スミッシング詐欺の見分け方｜SMSの本文とURLで判定する手順

スマートフォンに届くSMSを使った詐欺は、メールのフィッシングより厄介です。理由は3つあって、画面が小さくて情報量が少ないこと、SMSは重要な連絡に使われてきたので信用されやすいこと、そして本物の通知と同じスレッドに並んでしまうことがあることです。

私は自分と家族の端末で実際に届いたSMSを記録してきましたが、文面の種類はそれほど多くありません。型を覚えてしまえば、内容を理解する前に判定できます。この記事では、届いた瞬間に判定するための手順を、本文とURLの2つに分けて具体的に書きます。あわせて、開いてしまったあとに何をするかも分岐で整理します。

スミッシングは、メールのフィッシングと何が違うのか

スミッシングはSMSとフィッシングを組み合わせた言葉で、携帯電話のショートメッセージを入口にする手口を指します。警察庁もフィッシングの一形態として説明しています。

実在のサービスや企業をかたり、偽のメールやＳＭＳ（携帯電話のショートメッセージ）で偽サイトに誘導し、ＩＤやパスワードなどの情報を盗んだり、マルウェアに感染させたりする手口です。 出典: npa.go.jp

メールとの違いで最も大きいのは、届く条件です。メールアドレスは知られなければ届きませんが、SMSは電話番号さえ分かれば届きます。電話番号は11桁の数字で、機械的に生成して総当たりで送ることができます。つまり、どこかに登録した覚えがなくても届く。これがメールとの決定的な差です。

次に、表示される情報の少なさです。メールなら送信元のアドレスを確認できますが、SMSで表示されるのは電話番号か、事業者が登録した送信者名だけです。判断材料が少ない状態で、リンクを開くかどうかを決めさせられます。

3つ目が、信頼の文脈です。SMSは宅配の不在通知、銀行のワンタイムパスワード、配車の到着連絡といった、実用的な用途で使われてきました。そのため、受け取った人は「大事な連絡かもしれない」という前提で開きます。この前提こそが狙われています。

そしてもう一つ、端末の特性があります。スマートフォンではリンクを長押ししないとURLの全体が見えません。パソコンならマウスを当てるだけで確認できることが、スマートフォンでは一手間かかる。急いでいるときに、その一手間は省かれます。

届く文面は、5つの型に集約される

大量に観察すると、文面は結局5種類に落ち着きます。順に見ていきます。

1つ目が不在通知型です。「お荷物のお届けにあがりましたが不在のため持ち帰りました」という文面に、追跡用と称するURLが付きます。荷物を待っている人ほど反応します。警察庁の相談事例にも、この経路で偽の追跡アプリを入れてしまい、端末に登録された電話番号に大量のSMSが送信された例が挙げられています。つまり、被害者が次の加害の踏み台になる構造です。

2つ目が支払い滞納型です。「料金のお支払いが確認できません。本日中にご連絡がない場合は法的手続きに移行します」。ここで名乗るのは、通信事業者、電力会社、水道局、有料動画サービスなど、誰でも契約していそうな相手です。フィッシング対策協議会の月次報告でも、電力会社や水道局をかたる文面の報告が挙げられています。

3つ目がアカウント異常型です。「不正なログインを検知したためアカウントを制限しました。解除はこちら」。切迫感を作り、確認のためにログインさせるのが目的です。銀行、決済サービス、大手通販が名乗られます。

4つ目が還付金と当選型です。「還付金の手続き期限が近づいています」「ポイントの有効期限が本日までです」。損をしたくないという心理を使います。税務署や自治体を名乗る例もあります。

5つ目がアプリ更新型です。「セキュリティの更新が必要です。こちらからインストールしてください」。これは情報の入力ではなく、不正なアプリを入れさせるのが目的です。

この5つ以外の文面はほとんど来ません。逆に言えば、この5つに当てはまるSMSが来たら、内容を読む前に疑ってよいということです。判定の第一段階はここで終わります。

送信元の表示は、判断材料にならない

多くの人が最初に見るのが送信元です。ところが、ここは信用できません。理由を分けて説明します。

まず、電話番号は偽装できます。海外の事業者を経由して送信する場合、表示される番号を任意に設定できる仕組みが存在します。だから、本物の事業者と同じ番号が表示されることがあります。

次に、送信者名の問題です。SMSには、数字ではなく企業名などの文字列を送信者として表示できる仕組みがあります。これも設定次第で偽装が可能で、実際に本物と同じ名前で届きます。そして厄介なことに、同じ送信者名として扱われた結果、本物のSMSが並んでいるスレッドの中に偽物が混ざります。過去のやり取りの続きに見えるので、疑う理由が消えてしまう。

3つ目が、海外からの発信です。番号の先頭に国番号が付いていたら不審だ、という説明をよく見ますが、これは片側しか合っていません。国番号付きの番号から来るものの多くは怪しいという意味では正しいのですが、国内の番号に見えるからといって安全ではありません。「国番号なら怪しい」は使えても、「国内番号なら安心」は成り立たない。この非対称を理解しておいてください。

メールの世界では送信ドメイン認証という仕組みが広まり、なりすましを機械的に減らせるようになりました。SMSにはそれに相当する仕組みが行き渡っていません。だから、送信元を見る時間があれば、その時間を本文とURLの判定に使うほうが有益です。

結論として、判定は本文の型とURL、そして「自分が今その連絡を待っているか」の3つで行います。送信元は見ても構いませんが、それで安心しないでください。

URLは、右から読むと迷わない

URLの判定には、覚えておくと一生使えるコツがあります。ドメインは右から読む、という原則です。

たとえば「amazon.co.jp.example-track.com」というURLがあったとします。左から読むと「amazon.co.jp」で始まるので本物に見えます。しかし実際に接続される先を決めるのは右側で、この場合は「example-track.com」です。amazonという文字列は単なる飾りです。ドメインは右から2つ、日本の企業サイトなら右から3つを見て、そこが正規のものかどうかを判定します。

次に、トップレベルドメインの傾向です。フィッシング対策協議会の月次報告によれば、報告されたURLのトップレベルドメインは.comが約8割を占め、続いて.info、.cn、.shopなどが並びます。つまり、見慣れない拡張子だから怪しいという判定は半分しか当たりません。.comでも怪しいものが圧倒的に多い。拡張子で判定するのではなく、ドメイン全体が正規のものと一致するかで判定してください。

3つ目に、正規のサービスのドメインが使われるケースがあります。クラウドサービスやファイル共有サービスのドメイン配下に偽のページを置く手口です。協議会の報告でも、大手クラウドのドメインが多く使われていることが指摘されています。この場合、ドメインだけでは判別できません。本文の型と、自分が待っている連絡かどうかで判断することになります。

4つ目に、短縮URLです。中身が見えないので、判定そのものが不可能になります。事業者が短縮URLで重要な通知を送ることはあまりありません。短縮URLが来たら、それだけで開かない理由になります。

そして、いちばん確実な運用を書いておきます。URLを判定しない、という運用です。SMSのリンクは開かず、用件が気になるなら公式アプリを開くか、ブックマークから公式サイトに入る。本当に荷物があるなら追跡番号で調べられますし、本当に未払いがあるなら公式アプリに表示されます。判定を上手くなるより、判定しなくて済む習慣のほうが強い。

本物の事業者が書かないことを覚えておく

判定をもう一段確実にするために、正規の事業者がSMSで書かないことを知っておいてください。これに当てはまれば、URLを見るまでもなく偽物です。

1つ目、金融機関がIDやパスワード、暗証番号をSMSやメールで尋ねることはありません。警察庁も明記しています。ワンタイムパスワードを「こちらに入力してください」と求めてくるものも同じで、本物のワンタイムパスワードは自分が操作している画面に入れるものであって、送られてきたリンクの先に入れるものではありません。

2つ目、本日中に対応しないと法的手続きに移る、という通告がSMSだけで来ることはありません。実際の督促は書面で、内容証明や特別送達といった形を取ります。短い時間を切って焦らせるのは、調べる時間を与えないためです。期限が異常に短いこと自体が、判定材料になります。

3つ目、アカウントの制限を解除するために、SMSのリンクから個人情報を入力させることはありません。正規のサービスは、アプリを開くか公式サイトにログインするよう案内します。リンクで完結させようとするのは手口の側の都合です。

4つ目、公的機関が還付金の手続きをSMSで案内することは基本的にありません。税や保険料の還付は書面で通知され、ATMの操作を求められることもありません。

5つ目、セキュリティの更新をSMSのリンクから行うよう求めることはありません。OSもアプリも、更新は端末の設定か公式のアプリストアから行われます。

この5つを覚えておくと、本文を読み終える前に判定が終わります。家族に説明するときも、この形で渡すと伝わりやすい。長い注意事項より、「こういうことは本物は書かない」という形のほうが記憶に残ります。

気になる用件を、安全に確かめる3つの方法

疑わしいSMSを無視した結果、本当に必要な連絡だったらどうしよう。この不安が、リンクを開かせます。だから、開かずに確かめる方法を先に用意しておきます。

1つ目が公式アプリです。宅配、通信、銀行、通販。主要なものはアプリを入れておけば、本当に用件があればアプリ側に通知や表示が出ます。SMSに書かれていることがアプリに何も出ていなければ、それは偽物です。この照合はほぼ確実で、判定に迷いません。

2つ目が、自分で調べた番号やURLからの確認です。宅配なら伝票番号を公式サイトの追跡フォームに入力する、通信料金なら契約者向けのマイページにブックマークから入る。SMSに書かれた番号やリンクは使わず、自分が持っている経路だけを使う。この原則を守れば、文面がどれだけ巧妙でも引っかかりません。

3つ目が、家族や同僚に見せることです。一人で判断しているときは焦りが入りますが、他人が見ると冷静に読めます。特に、同じ文面が複数人に届いていれば、その時点で大量送信だと分かります。職場であれば共有しておくと、同じ手口が来たときに全員が守られます。

逆に、やってはいけない確認方法もあります。SMSに書かれた電話番号にかけて確かめる、というのがそれです。かけた先が手口の側なら、そこで本人確認を装って情報を取られます。折り返しは必ず、自分で調べた代表番号にしてください。

そして、荷物の不在通知に限って言えば、最も確実なのは紙の不在票です。実際に配達に来ていれば紙が入っています。紙がなくSMSだけというのは、それ自体が不自然です。この1点を家族に伝えておくだけでも、被害はかなり減らせます。

なぜ自分の番号に届くのか

登録した覚えがないのに届く。この疑問を解いておくと、対策の方向が定まります。

最大の理由は、電話番号が推測可能だからです。携帯電話の番号は決まった形式の11桁で、先頭の数桁も限られています。残りを機械的に生成すれば、実在する番号に当たります。メールアドレスと違って、桁数も文字種も少ないため、総当たりが現実的に成立してしまう。つまり、どこにも登録していなくても届きます。

2つ目が、流出した名簿です。過去の漏えいで電話番号が含まれていれば、それが売買され、送信先のリストになります。氏名や住所と組になっていれば、文面に名前を入れた、より本物らしいSMSが届くようになります。

3つ目が、被害者の端末からの発信です。前に書いた不正アプリの例のように、感染した端末の連絡先に対して送信されることがあります。知人の名前で届いた場合、疑う理由がなくなるので危険度が上がります。知人からのSMSでも、文面が前述の5つの型に当てはまるなら、いったん別の手段で本人に確認してください。

4つ目が、ウェブサイトへの入力です。キャンペーンの応募や、無料の診断サービス、副業の資料請求。電話番号を求めてくる場面で入力したものが、そのまま流れていることがあります。任意欄なら空欄で出す、という習慣をつけるだけで、露出を減らせます。

対策としては、届くこと自体は完全には止められない、という前提に立つのが現実的です。だからこそ、届いたときに判定できる状態と、判定を誤っても被害が広がらない状態の2段構えにします。前者が本文とURLの読み方で、後者がパスワードの使い分けと二段階認証です。

開いてしまったあと、何をするかは3つに分かれる

リンクを開いてしまった時点では、まだ被害は確定していません。何をしたかで対応が変わります。

第1の分岐は、ページを見ただけで何も入力していない場合です。この段階なら、多くの場合は問題ありません。ページを閉じ、履歴とキャッシュを消しておきます。ただし、開いた直後にアプリのインストールを促す画面や、設定ファイルのダウンロードが始まった場合は次の分岐に進んでください。

第2の分岐は、IDやパスワード、カード情報を入力してしまった場合です。ここは速度が全てです。まず、そのサービスのパスワードを変更します。次に、同じパスワードを使っている他のサービスをすべて変更します。カード情報を入力したならカード会社に連絡して停止と再発行を依頼し、銀行の情報なら取引銀行に連絡します。そして、そのサービスにログイン履歴を確認する機能があれば、身に覚えのないアクセスがないかを見ます。メールアカウントの情報を入力した場合は特に急いでください。メールを取られると、他のサービスのパスワード再設定がすべて通ってしまいます。復旧の順番はGmailが乗っ取られたときの対策に整理してあります。

第3の分岐は、アプリや設定ファイルを入れてしまった場合です。これがいちばん深刻です。端末内の連絡先、SMSの内容、認証コードまで読み取られる可能性があります。ネットワークを切り、入れたアプリを削除し、それでも不審な挙動が続くなら初期化を検討します。あわせて、その端末で使っていた主要なサービスのパスワードを、別の安全な端末から変更してください。感染した端末で変更しても意味がありません。

どの分岐でも共通してやることが1つあります。二段階認証の有効化です。パスワードが漏れていても、認証の2つ目の要素があれば侵入を止められます。警察庁もワンタイムパスワードと生体認証の活用を挙げています。乗っ取りが疑われる段階での確認手順はアカウントが乗っ取られたときの対処法にまとめています。

端末と回線の設定で、届く量そのものを減らす

判定を続けるのは疲れます。そもそも届かないようにする設定を入れておくほうが、長期的には楽です。

携帯電話会社は、迷惑メッセージをブロックする機能を無料で提供しています。国際SMSの受信を拒否する設定、危険なURLを含むSMSを自動で判定する設定などがあり、契約者向けのアプリやマイページから有効にできます。これを入れるだけで、届く量が目に見えて減ります。家族の端末でも設定しておいてください。

端末側にも機能があります。iPhoneには、連絡先に登録されていない送信者からのメッセージを別のタブに振り分ける設定と、迷惑メッセージのフィルタ機能があります。Androidにも迷惑SMSの検出機能があり、標準のメッセージアプリで有効にできます。どちらも設定の中にあるので、一度探して入れておく価値があります。

アプリのインストール元を制限することも重要です。Androidでは提供元不明のアプリのインストールを許可しない設定を維持します。iPhoneでは、構成プロファイルのインストールを求められたら、まず正規の手続きかを疑ってください。企業から配布されるもの以外で、個人がこれを入れる場面はほとんどありません。

OSとアプリの更新も、地味ですが効きます。偽サイトから端末の脆弱性を突かれる経路があるため、更新を溜めないこと。自動更新を有効にしておけば、意識せずに済みます。

そして、パスワードの使い回しをやめることが、被害の上限を決めます。1つ漏れても1つで済む状態を作っておく。これは判定の巧拙と関係なく効く対策です。

自分や会社が騙られる側になったとき

受け取る側の話をしてきましたが、事業をしていると騙られる側になることがあります。顧客から「おたくの名前でこんなSMSが来た」と連絡が来る場面です。

まず、事実確認をします。自社が送ったものかどうかを調べ、送っていないなら、その旨を公式サイトとSNSで速やかに告知します。文面の実物を掲載し、自社は該当する連絡をしていないこと、リンクを開かないでほしいことを書きます。ここで動きが遅いと、被害が自社の信用に跳ね返ります。

次に、偽サイトの停止を依頼します。フィッシング対策協議会や関連する通報窓口にURLを報告すると、ブラウザの警告表示やサイトの停止につながることがあります。自社のブランドが悪用されたことの記録としても残ります。

そして、メールについては送信ドメイン認証の設定を確認してください。SPF、DKIM、DMARCの3つで、特にDMARCは認証に失敗したメールの扱いを送信側で指定できます。警察庁も事業者向けの対策としてこれを挙げています。

事業者にあっては、自社のドメインの悪用を防止する観点で『送信ドメイン認証技術』の導入をご検討ください。 出典: npa.go.jp

SMSについては、送信者名の登録や、正規の送信に使う番号を公式サイトで公開しておくことが対策になります。「当社がSMSを送る番号はこの2つだけです」と明示しておけば、顧客が照合できます。あわせて、自社からの連絡でURLを含むものを減らす、という設計上の判断もあります。リンクを踏ませない運用にしておけば、顧客に「うちはリンクを送りません」と言い切れます。

通報すると何が起きるのか

判定して削除するだけでも自分は守れますが、通報すると次の人が守られます。手間は1分程度なので、習慣にしておく価値があります。

偽サイトのURLを見つけた場合、警察庁はフィッシング110番への通報を案内しています。通報されたURLは関係機関に共有され、ブラウザの警告表示やサイトの停止につながることがあります。実際、同じホスト名が繰り返し使い回されるケースが多いため、1件の通報が多数の被害を止めることがあります。協議会の報告でも、同一のホスト名が10回以上使い回されたURLが報告全体の半分を超えたとされています。

携帯電話会社にも通報の窓口があります。多くの事業者が、迷惑SMSを特定の番号に転送する仕組みを用意しており、転送されたものはフィルタの精度向上に使われます。自分が転送した文面が、後から自動でブロックされるようになる。この循環があるので、面倒でも回す意味があります。

かたられたブランドの公式窓口に報告するのも効きます。大手の通販や銀行は、自社をかたる偽メールやSMSの報告窓口を持っています。企業側が偽サイトの停止を申し立てる材料になります。

実際に金銭の被害が出た場合は、最寄りの警察署かオンラインの受付窓口に相談してください。不正送金なら金融機関、カードの不正利用ならカード会社に補償制度がある場合があります。ここは早さが結果を分けるので、恥ずかしさで遅らせないことが重要です。

なお、通報の際にスクリーンショットを添えられると精度が上がります。文面、送信元の表示、届いた日時が1枚に入っていると扱いやすい。削除する前に1枚撮っておく癖をつけておくと、後から役に立ちます。

手口の変化を追い続けるための情報源

手口は変わります。半年前の見分け方が通用しなくなることがあるので、情報源を持っておいてください。

フィッシング対策協議会は毎月、報告件数、悪用されたブランド、URLの傾向をまとめた月次報告を公開しています。2026年8月の報告では、報告件数が82,338件に達し、悪用されたブランドは96件、上位5ブランドで全体の約7割を占めたとされています。どのブランドが狙われているかが分かれば、自分が使っているサービスに関する注意度を上げられます。

警察庁のサイバー警察局も、フィッシング対策のページで相談事例と手口を更新しています。文面の実例が載っているので、家族に説明するときの材料になります。

加えて、自分が使っているサービスの公式のお知らせも見ておく価値があります。大手の銀行や通販は、自社をかたる偽SMSの実例を公開していることが多い。届いたものと見比べられます。

もう一段踏み込んで、仕組みとして理解したい場合は体系的な学習が近道です。認証やマルウェア、ネットワークの基礎が分かると、個々の手口を暗記しなくても判断できるようになります。入口としてはITパスポートが扱いやすく、実務寄りに進めるならCompTIA Security+やCompTIA Network+が対応する範囲を見ておくとよいと思います。

こうした知識は防御だけでなく仕事にもなります。中小企業の相談に乗る、社内研修の資料を作る、注意喚起の文面を書く。分野としてどんな仕事があるかはAI・マーケティング・セキュリティのお仕事で俯瞰でき、収入の水準はその他の情報処理・通信技術者の年収・単価相場で確認できます。詐欺に詳しくなる過程が、そのまま仕事の材料になるのは悪くない話だと思います。

家族の端末に先に入れておく設定

最後に、自分より先に家族の端末を手当てしてください。ここが穴になりやすいからです。

高齢の親の端末には、迷惑メッセージのブロック機能と、提供元不明アプリの禁止を入れておきます。そのうえで、伝えるのは1つだけにします。「SMSのリンクは開かない。気になったら私に転送して」。複数のルールを伝えると覚えられませんが、1つなら守れます。

子どもの端末では、アプリのインストールに保護者の承認を必要とする設定を使います。あわせて、キャリア決済の上限をゼロにしておくと、被害額の上限が決まります。金額の上限を決めておくのは、判定を教えるより確実です。

そして、家族が引っかかったときに叱らない。これは前の節で書いたことと同じです。隠されると対応が遅れ、被害が広がります。「開いちゃった」と言える関係を保っておくほうが、結果として被害は小さくなります。

自分の端末についても、定期的に見直してください。半年に一度、迷惑メッセージの設定が有効か、OSが最新か、二段階認証が主要なサービスに入っているかを確認する。手口が変わっても、この3つが揃っていれば大きく崩れることはありません。

よくある質問

Q. 送信元が国内の携帯番号なら、安全と考えてよいですか？

いいえ。SMSの送信元番号や送信者名は偽装できる仕組みがあり、本物と同じ表示で届くことがあります。既存の正規のスレッドの中に偽物が混ざる場合もあります。送信元は判断材料として弱いので、本文の型、URLのドメイン、そして自分がその連絡を待っていたかどうかの3つで判定してください。

Q. リンクを開いてしまいましたが、何も入力していません。大丈夫でしょうか？

ページを表示しただけで、情報の入力もアプリのインストールもしていなければ、多くの場合は問題ありません。ページを閉じて履歴を消しておいてください。ただし、開いた直後にアプリのインストールや設定ファイルのダウンロードを促された場合は別です。応じていないかを確認し、心当たりがあれば端末の点検に進んでください。

Q. 偽の追跡アプリを入れてしまった場合はどうなりますか？

端末内の連絡先やSMSの内容が読み取られ、登録されている番号へ大量のSMSが送信されることがあります。自分が次の加害の踏み台になる構造です。まずネットワークを切り、そのアプリを削除してください。不審な挙動が残るなら初期化を検討します。パスワードの変更は、感染した端末ではなく別の安全な端末から行ってください。

Q. 届くSMS自体を減らす方法はありますか？

あります。携帯電話会社が無料で提供している迷惑メッセージのブロック機能を有効にしてください。国際SMSの拒否や、危険なURLを含むSMSの自動判定などが選べます。あわせて、iPhoneなら不明な送信者の振り分けとフィルタ、Androidなら標準メッセージアプリの迷惑SMS検出を有効にすると、届く量が目に見えて減ります。

Q. 自分の会社の名前で偽SMSが送られていると連絡を受けました。何をすべきですか？

まず自社が送ったものかを確認し、送っていなければ公式サイトとSNSで文面の実例を示して注意を告知してください。次に、偽サイトのURLを通報窓口に報告します。並行して、メールについてはSPF、DKIM、DMARCの設定を確認し、SMSは自社が使う送信番号を公式サイトで公開しておくと、顧客が照合できるようになります。