スミッシング（SMS フィッシング）：テキストメッセージ詐欺の解説

主な手口

• • パッケージが遅延、未配達、または即座の対応が必要であると主張するテキストメッセージを送信する配送詐欺。偽の FedEx、UPS、USPS、Amazon サイトへのリンクが含まれており、支払い情報またはログイン認証情報を盗むことを目的としています。
• • 不正なアクティビティ、ロックされたアカウント、または必要な認証を虚偽に主張する銀行口座セキュリティアラート。被害者の実際の銀行と一致するなりすまし番号を使用して正当性を見せかけ、認証情報を収集するサイトにユーザーを誘導します。
• • 未払い税金、社会保障の停止、刺激給付金適格性、または偽造された問題を解決するための即座の支払いを要求する脅しを主張する税務または政府になりすましメッセージ。ギフトカード、送金、または暗号通貨による支払いを要求します。
• • 詐欺師が正当なサービスからのコードとして見えるメッセージを送信し、受信から数分以内に実際のアカウントへのアクセスを許可する認証コードを転送するよう被害者を騙す二要素認証バイパス攻撃。
• • 宝くじの当選、ギフトカード報酬、またはコンテスト賞品を虚偽に主張する賞金と懸賞通知。被害者に処理手数料の支払い、銀行詳細情報の提供、または存在しない賞品を請求するための悪意のあるリンククリックを要求します。
• • HR 部門または経営陣から偽のメッセージで従業員をターゲットにする雇用と給与詐欺。W-2 情報、直接デポジット変更、または緊急送金を要求します。検証がより可能性が低い忙しい時期にタイミングを合わせることが多いです。

見分け方

• 未知の番号またはショートコードからの予期しないテキストメッセージで、なじみのある企業を代表していると主張するもの。特に、その組織との保留中の取引、配送、またはアカウント問題がない場合。
• 「24 時間以内に返信」、「即座の対応が必要」、または「アカウントが閉鎖される」など、自然なスケプティシズムを回避し、性急な決定を強制することを目的とした人工的な時間圧力を作成する緊急な言語。
• 短縮 URL または疑わしいリンク。claimed 送信者の公式ドメインと一致しず、bit.ly、tinyurl.com、または正当な企業ウェブサイトの誤綴バリエーションを使用することが多い。
• パスワード、社会保障番号、クレジットカード詳細、またはアカウント PIN を含むテキストを通じた機密情報のリクエスト。正当な組織は SMS を通じてこのような情報をリクエストしません。
• 「親愛なるお客様」または「アカウント保有者」などの一般的な挨拶。実際の名前の代わりに、広く配信された詐欺メッセージで、実際の身元を知っている企業からの個別化されたコミュニケーションではないことを示します。
• 文法とスペルエラー、異常なフォーマット、または正当な組織の専門的なコミュニケーションスタイルと異なる不器用な表現。外国の詐欺操作からの翻訳を示唆することが多い。

身を守る方法

• 未承諾のテキストメッセージ内のリンクは決してクリックしないこと。代わりに、会社の公式ウェブサイトをブラウザに手動で入力するか、公式アプリを使用してアカウントステータスを直接確認してください。
• 可能な限り認証アプリを使用した多要素認証を有効にすること。SMS ベースの二要素認証は SIM スワップおよび洗練された犯罪者による傍受攻撃に対して脆弱なままです。
• 疑わしいメッセージを公式ウェブサイトからの電話番号またはクレジットカードの裏に記載されている番号を使用して組織に直接連絡することで確認する。疑わしいテキスト自体に記載されている連絡先情報は使用しないこと。
• スミッシング試行を 7726（SPAM）に疑わしいテキストを転送することで携帯キャリアに報告する。これにより、プロバイダーは詐欺メッセージを特定・ブロックでき、より広範な詐欺防止データベースに貢献します。
• フィッシング対策を含むモバイルセキュリティソフトウェアをインストールし、スミッシング攻撃がマルウェアまたはスパイウェアをインストールするために利用する脆弱性にパッチを当てるため、電話のオペレーティングシステムを定期的に更新する。
• 電話番号を全国登録なし電話リストに登録し、認証コードの確認が必要だと主張するテキストに特に注意する。正当な企業は、どの通信方法でも認証コードを共有するよう要求することはありません。

実例

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。