スミッシングはSMSフィッシングという広義のカテゴリーに分類されます。詐欺師はショートメッセージサービスを利用して被害者を欺き、個人情報（パスワードや金銭、銀行口座など）へのアクセスを得ようとするためです。彼らは、銀行、政府機関、その他の信頼できる企業など、信頼できる機関から発信されたように見せかけたメッセージを作成します。連邦取引委員会（FTC）によると、銀行を装った詐欺が最も一般的なテキストメッセージ詐欺であり、全スミッシングメッセージの10%を占めるとされています。
スミッシングメッセージ送信の核心的な目的は、受信者に悪意のあるリンクをクリックさせたり、返信を通じて個人情報を開示させたり、マルウェアやその他の悪意のあるコンテンツをダウンロードさせたりすることです。メッセージは正当に見えますが、無防備な被害者を犠牲にして金銭的利益を得るという裏の意図で作成されています。サイバー犯罪者が攻撃手段としてスミッシングを増加させている真の理由は、携帯電話が日常生活に不可欠な存在となり、ユーザーがメールよりもテキストメッセージを信じる傾向が強まっているためです。本記事ではスミッシングを詳細に解説します：その仕組み、警告サインの見分け方、従来型フィッシングとの違い。さらに、従業員の認証情報漏洩や大規模データ侵害に至る可能性もある攻撃が、企業に与える影響についても考察します。さらに、サイバー犯罪者が主になりすましや緊急性を装う手口で被害者を欺き、スミッシング攻撃を実行する手法についても解説します。
スミッシング（SMSフィッシング）とは？
スミッシングとは、フィッシング特に携帯電話とSMS/テキストメッセージングを対象としたものです。この種の攻撃では、銀行、店舗、政府機関などの正当なサイトから送信されるメッセージに似せて、悪意のあるメッセージが携帯電話に送信されます。攻撃者は、被害者に悪意のあるリンクをクリックさせたり、テキストメッセージを通じて機密情報で埋め尽くされたフォームに入力させたりすることを狙います。
このような詐欺は、個人情報の盗難、個人または企業アカウントへの不正アクセス、金融詐欺につながる可能性があります。モバイル通信の需要が高まるにつれ、スミッシングは、こうした無防備なユーザーを標的とするサイバー犯罪者によって最も頻繁に利用される手段の一つとして台頭しています。
スミッシングの一般的な兆候
スミッシングメッセージは信頼できる組織を装い、一見正当な送信元のように見えます。しかし、以下の兆候がスミッシングの可能性を示唆します。主な兆候は以下の通りです：
- 銀行口座の凍結や未払い金の支払いなど、緊急の対応を求めるメッセージ。
- アカウントへのログインや個人情報の更新を求める不審なリンクが送られてくる。
- パスワード、クレジットカード番号、社会保障番号の要求。
- 誤字脱字や句読点の誤り。送信者が詐欺師である可能性を示唆しています。
- 正当性や専門性に欠ける電話番号。
スミッシングとフィッシングの違い
スミッシングは、攻撃の手法においてフィッシング攻撃とは異なります。典型的なフィッシング攻撃は通常メールを介して行われますが、スミッシングはSMSメッセージを通じて行われます。サイバー犯罪者は、日常的なコミュニケーションにおけるユーザーの信頼を利用し、正当な組織を装うために、これらの手法のいずれか、あるいは両方を使用します。
いずれの攻撃も情報データの取得が目的ですが、その手法や戦略は大きく異なります。攻撃を効果的に識別し防御するためには、これらの手法を理解することが極めて重要です。
- フィッシング: フィッシングは主に電子メールで行われ、攻撃者は銀行、オンライン小売業者、政府機関など信頼できる組織を装った偽のメッセージを送信します。多くの場合、アカウント更新のためのリンククリック、添付ファイルのダウンロード、個人情報の入力などといった行動を促すリンクをクリックするよう指示するケースが一般的です。フィッシングメールは、ログイン認証情報を盗む詐欺サイトへ誘導したり、コンピュータデバイスにマルウェアをダウンロードさせたりする可能性があります。近年では、メールフィルターの改善やサイバーセキュリティ啓発プログラムの普及により、人々はフィッシングメールへの警戒心を高めており、ほぼ容易に識別できるようになっています。
- スミッシング：スミッシング（SMSフィッシング）は携帯電話のテキストメッセージを介して発生します。これらのメッセージは個人の携帯電話に表示されるため、より緊急性が高く、フィッシングメールにはない誠実さを装って送信されます。主に迅速で直接的なコミュニケーションに用いられるため、ユーザーは疑わしく思わず、メッセージを信じたり即座に行動したりする可能性が高いです。スミッシングメッセージは、リンクのクリック、個人情報の返信、電話番号への発信などを促す可能性があります。
スミッシングが企業に与える影響
スミッシング攻撃が成功すると、組織にデータ漏洩や業務中断といった甚大な損失をもたらします。この種の攻撃は、個々の従業員だけでなく、財務的損失や評判の低下に晒される可能性のある全てのネットワークにとって問題となります。
スミッシングが企業にもたらすリスクには以下のようなものがあります：
- 機密データの損失：スミッシング攻撃により、従業員の機密認証情報や重要な企業データが盗まれる可能性があります。攻撃者は、ログイン情報、口座詳細、その他の機密情報を従業員から騙し取るために、欺瞞的なメッセージを頻繁に用います。これらの認証情報でアクセス権を得た後、悪意のある攻撃者は企業システムに侵入し、専有情報を窃取したり、より大規模なサイバー攻撃を仕掛けるために利用したりする可能性があります。顧客の機密データや知的財産を扱う企業にとって、このような侵害は壊滅的な打撃となり、コンプライアンス問題や法的影響を招く恐れがあります。
- 金融詐欺: スミッシング攻撃は直接的な金銭的損失につながります。例えば、サイバー窃盗犯は上級幹部や財務部門を装い、資金移動や支払い承認を求める非常に説得力のあるテキストメッセージを送信します。スミッシングの一般的な特徴を理解していない従業員が騙されると、組織は巨額の損失を被る可能性があります。場合によっては、保険金請求に問題が生じたり、詐欺口座に送金された資金が回収不能になることもあります。
- 評判の毀損： 攻撃が成功すると、企業の評判は深刻なダメージを受けます。顧客や取引先が、自社がこうした攻撃に晒されていると感じた場合、信頼を失う可能性があります。例えば、スミッシング詐欺によって従業員が悪用され、顧客情報が漏洩した場合、それは公の抗議、悪評、さらには事業損失につながる可能性があります。金融や医療のような規制の厳しい業界では、機密情報の漏洩は懲罰的措置につながる可能性もあります。これは、事業の地位やイメージをさらに損なうことになります。
- 業務中断: スミッシング攻撃により業務は深刻な支障をきたします。攻撃者が重要システムを損傷したり、生産性や業務効率に影響を与えるマルウェアを展開したりすることで、システムダウンが発生する可能性があります。場合によっては、企業は侵害を封じ込め、結果的な損害を最小限に抑えるために、事業の一部を停止せざるを得ないこともあります。システム復旧、侵害調査の実施、セキュリティプロトコルの強化など、こうした攻撃からの回復には多大な費用と時間がかかり、企業の貴重なリソースを消耗させます。
スミッシングの手口とは？
スミッシング攻撃は通常、標的となる個人を騙して機密情報を開示させたり、フィッシングサイトにアクセスさせたりするための周到に計画・実行された手口で展開されます。これらの詐欺は、信頼と緊急性に基づいています。
彼らは、標的となった被害者にリスクを十分に熟考する間も与えず、反応を促すような架空の緊急事態を作り出すふりをします。通常、その手口は次のとおりです。
- 餌（おとり）：攻撃はまず、銀行、政府機関、配送会社、大手小売業者など、信頼できる組織から送信されたと偽ったテキストメッセージとして現れます。これらのメッセージは、馴染みのあるロゴ、言葉遣い、書式を用いて可能な限り公式に見せかけ、受信者に「指定された組織からのメッセージ」と信じ込ませるよう巧妙に作成されています。この段階では、フックは被害者の注意を引き、メッセージを信じ込ませることを目的としています。
- フック: 次にメッセージは、緊急性や恐怖心を煽り、受信者に迅速な行動を促します。銀行口座の問題修正、支払い遅延、配送トラブルなど、緊急の対応が必要だと主張する場合があります。メッセージは、リンクのクリック、特定の電話番号への発信、ログイン認証情報や口座番号などの機密情報の返信を要求する場合があります。これがスミッシングの核心的な戦略であり、被害者にメッセージの真偽を確認する時間を与えずに、緊急性に応じて反応させることを強いるのです。
- 欺瞞の手口: 被害者が指示に従うと、本物と見分けがつかない偽サイトへ誘導されます。このサイトではユーザー名、パスワード、クレジットカード情報などの個人情報の入力を要求します。場合によっては、メッセージは情報を直接取得する代わりに、被害者のデバイスにマルウェアをダウンロードさせることもあります。マルウェアは静かにコマンドを待ち受け、他の機密情報（認証情報など）を盗み取るだけでなく、攻撃者がデバイスに遠隔アクセスする可能性さえも生み出します。
- 窃取:この段階、あるいはデータ窃取直後に、この種のサイバー攻撃者は被害者から個人情報、金融口座、機密ビジネス情報を抽出します。通常、盗まれたデータはダークウェブで売買され、その後、身元盗用、不正な銀行送金、企業システムへのさらなる攻撃など、被害者をさらに搾取するために利用される可能性があります。
Singularity™プラットフォームのようなAI駆動型検知システムは、スミッシング攻撃をリアルタイムで特定し、迅速な対応を可能にします。
サイバー犯罪者が用いる一般的なスミッシング戦術
サイバー犯罪者は、スミッシングメッセージを正当に見せかけ、受信者に即座の行動を促すために様々な手段を用います。信頼感、緊急性、好奇心といった手法で被害者を騙し、個人情報の開示や有害リンクを通じた悪意ある行動への参加を誘導します。
攻撃者が頻繁に用いるスミッシングの手法には以下のようなものがあります：
- なりすまし：最も一般的な手法は、銀行、オンラインショップ、政府機関などの有名ブランド名を悪用した偽のメッセージを作成することです。政府機関などの有名ブランド名を悪用して偽の画像を作成する方法です。信頼できる送信元からのもののように見せかけたメッセージには、ロゴや馴染みのある言葉・フレーズ、そして正当に見える連絡先情報が含まれており、受信者はそのメッセージを信頼すべきだと信じ込まされ、指示に従うことになります。受信者は信頼できる組織に対して行動していると誤認したまま、指示を実行してしまうのです。
- 緊急性と恐怖: サイバー犯罪者は被害者に緊急性や恐怖心を抱かせることが多い。例えば、セキュリティ警告、アカウント停止、直ちに対応が必要な不審な活動などを予告するメッセージを送る。パニックを誘発することで、被害者は警戒心を捨て、リンクをクリックしたり、本物かどうか確認せずに機密情報を渡したりするよう促される。
- 魅力的なオファー: これはもう一つの一般的な手口で、賞品やギフトカードなどの魅力的なオファーを餌に、金銭や情報の提供を要求します。限定セールや無料特典を提示し、金銭や情報と引き換えに提供すると偽ります。メッセージでは、個人情報やクリックと引き換えにのみ、景品が添付されている、またはオファーが間もなく終了すると主張します。このような誘引は、景品や割引への欲求を強め、人々を詐欺に対してより脆弱にします。
- 配達通知: これは、特に休暇期間中に詐欺師が使用するもう一つの一般的な手法です。例えば、このホリデーシーズンには、メッセージによれば荷物が届いている、あるいは配送が遅れているとされ、受信者にリンクをクリックして追跡情報を確認するよう求めます。多くの人々が特定の時期に配達を待っているため、これは非常に説得力があり、関与の可能性を高めます。
スミッシング攻撃の見分け方
スミッシング攻撃を認識するのは非常に困難ですが、公式のテキストメッセージとそうでないものを区別する手がかりは存在します。
警戒心を持ち、注意すべき点を把握していれば、これらの詐欺の被害に遭うのを防ぐ可能性が高まります。潜在的なスミッシング攻撃を見分ける効果的な方法をいくつかご紹介します：
- 送信者番号の確認： メッセージを受信した際にまず行うべき最も重要なことの1つは、そのメッセージの送信元番号を特定しようと試みることです。スパム送信者や詐欺師は通常、不審な、あるいはスパムっぽい印象を与える未知の番号や迷惑番号からメッセージを送信します。その番号が記憶にない、アドレス帳に登録されていない、あるいは汎用的な短いコード番号である場合は、特に警戒してください。正当な組織は通常、認証済みかつ登録済みの電話番号から連絡を取ります。
- 予期しない要求に注意： パスワード、社会保障番号、クレジットカード番号などの個人情報を提供するよう求めるテキストメッセージには警戒してください。合法的な組織がテキストメッセージでそのような情報を要求することはありません。事前に通知なくアカウント認証が必要だと主張しながら個人情報を要求するメッセージは、ほぼ間違いなくスミッシングの一種です。
- リンクを精査する： メッセージにリンクが含まれている場合、クリックせずにマウスを乗せてリンク先のURLを確認してください。これにより、不審なサイトや未知のサイトに誘導されていないか確認できます。スペルを確認しましょう。スペルは正当な組織の公式ウェブサイトと一致している必要があります。不審なメッセージからのリンクはクリックしないでください。これらは主に情報を盗むことを目的とした偽サイトへ誘導します。
- 直感を信じましょう：テキストメッセージを評価する際は直感を信頼してください。何かおかしいと感じたり、自称する企業にとって意味をなさないメッセージは、詐欺の可能性が高いです。メッセージの口調や使用言語にも注意を払いましょう。スミッシングの試みには、文法やスペルミスが多く見られ、これらは詐欺メッセージの典型的な特徴です。何かおかしいと感じた場合は、直接その組織に電話してください。公式に認められた連絡経路で問い合わせてください。相手側が実際に送信したメッセージかどうかを教えてくれるでしょう。
スミッシングを防ぐ方法：スミッシング対策のベストプラクティス
個人や企業をスミッシング攻撃から効果的に守るためのベストプラクティスはいくつか存在します。事前に対策を講じ、情報を得ることで、これらの詐欺に引っかかるリスクを最小限に抑える可能性が高まります。
スミッシングを防ぐために実践できる効果的な対策には以下が含まれます：
- 不審なテキストメッセージ内のリンクをクリックしない: スミッシングを回避する最善策は、不審なテキストメッセージ内のリンクを絶対にクリックしないことです。リンクをクリックするよう求めるメッセージを受け取った場合、信頼できる人物や組織からのものか確認してからクリックしてください。そのようなリンクをクリックすると、個人情報を盗む有害サイトに接続されたり、デバイスにマルウェアがインストールされたりする可能性があります。
- 送信元の確認: 組織や企業を名乗る不審なテキストメッセージを受け取った場合、公式ルートを通じて当該組織に連絡し送信元を確認してください。メッセージ内の連絡先情報は詐欺の可能性もあるため、返信したり使用したりしないでください。メッセージの真正性を確認できる連絡先は、企業の公式ウェブサイトで確認するのが賢明です。
- 不審なメッセージには返信しない： 個人情報や金融情報を求めるメッセージには絶対に返信しないでください。正当な組織がテキストメッセージで機密情報を求めることは稀です。そのような情報を求めるメッセージはおそらくスミッシングです。最善の対処法は通常、メッセージを削除することです。
- スパムフィルターを有効にする： お使いのモバイル端末がスパムフィルタリング機能をサポートしている場合は、それを有効にしてください。スパム フィルタリングにより受信箱への迷惑メッセージの流入を制限でき、正当な情報をより効果的に除外できる可能性があります。スパムフィルターの設定は、スミッシング攻撃の効果を弱めるのにも役立ちます。
- スミッシングの報告： スミッシングの試みを受けた場合は、通信事業者または地元の当局に報告してください。ほとんどの通信事業者は、詐欺師に対処するのに役立つ詐欺テキストを報告する仕組みを設けています。通報は認知度向上にもつながり、他者が同様の攻撃に遭うのを防ぐ助けとなります。
- 従業員教育： 従業員にスミッシングのリスクと識別方法を教えることは、企業にとって必須です。従業員は、スミッシングの手口、警告サイン、機密データに対する適切なセキュリティ対策について警戒心を高めるため、頻繁にトレーニングを受けるべきです。教育を受けた従業員は、組織のセキュリティ文化において最も重要な資産と言えるでしょう。
一般的なスミッシングの例
サイバー犯罪者がスミッシング攻撃で使用するメッセージの種類を知ることで、こうした詐欺による不測の事態を識別し回避できます。遭遇する可能性のある最も一般的なスミッシングメッセージの例を以下に示します：
- 銀行口座ロック通知「お客様の銀行口座がロックされました。こちらで本人確認を行ってください：[悪意のあるリンク]」この種の詐欺は緊急性を煽ります。口座を復旧させるために急いで対応する必要があると思わせます。通常、このリンクをクリックするとフィッシングサイトに誘導され、ログイン情報が盗まれます。
- 荷物の配達通知“お荷物の配達が遅れています。再配達をご希望の場合はこちらをクリックしてください：[悪意のあるリンク]」と記載されています。これらのメッセージは、特に休暇シーズンにおける荷物配達受取という一般的な経験を利用しています。被害者は問題を解決するためにリンクをクリックするよう誘導されますが、これは単に詐欺サイトへ直接誘導するものであり、個人情報の入力を要求される可能性があります。
- 当選通知“500ドルのギフトカードに当選しました！今すぐ賞品を受け取ってください：[悪意のあるリンク]。このようなメッセージは、受信者が賞品獲得に抱く期待心につけ込みます。しかし、リンク先は「賞品」授与を装い個人情報を収集するページであることが多く、情報の危険に晒されます。
- 不審な活動に関する警告”緊急：アカウントで不審な活動が検出されました。アカウントを保護するため、ユーザー名とパスワードを返信してください。」 このようなメッセージは、偽りの安心感を与えつつ、直接機密情報を共有するよう促します。正当な組織はSMSで機密データを要求しません。したがって、これは明らかな危険信号です。
結論
スミッシングは個人だけでなく企業にもリスクをもたらすため、サイバー犯罪者が詐欺の手口を絶えず進化させているため、これらの詐欺の仕組みや潜在的な危険を察知する方法について常に最新情報を得ることは不可欠です。攻撃者が用いる他の手口の中でもスミッシングの最も一般的な兆候を知り、それらを最も効果的に防ぐ方法を知ることで、個人情報を保護する準備が整います。信頼できる組織がSMSで機密情報の提供を求めることは決してありません。不審なメッセージには細心の注意を払いましょう。警戒心を持ち、注意深く行動することで、悪意ある攻撃の被害に遭う可能性を低減できます。攻撃の疑いがある場合は関係当局に通報し、アカウントのセキュリティ強化を直ちに行ってください。スミッシングやその他の進化する脅威に対する包括的な防御策として、Singularity™ Endpoint Security があらゆる攻撃経路における防御体制をいかに強化できるかご確認ください。,
SMSフィッシング（スミッシング）に関するよくある質問
SMSフィッシング（スミッシング）とは、攻撃者が被害者にショートメッセージで悪意のあるメッセージを送信し、その結果、被害者が銀行口座番号、社会保障番号、ログインパスワードなどの機密情報を騙されて提供してしまう特定のサイバー犯罪です。これらのメッセージの多くは信頼できる送信元からのように見せかけられているため、非常に説得力があります。
迷惑SMSで受信した不審なリンクをクリックせず、個人情報の要求に応じないことでスミッシング攻撃を防ぎます。送信元が正当な組織かどうかは、疑わしいSMSに記載された情報に頼らず、公式の連絡先を使用して直接確認してください。
不審なテキストメッセージを受け取った場合、反撃しないでください。代わりに、携帯電話会社の報告機能を通じてメッセージを報告するか、地元の当局に連絡してください。また、そのテキストメッセージは将来的に脅威となる可能性があるため、その後削除すべきです。
フィッシング、スミッシング、バイシングは、いずれもサイバー犯罪者が機密情報を入手するために用いる手口です。フィッシング攻撃は、攻撃者が信頼できる組織を装ったメールを通じて行われるケースがほとんどです。スミッシングはSMSメッセージを介して行われ、バイシングは単に信頼できる情報源を装った電話をかけて被害者の情報を引き出すものです。これらの手口はすべて、被害者を騙して個人データを明かさせることを目的としています。
スミッシングメッセージに返信することは決して安全ではありません。返信すると、電話番号が有効であることの確認とみなされ、今後さらに多くのスパムや詐欺メッセージが届く可能性があります。メッセージを報告し削除することが最善の対応です。常に警戒を怠らないでください。
一般的なSMSフィッシング詐欺は、個人情報の提供や悪意のあるソフトウェアのダウンロードを騙し取ることを目的とした詐欺テキストメッセージの形を取ります。最も多いのは、あなたの名前を含むすべてのデータを保有する銀行からの警告で、あなたの口座に不審な動きがあったと伝えるものです。
もう一つの非常に一般的な詐欺は、荷物の配達通知で、荷物の遅延や、偽のサイトへのリンクで機密情報を入力して確認する必要があると伝えるものです。その他のスミッシング詐欺には、企業や機関を装った偽のコンテスト、政府プログラムに関する通知、あるいは緊急性を装って騙そうとする偽のアカウント更新通知などがあります。