不在通知 SMS 詐欺とは
「お荷物のお届けにあがりましたが不在のため持ち帰りました。再配達はこちら」。このような SMS を受け取った経験がある人は少なくないでしょう。フィッシング対策協議会の月次報告では、SMS から誘導される フィッシング (スミッシング) について、宅配便関連の不在通知を装う文面から偽サイトへ誘導する型の報告が多いという記述が、2023 年 12 月・2024 年 1 月と続きました。同協議会が受け付けたフィッシング報告は 2023 年 12 月の 1 か月で 90,792 件 (前月より 6,444 件増) です。EC 市場の拡大で宅配便の利用頻度が上がったことも、「荷物が届くはず」という心理的な隙を突きやすくしています。
この詐欺の巧妙さは、日常的な行動パターンに溶け込む点にあります。ネット通販を頻繁に利用する人ほど「何か注文したかもしれない」と思い込みやすく、SMS 内のリンクをタップしてしまいます。宅配便を装う電話詐欺と同様に、物流インフラへの信頼を悪用した手口です。
被害事例
事例 1: 偽サイトでクレジットカード情報を入力
30 代会社員の A さんは、090 番号から「ヤマト運輸よりお荷物のお届けに上がりましたが不在の為持ち帰りました。再配達のご依頼は下記よりお願いします」という SMS を受信しました。ちょうどネット通販で注文した商品の到着を待っていたため、疑うことなくリンクをタップ。表示されたサイトはヤマト運輸の公式サイトとほぼ同一のデザインで、再配達の日時指定フォームが表示されました。
フォームには氏名、住所、電話番号に加え、「本人確認のため」としてクレジットカード番号の入力欄がありました。A さんは「再配達にカード情報が必要なのか」と一瞬疑問に思いましたが、「着払いの荷物かもしれない」と自分を納得させて入力してしまいました。翌日、カード会社から「海外サイトで 15 万円の決済がありました」という通知が届き、被害に気づきました。
この事例のポイントは、被害者自身が「おかしい」と感じたにもかかわらず、自分で合理的な説明を作り出して入力を続けた点です。犯人はこの心理を計算しており、「本人確認」「セキュリティ認証」といった一見もっともらしい理由を添えることで、被害者の疑念を打ち消します。
事例 2: 不正アプリのインストール (Android)
50 代主婦の B さんは、「佐川急便よりお荷物のお届けにあがりましたが不在の為持ち帰りました」という SMS を受信。リンクをタップすると、「最新版の佐川急便アプリをインストールしてください」という画面が表示されました。B さんは指示に従ってアプリをインストールしましたが、これは佐川急便を装った不正アプリでした。
不正アプリは B さんのスマートフォンから SMS の送受信権限を奪い、B さんの電話番号を使って同様の詐欺 SMS を大量に送信しました。さらに、スマートフォンに保存されていた連絡先、写真、メールの内容が外部サーバーに送信されていたことが後日判明しました。B さんの電話番号からは約 3,000 件の詐欺 SMS が送信され、通信料として約 5 万円が請求されました。
Android 8.0 以降は、端末全体で「提供元不明のアプリ」を許可するスイッチ自体がなくなり、ブラウザやファイル管理アプリなど「どのアプリからのインストールを許可するか」を個別に指定する方式になりました。SMS のリンク先からアプリのファイルを開こうとすると、この許可を求める画面が出ます。そこで許可を与えないこと、そして Google Play プロテクトによるスキャンを有効にしておくことが防御線になります。
事例 3: Apple ID の乗っ取り (iPhone)
20 代大学生の C さんは、不在通知 SMS のリンクをタップしたところ、Apple ID のログイン画面が表示されました。「荷物の追跡にはログインが必要です」という説明を信じ、Apple ID とパスワードを入力。さらに、二要素認証のコードの入力も求められ、SMS で届いた 6 桁のコードを入力してしまいました。
犯人は C さんの Apple ID を乗っ取り、iCloud に保存されていた写真やメモにアクセス。さらに、Apple ID に紐づいたクレジットカードで App Store のギフトカードを約 8 万円分購入しました。C さんが異変に気づいたのは、Apple からの「新しいデバイスからサインインがありました」というメール通知を見た時でした。
iPhone ユーザーを狙う手口では、不正アプリのインストールではなく、Apple ID の窃取が主な目的です。荷物の追跡に Apple ID が必要になる場面は、正規のサービスにはありません。Apple の公式サイト以外で Apple ID の入力を求められたら、入力せずに画面を閉じてください。二要素認証と電話番号のリスクも参考にしてください。
SMS 詐欺の手口の特徴
不在通知 SMS 詐欺には、いくつかの共通パターンがあります。
- 送信元番号: 携帯電話番号 (070、080、090) から届くことが多い。これは不正アプリに感染した一般ユーザーの端末から送信されているため
- URL の特徴: 正規のドメインに似せた偽ドメインを使用。「yamato-delivery.com」「sagawa-express.net」など、一見本物に見える URL が使われる
- 届く時間帯: 実際に配達がありそうな時間帯に届くと、それだけで説明がついてしまう。時刻の自然さは本物である証拠にならない
- 文面のバリエーション: 「不在のため持ち帰りました」「配達状況を確認してください」「住所に誤りがあります」など、複数のパターンが確認されている
被害を防ぐための対策
- SMS 内のリンクをタップしない: 宅配業者からの通知は、公式アプリまたは公式サイトに直接アクセスして確認する。SMS 内のリンクは一切タップしない
- 公式アプリで追跡する: ヤマト運輸、佐川急便、日本郵便の公式アプリをインストールし、荷物の追跡は必ず公式アプリから行う
- Android はインストール許可を与えない: 「不明なアプリのインストールを許可しますか」と聞かれても許可しない。「設定」→「セキュリティとプライバシー」→「Google Play プロテクト」でスキャンを有効にしておく (項目名は端末やバージョンによって異なります)
- SMS フィルタリングを有効にする: iPhone の「設定」→「メッセージ」→「不明な差出人をフィルタ」を有効にすると、連絡先に登録されていない番号からの SMS が別タブに振り分けられる
- 不審な SMS を通報する: フィッシング対策協議会は報告受付アドレス (info@antiphishing.jp) を公開しています。SMS はメールへ直接転送できないため、スクリーンショットを撮って添付するよう案内されています。各キャリアの迷惑 SMS 報告窓口も利用できます
被害に遭った場合の対処
クレジットカード情報を入力した場合
直ちにカード会社に連絡し、カードの利用停止と再発行を依頼してください。不正利用された金額は、カード会社の補償制度で返金される可能性があります。補償の適用には、被害に気づいてから速やかに届け出ることが条件となるため、発覚後すぐに行動することが重要です。
不正アプリをインストールした場合
まず機内モードを有効にして通信を遮断し、不正アプリをアンインストールしてください。その後、スマートフォンに保存されているパスワードをすべて変更します。通信料の不正請求については、キャリアに連絡して状況を説明し、減額や取り消しを交渉してください。
Apple ID やパスワードを入力した場合
Apple ID のパスワードを直ちに変更し、二要素認証の設定を確認してください。Apple ID に紐づいたクレジットカードの利用明細を確認し、不正な決済があればカード会社と Apple サポートの両方に連絡します。
いずれの場合も、電話詐欺の通報ガイドを参考に、警察 (#9110) と消費生活センター (188) への相談を行ってください。被害届の提出は、同様の手口による被害の拡大防止にもつながります。