「ひっかかるなと言う方が無理」なフィッシング詐欺「スミッシング」、マクニカネットワークスが対応示す

ショートメッセージからのフィッシングに注意！

　ある時、あなたのスマホにショートメールが届く。宅配便の不在通知だ。「お荷物のお届けにあがりましたが不在のため持ち帰りました。ご確認ください。URL : ××××××××××××」リンク先には見慣れた宅配のマークがあり、スマホのアプリやクレジットカードの口座番号を入力させる。

　これが、SMS（ショートメッセージサービス）とフィシングを組みあわせた「スミッシング」だ。個人情報とともにアカウントも乗っ取られ、経済的な被害にあってしまう。

　こうしたスミッシングの被害がなぜ増大しているのか。いったい誰が送っているのか。

　「スミッシングの多くは海外から送られている」とNTTドコモの田中威津馬氏はいう。携帯電話のショートメッセージはインターネットのメールと異なる回線ネットワークを通じて電話番号宛に、プッシュ型で送られる。送信には料金がかかるため、送信者が日本にいても、費用の安い海外の配信サーバーを通じて送られてくる。どのルートから送られているかの特定は難しいという。

　被害者をなくすためには、通信の内容を検知して止めるしかない。しかし、日本には「通信の秘密」という原則がある。「フィッシングを止めるためには、お客様のSMSの中身を見て、判定しないといけないが、中身を見る行為はタブー」だと田中氏は語る。そのうえで、こうした限界を乗り越えて今回、競合関係にある通信の4社が手を組む必要があると方向性を示す。

新型コロナに乗じて拡大したスミッシング

　スミッシングの代表的なものとして、銀行系、運送会社系、キャリア系などがある。マクニカネットワークスのセキュリティチームの鈴木一実氏は「それぞれを得意とする攻撃者グループがあるため、ひっかかるなと言うほうが無理」と述べる。

　たとえば、宅配業者型のスミッシングのケースでは、ヤマト運輸を偽わり「新型コロナウイルスの感染拡大に伴い接触を極力少なくすること」を理由にメッセージを送る。iPhoneユーザーにApple IDを入力させ、さらに2段階認証の確認コードを送るが、この画面も偽物になっているという具合だ。

　SMSの特徴は電話番号に対してプッシュ型で送られるため、加入者に確実に届く。到達率、開封率（信憑性）が高く、かつセキュリティ対策がされていないことだ。インターネットのメールと異なり、端末の接続や認証を司る制御信号を利用して配信される。最近のスミッシング攻撃の傾向は、以下のような点にあるという。

• 広告・スパムに混ざって届くため、途中経路での識別・フィルタが困難
• 正規の送信者名を使用するケースが散見（イオンの事例など）され、途中経路での識別・フィルタが困難
• 日々フィッシングURLを変えるためブロッキングが不可
• 同一本文×複数の送信者名
• 攻撃曜日・時間に偏りがある