30秒で分かる結論
偽SMSを見た目で見分けるのは、もう現実的ではありません。
確実なのは、SMSやメールのリンクからはログインしないという習慣です。用件が本当なら、公式アプリやブックマークから自分でアクセスすれば必ず確認できます。
何が起きているのか
宅配便の不在通知、通信料金の未納、金融機関からの警告などを装ったSMSが継続的に送られています。
リンク先は本物とほとんど区別がつかない偽サイトで、入力したIDとパスワード、カード番号がそのまま攻撃者に渡ります。
なぜ重要なのか
SMSは、送信元の表示名を偽装されることがあります。
その結果、本物の通知が並んでいるスレッドの中に、偽物が混ざって表示されることがあります。過去のやり取りと同じ場所に出てくるため、本物だと思い込みやすくなっています。
私たちへの影響
だまされた場合に起きることは、入力した情報によって変わります。
- IDとパスワードを入力した場合 — アカウントを乗っ取られる
- カード番号を入力した場合 — 不正利用される
- アプリをインストールさせられた場合 — 端末内の情報を抜き取られ、さらに他人へ同じSMSを送る踏み台にされる
見分けようとしないための3つの習慣
見分ける技術を磨くより、そもそも判断が必要ない状態を作るほうが確実です。
- SMS内のリンクは開かない。宅配の確認は宅配業者の公式アプリ、支払いの確認は該当サービスの公式アプリから行う
- 急かす文面は疑う。「24時間以内」「本日中」といった時間の圧力は、確認する時間を与えないための手口である
- 提供元不明のアプリを入れない。Androidで「提供元不明のアプリを許可」を求められたら、その時点で中止する
初心者が知っておくべきこと
すでに入力してしまった場合は、次の順番で対応してください。
- 該当サービスのパスワードを、公式アプリやブックマークから変更する
- 同じパスワードを使っている他のサービスも変更する
- 二段階認証を設定する
- カード情報を入力した場合は、カード会社へ連絡して利用停止を依頼する
気づいた時点で対応すれば、被害を抑えられることは多くあります。恥ずかしさから対応が遅れるほうが損失は大きくなります。
IT Postの見方
IT Postでは、この種の詐欺を「注意力の問題」として語るべきではないと考えています。
偽サイトの精度は、注意力で対抗できる水準を超えています。個人に警戒を求めるより、リンクを踏まなくて済む導線（公式アプリ・ブックマーク）を用意しておくほうが、実効性があります。
今後どうなりそうか
生成AIの普及により、不自然な日本語という手がかりは今後さらに減っていくと考えられます。
文面の違和感で判断する方法は有効性を失っていくため、「リンクを開かない」という行動側のルールがより重要になります。
