スミッシング (Smishing) とは、SMS (ショートメッセージ) を利用したフィッシング詐欺の手法です。「SMS」と「Phishing」を組み合わせた造語で、偽のメッセージに含まれるリンクから受信者を偽サイトに誘導し、個人情報やクレジットカード情報を窃取します。メール経由のフィッシングとは誘導経路が異なるため、フィッシング対策協議会の月次報告でも「スミッシング」として区別して注意喚起の対象になっています。
典型的な手口は 4 パターンに分類できます。第一に、宅配業者を装った不在通知 (「お荷物をお届けに上がりましたが不在でした」)。第二に、銀行を装ったセキュリティ警告 (「お客様の口座に不正アクセスがありました」)。第三に、通信事業者を装った料金未払い通知 (「利用料金が未納です。本日中にお支払いください」)。第四に、官公庁を装った還付金通知 (「税金の還付があります」)。いずれも緊急性を煽る文面で冷静な判断を奪い、リンク先の本物そっくりの偽サイトで ID・パスワード・クレジットカード番号を入力させます。
スミッシングがメールフィッシングより見抜きにくいのは、SMS の届き方に理由があります。メールはスパムフィルターで大半が迷惑メールフォルダーへ振り分けられますが、SMS は電話番号だけを宛先として端末の標準アプリに直接届き、本文の冒頭が通知に表示されるため、受信者がその場で目を通してしまいやすい経路です。さらに、発信者番号偽装技術を使えば、正規の企業名や電話番号を送信元として表示できるため、受信者が偽物と見抜くのは困難です。Android 端末では、偽サイトから不正なアプリをインストールさせ、端末内の連絡先に同様の SMS を自動送信させる手口も報告されています。
対策の基本は、SMS 内のリンクを絶対にタップしないことです。宅配の不在通知なら公式アプリや公式サイトで直接確認し、銀行の通知ならブックマークからログインします。身に覚えのない SMS は無視して削除するのが最善です。iPhone の「不明な差出人をフィルタ」、Android のメッセージアプリの「スパム保護」といった端末側の振り分け機能を有効にしておくと、不審な SMS が通知に混ざりにくくなります。機能の名称は OS のバージョンによって異なります。発信者番号偽装の手口と見破り方では、送信元の表示が偽装される仕組みを解説しています。届いた SMS が怪しいと感じたら、本文を貼り付けて確認できるSMS 詐欺チェッカーも利用できます。