国税庁をかたる偽ショートメッセージサービス（SMS）や偽メールに注意

IPAでは、安心相談窓口だよりにて宅配便業者や通信事業者をかたる偽ショートメッセージサービス（以下SMS）の手口やフィッシングメールの手口について取り上げてきました(注釈1 )。本手口に関する相談は継続して寄せられていますが、8月頃から国税庁をかたった偽SMSや偽メールが確認されています（図1）。

そこで、本窓口だよりでは、最近確認されている相談内容から、手口、影響、対処と被害にあわないための対策についてあらためて解説します。

目次

1．概要

スマートフォンのSMSにおいて、宅配便業者や通信事業者をかたり偽の文面からURLをタップさせていた手口について、新たに国税庁をかたる偽SMSが加わり、重要なお知らせなどの偽の文面からURLをタップさせようとしています。また、メール（E-mail）においても国税庁をかたる偽メールがばらまかれ、偽の文面からURLをタップ（クリック）させようとしています（図2）。

偽SMSのURLをタップすると、プリペイドカードの発行番号やクレジットカード情報を入力させるフィッシングサイトに誘導される手口と、Android端末においては不正なアプリがインストールされる等の手口が確認されています（図3）。偽メールでは、URLをタップ（クリック）すると、偽SMSの場合と同じフィッシングサイトに誘導される手口が確認されています（図4）。

国税庁をかたる偽SMSや偽メールについて、当窓口では8月に初めて当該手口の相談が寄せられ、8月において8件、9月には15件の相談が寄せられています。偽メールの手口については、スマートフォンやパソコン・タブレットといったデバイス種別によらずメールアドレスを所有しているユーザ全体が対象になるため、手口のおよぶ対象が拡大する懸念があります。

2．偽SMSや偽メールでフィッシングサイトに誘導される手口

2-1. 手口

国税庁になりすましたフィッシングサイトへ誘導する手口では、次の2つの手口が確認されています。

a. 国税庁になりすましたフィッシングサイトへ誘導し個人情報やプリペイドカードの発行番号を入力させる手口（図5）

(1)偽SMSまたは偽メールを送り付け、記載のURLをタップ（クリック）させ、国税庁になりすましたサイトへアクセスさせる。
※図では偽SMSの場合でAndroidの画面遷移を例示
(2)～(3)フィッシングサイトへ誘導してメールアドレス、電話番号、氏名などの個人情報を入力させる。
(4)～(11)プリペイドカードの発行番号や額面を入力させ、さらに券面の写真を撮影して送信させる。

b. 国税庁になりすましたフィッシングサイトへ誘導しクレジットカード情報を詐取する手口（図6）

(1)偽SMSまたは偽メールを送り付け、記載のURLをクリック（タップ）させ、国税庁になりすましたサイトへアクセスさせる。
※図では偽メールの場合でパソコンのブラウザでの画面遷移を例示
(2)～(3) 偽の請求メッセージや支払いについて表示する。
(4)クレジットカード情報を入力させる。
(5)認証コードを入力させる。

2-2. 対処

フィッシングサイトに入力した情報は取り返すことができません。情報を入力してしまった場合は、その情報に応じた対処をしてください。

プリペイドカードの発行番号を入力した場合

必要に応じてカードの発行元もしくは最寄りの消費生活センターにご相談してください(注釈2 )。

クレジットカード情報や認証コードを入力した場合

クレジットカードが不正使用されていないか確認してください。不安があれば、カード機能の一時停止や番号変更などクレジットカード会社への連絡を検討してください。

個人情報を入力した場合

さらなる被害につながる不審なメールやSMSが届いたりする可能性があります。相手があたかもあなた自身のことを知っているかのような文面を作成することも可能であるため、詐欺などの手口に十分注意するようにしてください。

3．偽SMSのURLからAndroid端末に不審なアプリがインストールされる手口

3-1. 手口

Androidに不正なアプリをインストールする手口では、大きく分けて次の2つの手口が確認されています。

a. 不正なアプリをインストールさせ、キャリアのアカウント認証情報を詐取する手口（図7）

(1)偽SMSを送り付け、記載のURLをタップさせ、偽サイトにアクセスさせる。
(2)利用者を煽るような偽の画面を表示し、対処を促すように誘導する。
(3)～(10) 不正なアプリをダウンロードさせ、インストールさせる。
(11)～(14) 過去の事例においてau IDの認証に必要な情報を入力させる手口があった。

b. 不正なアプリをインストールさせ、正規のセキュリティアプリをアンインストールさせる手口（図8）

(1)偽SMSを送り付け、記載のURLをタップさせ、偽サイトへアクセスさせる。
(2)～(4) 偽の警告を表示し、不正なアプリのファイルをダウンロード（保存）させる。
(5)～(12) ダウンロードした不正なアプリをインストールさせる。
(13)～(16) 不正アプリによって正規のセキュリティアプリがアンインストールされる。

3-2. 影響

Androidに不正なアプリをインストールさせる手口の影響としては、以下の事例が確認されています。

不正アプリをインストールした場合の影響

キャリアのアカウント認証情報（電話番号、パスワード、暗証番号）を入力した場合の影響

3-3. 対処

Androidでの対処は、次のとおりです。

不正なアプリをインストールした場合の対処

キャリアのアカウント認証情報（電話番号、パスワード、暗証番号）を入力した場合の対処

4．被害にあわないための対策

被害に遭わないために、日頃から次のような対策をしてください。

手口を知る

• 知らない危険を避けることは困難です。不正なアプリをインストールさせる手口や、フィッシングの手口の基本を知り、今回の事例だけでなく、今後類似の事例が出現した場合にも備えてください。
• 偽SMSや偽メールによるフィッシングの手口は利用者自身を欺くものであり、古くからあるにもかかわらず技術的に完全に防ぐに至っていません。利用者一人一人が騙されないように対応していくことになります。
• 今後、他の公的機関をかたる同様の手口が出現する可能性がありますので注意してください。

すぐに対応を求めるような内容は偽SMSや偽メールであることを疑い、本文内のURLを安易にタップしない

• リンク機能は便利ですが、不審なサイトへの誘導にも使われます。これまで見たことのないSMSやメールが届いたら、URLをタップする前に、公式サイトなど確かな情報源を使って真偽を確認してください。また、届いたメッセージの全文や一部をインターネット検索することでメッセージに関する情報が得られる場合もあります。(注釈4)

提供元不明のアプリのインストールをするときは、細心の注意を払う（Androidの場合）

• Androidでは、公式マーケット以外で配信されるアプリを「提供元不明のアプリ」といいます。そのようなアプリの中には、今回の事例のように危険なものもあります。そのため、提供元不明のアプリをインストールするときは、細心の注意が必要です。

パスワードや認証コード等を安易に入力しない

• パスワード、暗証番号、クレジットカード情報、プリペイドカード発行番号など、重要な情報は安易に入力しない習慣をつけてください。

利用者で実施できる技術的対策

• 本手口における技術的対策は被害を完全に防げるものではありませんが、次のことで軽減することができます。
• セキュリティ対策ソフトやアプリを利用することにより、有害サイトブロックやフィッシング詐欺対策機能により、URLをクリック（タップ）しても既知のフィッシングサイトへの接続を防止できる場合があります。また、迷惑メールの振り分けやブロックする機能を有したセキュリティ対策ソフト（アプリ）もあります。
• 通信事業者が提供しているSMSブロックサービス(注釈5 )を設定することで、偽SMSの着信を軽減することが期待できます。
• プロバイダーメールについて、プロバイダー（インターネット接続サービスを提供している事業者）が迷惑メールブロックや迷惑メール振り分けサービスを提供している場合、設定することにより偽メールの着信が減ります。

5．よくある質問

本手口において、よくある質問は次の通りです。

• 1．偽SMS（偽メール）のURLをタップしてしまい、サイトにアクセスしたが何の操作も入力もせずに閉じました。なにか被害がありますか？

  偽サイトにアクセスしただけであれば、被害にはつながりません。

  • 不正アプリをインストールさせる手口の場合：
    表示されたメッセージに沿って操作（アプリのインストール）をしていなければ、影響はありません。ご自身で操作をしていないのに勝手にアプリがインストールされることはありません。
  • フィッシングサイトに誘導される手口の場合：
    何も入力していなければ、影響はありません。

  閉じる

• 2．メッセージやメールのURLを注意して見ることでサイトの真偽は判断できますか？

  URLを見ただけで、リンク先の真偽を判別することは一般的には難しいです。

  • 偽SMSの場合：
    サイトのURLは短縮URLというものが多く使われていて見た目のURLではどのサイトにジャンプするのか判別できません。
  • 偽メールの場合：
    メールでは実際のアドレスとは異なる文字列をハイパーリンクとして本文中に記載することができます。そのため、本文中では国税庁のURLになっていてもクリックした際にジャンプするURLは別のものが埋められている可能性があるため、見た目では判別できません。

  閉じる

• 3．URLが https:// で始まるサイトは安全なサイトですか？

  http:// と https:// の違いについて端的に言うならば通信が暗号化されているかいないかの違いだけであり、サイトの安全性を判別することはできません。

  閉じる

• 4．Androidに不正アプリをインストールしたが、スマートフォンを買い替えなくてはいけないか？

  スマートフォンを初期化することで、不正アプリの影響を取り除くことができます。買い替えの必要はありません。

  閉じる

• 5．SMSを送ってきた人が攻撃者なのか？

  攻撃者の可能性もありますが、不正アプリをインストールしてしまった被害者の方から送られてきている可能性もあります。（Android端末に不正なアプリがインストールされる手口の被害＜3-2.影響＞参照）

  閉じる