すみっしんぐ

スミッシング

Smishing = SMS + Phishing

SMSを悪用し、偽メッセージで受信者をフィッシングサイトへ誘導して情報を盗む詐欺手法です。

詳しい説明

スミッシングとは、SMS（ショートメッセージサービス）を利用したフィッシング詐欺のことです。SMSの受信者に偽のWebサイトへのリンクを含んだメッセージを送り、クレジットカード情報や個人情報、ログイン情報を盗み出す手口を指します。

メールではなく、電話番号宛に届くSMSを悪用するため、利用者は「電話番号なら安全だろう」と油断しやすい特徴があります。この心理的な隙を突くソーシャルエンジニアリングの一種であり、現代において注意すべき脅威です。

犯人は、宅配便の不在通知や銀行からの緊急連絡を装い、「至急確認してください」といった不安を煽るメッセージを大量に送ります。リンク先には本物そっくりに作り込まれた偽のフィッシングサイトが用意されており、そこで入力された認証情報や個人情報が悪用されます。

種類としては、なりすます相手によって分類されます。配送業者を装うパターンが非常に多く、再配達の確認を装ってサイトへ誘導します。他にも、金融機関の口座凍結や、架空の料金未払いを警告するパターンもあり、巧妙にユーザーを騙そうとします。

ITパスポート試験では、ソーシャルエンジニアリングの具体例として、またフィッシング詐欺の手口として頻出します。「不審なリンクをむやみに開かない」「公式アプリや公式サイト経由で確認する」という対策の重要性が問われます。

基本情報技術者試験では、フィッシングの手法としての技術的な詳細や、攻撃の仕組みが問われます。また、SMS認証を悪用した攻撃など、認証の仕組みに関連して言及されることもあります。利用者への啓発教育という管理的な対策の重要性もあわせて押さえる必要があります。

「フィッシング」は広く偽サイトへ誘導する詐欺全般を指します。スミッシングはその中の、特にSMSを使うものに限定した用語です。メールを使うものは「フィッシングメール」と呼びます。

「なりすまし」は、犯人が他人のふりをして接触することです。スミッシングはなりすましという手法を用いて行われるフィッシング詐欺の一形態と言えます。どちらも人を騙すソーシャルエンジニアリングの手法に含まれます。

最も多い例は「【重要】お荷物のお届けにあがりましたが不在のため持ち帰りました。こちらからご確認ください」という文面です。URLをクリックすると、本物と区別のつかない宅配業者の偽サイトへ飛ばされます。

また、「カードの利用を制限しました」という銀行からの緊急通知を装うケースもあります。あわててログイン情報を入力すると盗まれてしまうため、SMSで送られてきたリンクは原則開かないのが最大の自衛策です。