に確かめておくのもよい方法です。

スマホや暮らしに関わる当社の店舗の取り組みは、スカイウォークスの店舗運営のページで紹介しています。当社へのお問い合わせは、お問い合わせフォームから受け付けています。