宅配便業者に加えて通信事業者をかたる偽ショートメッセージサービス（SMS）が増加中

IPAでは、安心相談窓口だよりにて宅配便業者をかたる偽ショートメッセージサービス（以下SMS）の手口について取り上げてきました（脚注1）。本手口に関する相談は継続して寄せられていますが、最近の相談内容からは通信事業者をかたった偽SMSの出現や、被害につながる手口の変化が確認されています。

そこで、本窓口だよりでは、これまでの窓口だよりで解説してきた内容と、最近確認されている相談内容を集約し、手口、影響、対処と被害にあわないための対策についてあらためて解説します。

目次

• (脚注1)
  • 「宅配便業者をかたる偽ショートメッセージに関する相談が急増中」
  • 「宅配便業者をかたる偽ショートメッセージに関する新たな手口が出現し、iPhoneも標的に」
  • 「宅配便業者をかたる偽ショートメッセージで、また新たな手口が出現」
  • 「宅配便業者をかたる偽ショートメッセージに引き続き注意！」

1．概要

これまで多くの相談を受けていた佐川急便、日本郵便、ヤマト運輸などの宅配便業者をかたり、お荷物の宛先不明やお荷物を持ち帰ったなどの偽の文面からURLをタップさせていた偽SMSについて、新たに通信事業者をかたる偽SMSが加わり、利用料金の支払いが確認できないなどの偽の文面からURLをタップさせようとしています。最近の相談内容から、au（KDDI）、ドコモなどの通信事業者をかたっていることが確認されています（図1）。

通信事業者をかたる偽SMSは10月頃から相談を受けるようになりました（図2）。偽SMSの手口は、これまでにもかたるブランド名を変えてきた経緯（脚注2）もあり、今後も利用者が多いブランド名をかたり継続すると考えられます。

• (脚注2)
  • 2018年7月　Androidを狙った110件の佐川急便をかたる偽SMS
    2018年8月　iPhoneも標的になる
    2020年2月　ヤマト運輸、日本郵便をかたる偽SMSの相談件数増加
    2020年6月　GoogleサービスやGoogle Chromeのアップデートと称して不審アプリのインストールを誘導する手口が出始める
    2021年10月　au、ドコモをかたる偽SMSの相談が増加

また、Androidを狙った偽SMSでは不正なアプリをインストールさせる手口において正規のセキュリティアプリを削除させる場合があることや、iPhoneを狙った偽SMSでは偽サイトへ誘導して未払金があるように思わせる手口が新たに加わるなど変化が見られます（図3）。

2．手口の解説および対処方法

2-1. Androidの場合

2-1-1. 手口

Androidを狙った最近の手口では、大きく分けて次の2つの手口が確認されています。

a. 不正なアプリをインストールさせ、正規のセキュリティアプリを削除させる場合がある手口（図4）

(1) 偽SMSを受信し、記載のURLをタップして、偽サイトにアクセスする。
(2)～(4) 利用者を煽るような偽の画面が表示され対処を促すように誘導される。
(5)～(12) 不正なアプリ（偽のセキュリティアプリ）をダウンロードして、インストールする。

(13) 不正なアプリのインストールが終わった後、正規のセキュリティアプリの削除に誘導される場合がある（図5）。
(14)～(17) 偽のセキュリティアプリが、正規のセキュリティアプリを削除する。

削除される正規のセキュリティアプリは次の3つを確認しています（図6）。

• あんしんセキュリティ　（NTTドコモ）
• マカフィーモバイルセキュリティ　（McAfee LLC）
• 安心ネットセキュリティ　（KDDI）

b. 不正なアプリをインストールさせる従来型の手口（図7）

(1) 偽SMSを受信し、記載のURLをタップして、偽サイトへアクセスする。
(2)～(4) 表示されたメッセージに従い、不正なアプリのファイルを保存（ダウンロード）する。
(5)～(11) 表示されたメッセージに従い、不正なアプリをインストールする。
このあとに、フィッシングサイト（IDやパスワードを入力する画面）に移動することがある。

• (脚注3)
  • 同じ手口として、ヤマト運輸の偽SMS、佐川急便の偽SMSなどを確認しています。

2-1-2. 影響

Androidでの影響は、次のような事例が確認されています。

不正アプリをインストールした場合の影響

同じ内容の偽SMSを送信

• 不正なアプリをインストールしたスマートフォンから、同じ内容のSMSが見知らぬ宛先に多数送信されます。
• 発信者電話番号が伝わるため、そのSMSを受信した相手から、折り返しの電話やSMSの返信が来る場合があります。
• SMSメッセージ送信料金が発生するため、電話料金が増大します。

スマートフォン内のデータの不正使用

• 不正なアプリによりスマートフォン内のデータやSMSメッセージが窃取され、不正使用される可能性があります。

当窓口には、次のような相談が寄せられています。

• 携帯電話会社が提供するキャリア決済サービスにて、身に覚えのない請求が発生した。
• 自分が所有しているアカウントを不正使用された。
• フリーマーケットサービス、後払い決済サービス、その他のアカウントサービス等にアカウントを勝手に作成され、不正使用された。

スマートフォンのセキュリティ対策の一部が機能しなくなる

• セキュリティアプリが削除された場合、セキュリティ対策が機能しないことによりさらなる被害につながりやすくなります。
• 提供元がGoogle Playではないアプリのインストールを許可する設定になったままなので、不審なアプリがインストールされやすい状態が続きます。

不正なアプリをインストールしたあとにフィッシングサイトへ誘導され情報を入力してしまった場合の影響

入力した情報の不正使用

• フィッシングサイトで情報を入力した場合は、その情報を不正使用される可能性があります。

2-1-3. 対処

Androidでの対処は、次のとおりです。

不正なアプリをインストールした場合の対処

(1)スマートフォンを機内モードに

• スマートフォンを機内モード（Wi-Fi接続もオフ）に設定してください。これにより、通信を無効化し、当該スマートフォンからSMSの送信を抑止することが可能です。また、当該スマートフォン内の情報が外部に送信されることもなくなります。

(2)不正アプリのアンインストール

• 機内モードの状態で、不正なアプリのアンインストールを実施してください。アンインストールすれば、これ以降新たにSMSは送信されません。
• アプリはスマートフォンのホーム画面には表示されない場合もありますので、設定アプリのアプリ一覧から探してアンインストールを実施してください（図8）。

(3)スマートフォンの初期化

• 不正なアプリのインストールによる、スマートフォン本体への影響範囲は不明です。そのため、より安全な対処として、アプリのアンインストールだけではなく、スマートフォンの初期化を推奨します。
• 初期化の実施後にデータの復元を行う際は、不正なアプリをインストールした時点より前のバックアップデータを使用してください。初期化の操作方法はお使いのスマートフォンを契約している携帯電話会社等にお問い合わせください。
• セキュリティアプリが削除された場合は、セキュリティアプリの再インストールが必要な場合があります。また、セキュリティアプリの初期設定が必要な場合があります。

(4)アカウントのパスワード変更

• 初期化後にGoogleアカウント、およびスマートフォンで利用しているサービスの各アカウントのパスワードを変更してください。各アカウントのパスワードはできるだけ「長く」、「複雑」なものとしてください。そして、それらのパスワードを「使い回さない」ようにしてください。また、「多要素認証」が提供されている場合、利用することを推奨します（脚注4）。

(5)キャリア決済の請求確認

• 身に覚えのないキャリア決済の請求が発生していないか、使用している携帯電話会社に確認してください。

(6)その他アカウントサービス等の不正使用確認

• 不正アプリのインストール以降、携帯電話会社、フリーマーケットサービス、後払い決済サービス、その他のアカウントサービス等から登録や変更に関するメールやSMS等が届いていた場合は、当該サービス提供会社へ不正使用が発生していないか等を確認してください。

1. SMSは初期化をすると消えてしまうため、初期化する前に上記を確認してください。

誘導されたフィッシングサイトに情報を入力した場合の対処

アカウントのパスワード変更

• フィッシングサイトにアカウント情報（ID、パスワード）等を入力した場合は、パスワードを至急変更してください。パスワードはできるだけ「長く」、「複雑」なものとしてください。そして、それらのパスワードを「使い回さない」ようにしてください。また、「多要素認証」が提供されている場合、利用することを推奨します（脚注4）。
• 情報を入力したアカウントサービスで不正使用が発生していないか、当該サービス提供会社へ確認してください。

• (脚注4)
  • 「不正ログイン対策特集ページ」

2-2．iPhoneの場合

2-2-1. 手口

iPhoneを狙った最近の手口では、大きく分けて次の2つの手口が確認されています。

a. フィッシングサイトに誘導し、アカウント情報とギフト券番号を入力させる手口（図9）

(1) 偽SMSを受信し、記載のURLをタップして、フィッシングサイトにアクセスする。
(2)～(6) au IDとパスワードを入力すると、未払い料金を請求する偽のメッセージと偽の請求額が表示される。
(7)～(9) iTunesギフトカードのシリアル番号（ギフトカード番号、PINコードともいう）を入力する。

b. フィッシングサイトに誘導し、アカウント認証情報とクレジットカード情報を入力させる手口（図10）

(1) 偽SMSを受信し、記載のURLをタップして、フィッシングサイトにアクセスする。
(2)～(7) Apple IDとパスワードを入力し、着信したApple ID確認コードを入力する。（Apple ID確認コード入力がない場合もある）
(8)～(10) クレジットカード情報等を入力する。

2-2-2. 影響

iPhoneでの影響は、次のような事例が確認されています。

フィッシングサイトに情報を入力した場合の影響

アカウントの不正ログインや不正使用

• フィッシングサイトで情報を入力した場合は、その情報を不正使用される可能性があります。

• 特に、フィッシングサイトに認証コードを入力した場合は、被害につながる可能性が高くなります。
• 当窓口には、次のような相談が寄せられています。
  • ・Apple ID、パスワード、Apple ID確認コードを入力したところ、不正ログインされた。
  • ・電話番号とキャリア決済サービスの認証コードを入力したところ、身に覚えのない請求が発生した。
  • ・電話番号と認証コードを入力したところ、フリーマーケットサービス等にアカウントを勝手に作成された。

クレジットカード情報の不正使用

• クレジットカード情報を入力した場合は、その情報を不正使用される可能性があります。

ギフトカードのシリアル番号（ギフトカード番号、PINコードともいう）を入力することによる金銭的被害

• ギフトカードのシリアル番号を入力した場合は、購入したギフトカードの額面（金額）が相手に渡ってしまいます。見ず知らずの相手に金銭を送ることと同じ行為になります。

2-2-3. 対処

iPhoneでの対処は、次のとおりです。

フィッシングサイトにアカウントのIDとパスワードを入力した場合の対処

アカウントのパスワード変更

• フィッシングサイトにApple IDとパスワードまたはau IDとパスワードなどを入力した場合は、パスワードを至急変更してください。パスワードはできるだけ「長く」、「複雑」なものとしてください。そして、それらのパスワードを「使い回さない」ようにしてください。また、「多要素認証」が提供されている場合、利用することを推奨します（脚注4）。
• 情報を入力したアカウントサービスで不正使用が発生していないか、当該サービス提供会社へ確認してください。

フィッシングサイトにクレジットカード情報を入力した場合の対処

クレジットカード会社へ連絡

• フィッシングサイトにクレジットカード情報を入力した場合は、クレジットカード会社へ至急連絡し相談してください。

フィッシングサイトに電話番号と認証コードを入力した場合の対処

キャリア決済の請求確認

• フィッシングサイトに電話場号と認証コードを入力した場合は、身に覚えのないキャリア決済の請求が発生していないか、使用している携帯電話会社に確認してください。

3．被害にあわないための対策

被害に遭わないために、日頃から次のような対策をしてください。

手口を知る

• 知らない危険を避けることは困難です。不正なアプリをインストールさせる手口や、フィッシングの手口の基本を知り、今回の事例だけでなく、今後類似の事例が出現した場合にも備えてください。

すぐに対応を求めるような内容は偽SMSであることを疑い、メール内のURLを安易にタップしない

• リンク機能は便利ですが、不審なサイトへの誘導にも使われます。これまで見たことのないSMSやメールが届いたら、URLをタップする前に、公式サイトなど確かな情報源を使って真偽を確認してください。また、届いたメッセージの全文や一部をインターネット検索することでメッセージに関する情報が得られる場合もあります。
• この安心相談窓口だよりで取り上げた偽SMSでかたられている各事業者の公式ホームページでは、配達に関することやお客さまをあおるような内容はSMSでお知らせしていないことを注意喚起しています。（脚注5）

提供元不明のアプリのインストールをするときは、細心の注意を払う（Androidの場合）

• Androidでは、公式マーケット以外で配信されるアプリを「提供元不明のアプリ」といいます。そのようなアプリの中には、今回の事例のように危険なものもあります。そのため、提供元不明のアプリをインストールするときは、細心の注意が必要です。

パスワードや認証コード等を安易に入力しない

• パスワード、認証コード、クレジットカード情報など、重要な情報は安易に入力しない習慣をつけてください。

• (脚注5)各事業者の注意喚起
• 日本郵便株式会社：
  • 「日本郵便を装った不審メール及び架空Webサイトにご注意ください。」
• ヤマトホールディングス株式会社：
  • 「ヤマト運輸の名前を装った「迷惑メール」および「なりすましサイト」にご注意ください」
• 佐川急便株式会社：
  • 「佐川急便を装った迷惑メールにご注意ください」
• KDDI株式会社：
  • 「KDDI利用料金の「未払い」やauPAY等当社グループサービスを装う偽メールにご注意ください」
• 株式会社NTTドコモ：
  • 「【お客さまへの注意喚起】通信事業者などを装うフィッシング詐欺にご注意ください」

4．よくある質問

本手口において、よくある質問は次の通りです。

相談事例1

相談事例2

相談事例3

相談事例4

相談事例5

5．手口検証動画

本手口に関する検証動画をYouTubeに投稿しておりますので、合わせてご覧ください。

5-1. Android編

動画 Androidの手口編（再生時間：4分28秒）

5-2. iPhone編

動画 iPhoneの手口編（再生時間：2分14秒）