安心相談窓口だより

 

国税庁をかたる偽SMSや偽メールについて、当窓口では8月に初めて当該手口の相談が寄せられ、8月において8件、9月には15件の相談が寄せられています。偽メールの手口については、スマートフォンやパソコン・タブレットといったデバイス種別によらずメールアドレスを所有しているユーザ全体が対象になるため、手口のおよぶ対象が拡大する懸念があります。
 

　国税庁になりすましたフィッシングサイトへ誘導する手口では、次の2つの手口が確認されています。

a. 国税庁になりすましたフィッシングサイトへ誘導し個人情報やプリペイドカードの発行番号を入力させる手口（図5）

(1)偽SMSまたは偽メールを送り付け、記載のURLをタップ（クリック）させ、国税庁になりすましたサイトへアクセスさせる。
　※図では偽SMSの場合でAndroidの画面遷移を例示
(2)～(3)フィッシングサイトへ誘導してメールアドレス、電話番号、氏名などの個人情報を入力させる。
(4)～(11)プリペイドカードの発行番号や額面を入力させ、さらに券面の写真を撮影して送信させる。
 

図7：不正なアプリをインストールさせキャリアのアカウント認証情報を詐取する手口（クリックして拡大）

b. 不正なアプリをインストールさせ、正規のセキュリティアプリをアンインストールさせる手口（図8）

(1)偽SMSを送り付け、記載のURLをタップさせ、偽サイトへアクセスさせる。
(2)～(4) 偽の警告を表示し、不正なアプリのファイルをダウンロード（保存）させる。
(5)～(12) ダウンロードした不正なアプリをインストールさせる。
(13)～(16) 不正アプリによって正規のセキュリティアプリがアンインストールされる。

　Androidに不正なアプリをインストールさせる手口の影響としては、以下の事例が確認されています。

不正アプリをインストールした場合の影響

同じ内容の偽SMSを送信

• 不正なアプリをインストールしたスマートフォンから、同じ内容のSMSが見知らぬ宛先に多数送信されます。

• 発信者電話番号が伝わるため、そのSMSを受信した相手から、折り返しの電話やSMSの返信が来る場合があります。

• SMSメッセージ送信料金が発生するため、電話料金が増大します。

  

スマートフォン内のデータの不正使用

• 不正なアプリによりスマートフォン内のデータやSMSメッセージが窃取され、不正使用される可能性があります。 当窓口には、過去に次のような相談が寄せられています。

• 携帯電話会社が提供するキャリア決済サービスにて、身に覚えのない請求が発生した。

• 自分が所有しているアカウントを不正使用された。

• フリーマーケットサービス、後払い決済サービス、その他のアカウントサービス等にアカウントを勝手に作成され、不正使用された。

スマートフォンのセキュリティ対策の一部が機能しなくなる

• セキュリティアプリが削除された場合、セキュリティ対策が機能しないことによりさらなる被害につながりやすくなります。

• 提供元不明アプリのインストールを許可する設定になったままなので、不審なアプリがインストールされやすい状態が続きます。

キャリアのアカウント認証情報（電話番号、パスワード、暗証番号）を入力した場合の影響

アカウントに不正ログインされる可能性

• アカウントの乗っ取りや不正使用される可能性があります。
   

3-3. 対処

• スマートフォンを機内モード（Wi-Fi接続もオフ）に設定してください。これにより、通信を無効化し、当該スマートフォンからSMSの送信を抑止することが可能です。また、スマートフォン内の情報が外部に送信されることもなくなります。

不正アプリのアンインストール

• 機内モードの状態で、不正なアプリのアンインストールを実施してください。アンインストールすれば、これ以降新たにSMSは送信されません。

• アプリはスマートフォンのホーム画面には表示されない場合もありますので、設定アプリのアプリ一覧から探してアンインストールを実施してください（図9）。現在確認されている不正なアプリは、実在しているアプリと同じ名称がつけられており、次のものがあります。

• KDDIセキュリティ

• 迷惑メッセージ・電話ブロック

• あんしんセキュリティ

図9：不正アプリのアンインストール方法

アカウントサービス等の不正使用確認とスマートフォン初期化前の処置

• 不正アプリのインストール以降、携帯電話会社、フリーマーケットサービス、後払い決済サービス、その他のアカウントサービス等から登録や変更に関するメールやSMS等が届いていた場合は、当該サービス提供会社へ不正使用が発生していないか等を確認してください。※SMSはスマートフォンの初期化をすると消えてしまうため、初期化する前に上記を確認してください。

• 写真や動画などスマートフォンの初期化で消えてしまうデータについて別メディアに保存しておくことをお勧めします。

スマートフォンの初期化

• 不正なアプリのインストールによる、スマートフォン本体への影響範囲は不明です。そのため、より安全な対処として、アプリのアンインストールだけではなく、スマートフォンの初期化を推奨します。

• 初期化の操作方法はお使いのスマートフォンを契約している携帯電話会社等にお問い合わせください。

• 初期化の実施後に端末状態の復元を行う際は、不正なアプリをインストールした時点より前の端末バックアップデータを使用してください。

• セキュリティアプリが削除された場合は、セキュリティアプリの再インストールや初期設定が必要な場合があります。

アカウントのパスワード変更

• 初期化後にGoogleアカウント、およびスマートフォンで利用しているサービスの各アカウントのパスワードを変更してください。各アカウントのパスワードはできるだけ「長く」、「複雑」なものとしてください。そして、それらのパスワードを「使い回さない」ようにしてください。また、「多要素認証」が提供されている場合、利用することを推奨します^{(注釈3 )}。

キャリア決済の請求確認

• 身に覚えのないキャリア決済の請求が発生していないか、使用している携帯電話会社に確認してください。

キャリアのアカウント認証情報（電話番号、パスワード、暗証番号）を入力した場合の対処

入力した情報の変更

• 可能であれば、パスワード、暗証番号を変更してください。

• 変更不可能の場合は、アカウントが乗っ取られている可能性があります。携帯電話会社へ相談してください。

アカウントが不正使用されていないか確認

• 身に覚えのない決済などが発生していないか確認してください。

• 登録情報が改変されていないか確認してください。

• 身に覚えのない連携サービスがないか確認し、あれば解除してください。

• ご自身のものではない2段階認証端末が登録されていないか確認し、あれば解除してください。

不明なことや不安なことは携帯電話会社へ相談

• 必要に応じて携帯電話会社へご相談されることをご検討ください。

（注釈3)
IPA:「不正ログイン対策特集ページ」
 

●質問 1

偽SMS（偽メール）のURLをタップしてしまい、サイトにアクセスしたが何の操作も入力もせずに閉じました。なにか被害がありますか？

●回答 1

偽サイトにアクセスしただけであれば、被害にはつながりません。

・不正アプリをインストールさせる手口の場合：

表示されたメッセージに沿って操作（アプリのインストール）をしていなければ、影響はありません。ご自身で操作をしていないのに勝手にアプリがインストールされることはありません。

・フィッシングサイトに誘導される手口の場合：

何も入力していなければ、影響はありません。

 

●質問 2

メッセージやメールのURLを注意して見ることでサイトの真偽は判断できますか？

●回答 2

URLを見ただけで、リンク先の真偽を判別することは一般的には難しいです。

・偽SMSの場合：

サイトのURLは短縮URLというものが多く使われていて見た目のURLではどのサイトにジャンプするのか判別できません。

・偽メールの場合：

メールでは実際のアドレスとは異なる文字列をハイパーリンクとして本文中に記載することができます。そのため、本文中では国税庁のURLになっていてもクリックした際にジャンプするURLは別のものが埋められている可能性があるため、見た目では判別できません。

 

●質問 3

URLが https:// で始まるサイトは安全なサイトですか？ 

●回答 3

http:// と https:// の違いについて端的に言うならば通信が暗号化されているかいないかの違いだけであり、サイトの安全性を判別することはできません。

 

●質問 4

Androidに不正アプリをインストールしたが、スマートフォンを買い替えなくてはいけないか？

●回答 4

スマートフォンを初期化することで、不正アプリの影響を取り除くことができます。買い替えの必要はありません。

 

●質問 5

SMSを送ってきた人が攻撃者なのか？ 

●回答 5

攻撃者の可能性もありますが、不正アプリをインストールしてしまった被害者の方から送られてきている可能性もあります。（Android端末に不正なアプリがインストールされる手口の被害＜3-2.影響＞参照）
 

独立行政法人情報処理推進機構 セキュリティセンター
情報セキュリティ安心相談窓口
E-mail:
URL:https://www.ipa.go.jp/security/anshin/