スミッシング詐欺とは？

こんにちは。アイシーティーリンクの吉野です。
ブログの更新が遅れてしまい、順番が前後してしまいました。

突然ですが、皆さんは「スミッシング詐欺」って聞いた事がありますか？
スミッシングは比較的最近の言葉で、英語では「Smishing」と表されます。
これはSMSを用いたフィッシング詐欺の略称で、SMS Phishing→Smishingと呼ばれるようになりました。アメリカ人は昔から省略形が好きですからね。と書いておきながら、ん？実は日本人も省略形好きじゃん？と思いました。了解を「りょ」とか、アーティストの名前すらも省略しがちですからね。Official髭男dismを「ヒゲダン」と呼んだり。

話が逸れましたが、今回はスミッシングについてお話ししたいと思います。

まず、フィッシング詐欺とは何かをおさらいしますが、簡単に説明しますと「電話じゃないネット版オレオレ詐欺」です。電話による「オレオレ詐欺」については、もうこの世に出て久しい為皆さんもご存知だと思いますが、これらの被害に遭うのは高齢者の方々が多いとされています。声を聞き分ける事が難しかったり、息子を装って犯人が電話を掛けて来るので対象がおのずと高齢者の方々になります。

これに対してフィッシング詐欺は対象がとてつもなく広いです。男女関係なく年齢も様々ですが、「下手な鉄砲も数撃ちゃ当たる」ような手法です。偽のショッピングサイトそっくりなページを作成し、あたかも正規のページを装ってユーザーにログインを促し、その際にログイン用のユーザー名とパスワードを盗む方法です。アドレス名こそ違えど、それ以外のデザインやロゴは全部本物からパクって来てますのでその出来栄えは感動すら覚えます。（以下は楽天の偽サイト説明から引用しました）

ここ最近はフィッシング詐欺が一般的となってきた為、簡単に騙されなくなってきました。Amazonを装ったメールも楽天市場を装ったメールも、警戒して受信者が開かなくなってきたのです。加えてメールサーバー側で対策をしているケースが増えた為、自動的に「迷惑メール扱い」されてメールそのものが届かなくなって来ました。

そこで犯人たちは「どうやったら迷惑メール扱いにならないか」「どうやって受信者の興味・注意を惹きつけるか」を色々考えました。その労力をもっと生産的な事に使えば犯罪者にならないのに、人を騙すことばかり考えてる人生なんて悲しいですが・・・それだけリターンが大きいのでしょうね。
迷惑メールのフィルターがキツいので、それを回避する方法として「電話番号宛にショートメールすればイケるんじゃね？」「もっと内容ヤバめにして焦らせなきゃダメじゃね？」と、こんな口調で言ったかは知りませんが、手口が巧妙化してきたのです。

とうとうこんな感じでドコモを名乗って利用料金の話をして来ました。
（情報共有の為に差出人の番号もアドレスもマスクせずに載せます）

現代の人々にとって携帯電話が使えなくなる事は死を意味します。検索もできない、メッセージも出来ないだけではなく、止められてしまったら電子マネーも使えなくなってしまいます。焦った受信者は反射的にこのSMSで届いたメッセージ内のリンクをタップしてしまうのです。犯人の思うツボです。

これらのSMSにも怪しい部分が潜んでいます。こちらのSMSは実際に届いたもので比較的優秀な出来栄えですが、漢字が日本語にないものだったり、文法が変だったり、極め付けはソフトバンクのユーザーに送りつけて来たりします（なんでやねん、と）。

このリンクをタップすると「My Docomo」に偽装したページへ誘導され、本人確認の為にdアカウントのIDとパスワードを要求されます。この入力画面で入れてしまったIDとパスワードが窃取されるパターンです。また、最近ではMy Docomoへ誘導するのではなく、「NTTセキュリティ」などと銘打った偽物アプリをインストールするページへ誘導し、誰にも邪魔されない環境でやりたい放題個人情報を抜きまくる事象も発生しています。
（画像はドコモサイトより引用）

IDとパスワードを盗んで何が嬉しいかというと、iTunesギフトカードやGooglePayギフトカード5万円分とかが購入できるので、購入してそのコードを転売したりして利益を得る仕組みです。ドコモは対策として高額なカードの販売を停止しましたが、これは苦肉の策で根本的な対策にはなりません。犯人が犯行に及んでも旨みを消すだけの効果しかありませんので・・・

最も大切なのは、このようなメッセージがSMSで届いても開かない、そしてもし開いてしまったとしても無視する事です。携帯電話の利用料金を払ったかどうかは自分がよく知ってるはずですし、銀行口座やクレジットカードの引き落としがあれば間違いなく処理されています。しかも携帯キャリアはこんな通告1回で即停止などしません。最低３回は通達した上で「いついつに止めるよ」と連絡してきますので、万が一手違いがあっても慌てる事なく行動してください。

スミッシングは携帯電話を狙った詐欺行為ですが、パソコンのメールでは迷惑メールフィルタをすり抜けてユーザーの受信箱に届くメールもあります。
正規メールアドレスが乗っ取られて本人になりすましたメールは絶対にフィルタに引っかかりません。差出人は本人ですから疑う余地もなく、経理担当者を装ったメールがいつもの口調で「オンラインバンクがメンテナンスの為使えなくなりますので、緊急で振込先を変更して下さい」といった文章と共に、危険なサイトへ誘導するリンクを含んだものが届いたらどうしますか？

↓以下PRタイム：

そんな攻撃にも対応できるのが、弊社のセキュリティ製品「Cyber Security Guardian」です。従来のシステム（ファイヤーウォールやUTMなど）でも防げず、ウイルス対策ソフトにも検知出来ない悪質なリンク入りメールはこれから怒涛のように押し寄せてきます。もしそのリンクを誤ってクリックしてしまった場合にも、自動的にその通信を遮断します。

製品の品質と性能には絶対の自信を持っています。是非ご検討ください！
https://www.ictlink.jp/csguardian/

それでは、また。