宅配業者や銀行、携帯電話会社をかたる不審なSMS（ショートメッセージ）が、従業員や自分のスマートフォンに届くケースが増えています。こうしたSMSで偽サイトに誘導し、ID・パスワードやクレジットカード番号を盗み取る手口は「スミッシング」と呼ばれ、個人の金銭被害だけでなく、従業員のアカウントを入口とした企業の情報漏えいや不正アクセスにもつながります。
本記事では、不審なSMSが届いたときに今すぐ取るべき対処と、やってはいけないことを最初に整理します。そのうえで、詐欺SMSの見分け方と代表的な手口、被害に遭ってしまったときの対応手順、そして企業・組織として従業員と顧客を守るために取るべき対策までを、公的機関の情報をもとに解説します。
目次
一括ダウンロードする
不審なSMSが届いたら今すぐすべきこと・してはいけないこと
身に覚えのないSMSや、少しでも不審だと感じるSMSが届いたときは、次のポイントを押さえれば被害の大半は防げます。まず「してはいけないこと」を避け、送信元の真偽は必ず公式の経路で確かめてください。
してはいけないこと
- SMSに記載されたリンクを押さない
- リンク先の画面でID・パスワード・クレジットカード番号・認証コードを入力しない
- SMSで案内されたアプリなど、提供元が不明なアプリをインストールしない
すべきこと（届いたSMSへの対処）
- 送信元が本物か気になるときは、SMSのリンクからではなく、公式アプリ・ブックマーク済みの公式サイト・請求書などに記載された公式の電話番号から事実を確認する
- 金融機関や宅配業者がSMSでID・パスワードの入力を求めることは基本的にないため、入力を促す時点で詐欺を疑う
日頃の備え
- スマートフォンのOSとセキュリティ対策ソフトを最新の状態に保つ
- 重要なアカウントには多要素認証（ログイン時に追加の認証を求める仕組み）を設定する。可能であれば、SMSで届くワンタイムパスワードより、偽サイトに強いパスキー（FIDO2）などの方式を選ぶとより安全です（後述）
警察庁も被害防止対策として、SMSに記載されたリンクをクリックしないこと、ワンタイムパスワード等を活用することを挙げています。
出典・参考資料（1件）
詐欺SMSの見分け方と代表的な手口
ここからは、詐欺SMSを見分けるための共通のポイントと、実際に多いなりすましの手口を解説します。手口を知っておくと、届いたSMSが本物か偽物かを判断しやすくなります。
詐欺SMSに共通する見分けポイント
なりすましの対象が何であっても、詐欺SMSには次のような共通の特徴が見られます。すべての特徴がそろうとは限らないため、1つでも当てはまれば慎重に扱ってください。
- 短縮URLや、正規のドメインと一文字違い・別ドメインのURLが記載されている
- 「配達できませんでした」「アカウントが停止されます」など、不安や緊急性をあおって即座の操作を促す
- 身に覚えのない請求・配達・当選などを知らせ、リンクを開かせようとする
- 日本語の言い回しや文字づかいが不自然な箇所がある
ただし、最近は正規の事業者と見分けがつきにくい文面も増えています。URLの見た目だけで判断せず、前章のとおり公式アプリや公式サイトから事実を確認することが確実です。
ECサイトを装う手口
大手通販サイトをかたり、「アカウントに異常が検知されました」「支払い方法の更新が必要です」といった文面で偽のログイン画面に誘導します。正規の通販サイトがSMSのリンクからカード情報の再登録やログインを求めることはないため、支払い更新を促すリンクは偽物を疑ってください。
フィッシング対策協議会の報告でも、Amazon（EC系）をかたるフィッシングが報告全体の約26.1%を占めています（2026年8月分、メール・SMSを含む）。
宅配業者を装う手口
「お荷物のお届けにあがりましたが不在のため持ち帰りました」といった不在通知を装い、再配達の手続きを口実にリンクを開かせます。正規の不在通知はSMSのリンク先でログインや料金の支払いを求めません。送信元の番号や案内が普段と違うときも疑い、再配達は各社の公式アプリや公式サイトから手続きするのが安全です。
金融機関を装う手口
銀行やクレジットカード会社をかたり、「不正利用を検知しました」「本人確認が必要です」などと不安をあおって情報を入力させます。正規の金融機関がSMSのリンクから暗証番号やワンタイムパスワードの入力を求めることはなく、こうした入力画面が出たら偽物です。心当たりがなければ、カードや通帳に記載された公式窓口に直接連絡してください。
携帯電話会社を装う手口
携帯電話会社をかたり、「料金のお支払いが確認できません」「利用停止の予定です」といった文面で、キャリアのアカウント情報や決済情報を入力させようとします。同じ案内が契約者向けの会員サイトや公式アプリにも表示されているかで真偽を確かめられます。料金や契約の確認は、SMSのリンクではなく各社の公式アプリや会員向けサイトから行ってください。
公的機関を装う手口
税務署や自治体、公的な制度をかたり、「未払いの税金があります」「給付金の手続きが必要です」などと伝えてリンクを開かせる手口もあります。行政がSMSのリンクからクレジットカード決済や個人情報の入力に誘導することはありません。制度や通知の内容は、各機関の公式サイトや窓口で確認してください。
また、どのブランド・分野が狙われやすいかは時期によって変動します。フィッシング対策協議会の2026年8月の報告（メール・SMSを含むフィッシング全体）では、分野別でEC系が約43.3%、クレジット・信販系が約29.0%を占めており、通販サイトや金融・クレジット関連をかたる手口が目立ちます。
出典・参考資料（1件）
リンクを押した・情報を入力してしまったときの対応手順
誤ってリンクを開いたり情報を入力したりしても、早く対処すれば被害を抑えられます。状況別に、落ち着いて次の手順を進めてください。
リンクを押しただけの場合
リンクを開いただけで、ID・パスワードなどを入力していなければ、ただちに画面を閉じます。あわせて、スマートフォンのセキュリティ対策アプリでウイルススキャンを実施し、不審なアプリが追加されていないかを確認してください。その後しばらくは、身に覚えのない通知やログイン履歴がないか注意します。
ID・パスワードやカード情報を入力してしまった場合
偽サイトにID・パスワードを入力してしまったときは、すぐに該当サービスのパスワードを変更します。同じパスワードを他のサービスでも使い回している場合は、それらもすべて変更してください。クレジットカード番号を入力した場合は、カード裏面などに記載のカード会社の窓口に連絡し、利用停止や再発行を依頼します。
警察庁も、被害に遭った際の対応として「サービス提供会社に相談する（被害の補償等）」「パスワード等を変更する」「警察に通報・相談する」ことを挙げています。
アプリをインストールしてしまった場合
提供元が不明なアプリを入れてしまった場合は、まず通信（Wi-Fi・モバイル通信）を切り、該当アプリを削除します。不審な挙動が続くときは、端末の初期化も検討してください。アプリ経由でアカウント情報が抜き取られている可能性があるため、主要なアカウントのパスワード変更もあわせて行います。
通報・相談窓口
詐欺SMSを受け取ったり被害に遭ったりしたときは、次の窓口に報告・相談できます。被害の相談だけでなく、詐欺SMSの情報提供は同種の被害の抑止にもつながります。
- フィッシングサイトのURLは「フィッシング110番（インターネット・ホットラインセンター）」へ通報できます
- フィッシングのメールやサイトの情報は「フィッシング対策協議会」が情報提供を受け付けています
- 迷惑SMSの申告・報告は、契約している携帯電話会社ごとの窓口（各社の公式サイトで案内）から行えます
- 金銭被害やその疑いがあるときは、警察（サイバー事案の通報窓口・都道府県警察）や、銀行取引に関する相談は全国銀行協会に相談できます
出典・参考資料（4件）
スミッシングとは？フィッシング詐欺との違い
スミッシング（smishing）とは、SMS（ショートメッセージ）を使って実在する企業や公的機関になりすまし、偽サイトへ誘導してID・パスワードやクレジットカード番号などの個人情報を盗み取る詐欺です。「SMS」と「フィッシング（phishing）」を組み合わせた呼び方で、フィッシングの一種にあたります。
スミッシングの被害は、次のような流れで起こります。
フィッシング (Phishing) とは実在する組織を騙って、ユーザネーム、パスワード、アカウントID、ATMの暗証番号、クレジットカード番号といった個人情報を詐取することです。
出典：フィッシングとは｜フィッシング対策協議会
フィッシングは主にメールで偽サイトへ誘導するのに対し、スミッシングは誘導の手段がSMSである点が違いです。SMSは電話番号さえあれば送れ、短い文面で開封されやすいため、宅配の不在通知や料金の案内などを装った誘導に悪用されています。
国内のスミッシング被害の実態
フィッシング対策協議会への報告件数は高い水準で推移しています。同協議会によると、2026年8月にフィッシング（メール・SMSを含む全体）として寄せられた報告件数は82,338件で、前月より16,219件増加しました。報告のあったフィッシングサイトのURL件数（重複なし）は39,800件でした。
出典・参考資料（1件）
偽サイトで盗まれたカード番号は、クレジットカードの不正利用につながります。一般社団法人日本クレジット協会によると、クレジットカードの不正利用被害額は2025年（1月〜12月）で510.5億円にのぼりました。2026年1月〜6月の被害額は221.3億円で、そのうち約93.1%が「番号盗用」によるものです。偽サイトでのカード番号の入力が、こうした被害の入口になっています。
一括ダウンロードする
企業・組織として取るべきスミッシング対策
スミッシングは個人だけの問題ではありません。従業員のスマートフォンに届いた詐欺SMSが、業務で使うアカウントの乗っ取りや社内システムへの不正アクセスの入口になることがあります。また、自社の名前をかたった偽SMSが顧客に送られれば、顧客の被害とともに自社の信頼も損なわれます。企業は「従業員を守る対策」と「自社がかたられない対策」の両面で備える必要があります。
従業員への注意喚起と報告の仕組み化
最初の備えは、従業員が詐欺SMSの手口と対処を知っていることです。手口は時期によって変わるため、一度の周知で終わらせず、定期的な注意喚起や訓練で最新の傾向を共有します。疑似的な詐欺SMSを従業員に送り、クリック行動を測定して教育につなげる訓練サービスも活用できます。
あわせて、不審なSMSを受け取った従業員が「誰に・どう報告するか」を決めておくことが重要です。報告先と手順を明確にし、報告した従業員を責めない運用にすることで、被害の早期発見と社内での注意喚起の横展開につながります。
疑似的な詐欺メール・SMSを使った訓練サービスは数多く、教育コンテンツの有無・運用の内製/外注・料金体系で選び方が変わります。自社に合う訓練サービスを比べたい場合は、タイプ別に整理した以下の記事が参考になります。
ログイン認証を強化する
パスワードだけの認証は、偽サイトに入力させる手口に弱く、SMSで送られるワンタイムパスワードも、偽サイトを経由して攻撃者に転送される手口が確認されています。そこで有効なのが、フィッシングに強いパスワードレス認証（FIDO2／パスキー）です。
FIDOアライアンスの解説によると、パスキーは秘密鍵が利用者の端末やセキュリティキーの中に保持され、サーバ側には公開鍵しか渡りません。さらに、パスキーは登録したサイトに対してのみ提示される設計のため、利用者が誤って攻撃者の偽サイトに入力してしまうことがありません。この仕組みにより、偽サイトに誘導されても認証情報を盗まれにくくなります。
実際に、パスワードレス認証を提供する事業者も、こうした認証方式の有効性を次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
端末・Web防御を導入する
詐欺SMSのリンク先である偽サイトへのアクセスを、端末やネットワークの側で止める対策も有効です。業務端末を一元管理する仕組み（MDM）や、不審な挙動を検知して対応するEDR、危険なサイトへのアクセスを遮断するURL・Webフィルタリングを組み合わせることで、従業員がうっかりリンクを開いても偽サイトの表示や情報入力を防ぎやすくなります。
警察庁も被害防止対策として、パソコンやスマートフォンを安全に保つことや、携帯電話会社などが提供するセキュリティ設定の活用を挙げており、端末側での防御は組織の対策としても基本になります。
出典・参考資料（1件）
自社がかたられないための送信側対策
自社の名前をかたった偽メール・偽SMSから顧客を守るには、送信側の対策も必要です。手段はメールとSMSで異なります。
メールについては、警察庁も事業者における対策として送信ドメイン認証（SPF・DKIM・DMARC）の導入を挙げています。これは自社ドメインになりすました送信を受信側が検知・拒否できるようにする仕組みで、認証に失敗したメールの取り扱い方針を送信側が指定できます。
SMSについては、携帯電話会社が審査のうえ利用企業に払い出す「SMS共通番号（0005で始まる番号）」を利用する方法があります。
出典：携帯電話キャリアによる迷惑SMS対策の取組状況（総務省 資料2-2）｜KDDI株式会社
- SMS専用の番号「SMS共通番号」
- 携帯電話キャリア4社で制定、統一化（全てのMNO＆MVNOで利用可能）
- キャリアが利用企業を審査し、番号を払い出し
キャリアの審査を経た番号から送信することで、受信者が正規の送信元を見分けやすくなります。あわせて、自社をかたる偽SMSが出回った際には、公式サイトやアプリで顧客へ注意喚起を行うことも重要です。
出典・参考資料（1件）
スミッシング対策に役立つサービス
ここでは、組織のスミッシング対策に役立つサービスを紹介します。偽サイトに認証情報を入力しても乗っ取られにくくする認証強化や、従業員への実地訓練など、取り組みたい対策に合わせて検討してください。
| サービス名 | CloudGate UNO | YubiKey as a Service | サギトレ |
|---|---|---|---|
| スミッシング対策での役割 | 認証強化 （IDaaS） | 認証強化 （物理キー） | 従業員訓練 |
| スミッシング対策での主な機能 | パスキー（FIDO2）によるパスワードレス認証で、偽サイトに誘導されても認証情報を盗まれにくくする。SSO・アクセス制限も統合 | 物理セキュリティキー（FIDO2/WebAuthn）による多要素認証。秘密鍵が端末内に留まるため、フィッシングに強い | 疑似的な詐欺SMS・メールを従業員に配信し、クリック行動を測定して教育につなげる |
| 提供形態 | クラウド（IDaaS） | 物理キー＋サブスクリプション運用 | 疑似メール・SMS配信型の訓練サービス |
| 初期費用 | 要問い合わせ | 要問い合わせ | 非公開（要お問い合わせ） |
| 月額費用 | 400円／ユーザー〜（税抜） | 要問い合わせ | 非公開（要お問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式サイト |
※ 料金・機能は2026年10月時点の各社公式サイトおよび提供情報に基づきます。「要問い合わせ」「非公開」は金額が公開されていない項目です。最新・詳細は各社の公式情報をご確認ください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID管理基盤（IDaaS）です。シングルサインオン・多要素認証・アクセス制限・ID管理を統合し、パスキー（FIDO2）によるパスワードレス認証に対応します。偽サイトに誘導されても認証情報を盗まれにくい、フィッシングに強い認証環境を組織に導入できる点が特徴です。
アクセスを「端末・場所・時間」の3つの軸で制限でき、私用端末からのアクセス禁止や時間帯の制御なども設定できます。料金はStandard Plusプランで月額400円（税抜）からで、契約数は1,400社以上（2026年10月時点の公式サイト）です。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」をサブスクリプション型で導入できるサービスです。秘密鍵を物理キーの中に保持するハードウェアトークン型の多要素認証で、認証情報がネットワーク上に流出しないため、フィッシングに強い耐性を持ちます。CloudGate UNOと組み合わせて利用できます。
物理キーを買い切りで調達するのではなく運用費として導入でき、故障・紛失時の予備キーや導入支援が含まれます。全社員へのスマートフォン支給が難しい現場でも、物理キーでフィッシング耐性のある多要素認証を全社的に展開できます。200ライセンスからの提供で、料金は構成に応じた個別見積もりです。
3. サギトレ（トビラシステムズ株式会社）
サギトレは、トビラシステムズ株式会社が提供する法人向けの詐欺メール・SMS訓練サービスです。疑似的な詐欺SMS（スミッシング）や詐欺メールを従業員に配信し、クリックなどの対応結果を測定して教育につなげます。訓練は「動画教育 → 疑似メール・SMS配信 → 報告 → 結果レポート」の流れで、メール・SMSの両方に標準で対応します。
AIが対応結果を分析して個人・部門ごとのリスク傾向を可視化し、訓練内容やスケジュールを自動で調整するため、管理者の設定は従業員情報の登録が中心です。迷惑電話・迷惑SMSのフィルタ事業で蓄積したデータをもとに最新の手口を反映し、立正大学心理学部の西田公昭教授が監修しています。料金は非公開（要お問い合わせ）です。
ここで挙げた認証強化・端末防御・従業員訓練は、スミッシング対策に関わる社内セキュリティ対策の一部です。端末・ネットワーク・ID・データなど守る対象ごとにどのような製品があるかを広く見比べたい場合は、以下の記事がタイプ別の整理と選び方の参考になります。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
スミッシングは、宅配業者や金融機関、公的機関などをSMSでかたり、偽サイトへ誘導して個人情報を盗む詐欺です。受信者としては、SMSのリンクを押さず、送信元の真偽は必ず公式アプリや公式サイトから確認することが基本の対処になります。万一リンクを開いたり情報を入力したりしても、パスワードの変更やカード会社への連絡など、早い対処で被害を抑えられます。
企業・組織では、従業員への注意喚起と報告の仕組みづくり、フィッシングに強い認証への切り替え、偽サイトを遮断する端末・Web防御、そして自社がかたられないための送信側対策を組み合わせることが有効です。自社の課題に合う対策から、具体的なサービスの比較・検討を進めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. スミッシングとは何ですか？
A. スミッシングとは、SMS（ショートメッセージ）を使って実在する企業や公的機関になりすまし、偽サイトへ誘導してID・パスワードやクレジットカード番号などの個人情報を盗み取る詐欺です。「SMS」と「フィッシング（phishing）」を組み合わせた呼び方で、フィッシングの一種にあたります。宅配の不在通知や料金の案内などを装ってリンクを開かせる手口が多く見られます。
Q. スミッシングとフィッシングは何が違いますか？
A. スミッシングとフィッシングの違いは、偽サイトへ誘導する手段がSMSか、メールかという点です。フィッシングは主にメールで偽サイトへ誘導するのに対し、スミッシングはSMSを使います。SMSは電話番号さえあれば送れ、短い文面で開封されやすいため、宅配の不在通知や料金案内を装った誘導に悪用されています。
Q. スミッシングのリンクを押しただけでも被害に遭いますか？
A. スミッシングのリンクを押しただけで、ID・パスワードなどを入力していなければ、ただちに深刻な被害につながるとは限りません。まずは画面をすぐに閉じ、セキュリティ対策ソフトでスキャンを実施して、不審なアプリが追加されていないかを確認してください。その後しばらくは、身に覚えのない通知やログイン履歴がないかに注意します。
Q. スミッシング対策として多要素認証を設定していれば安全ですか？
A. スミッシング対策として多要素認証は有効ですが、SMSで送られるワンタイムパスワードは偽サイトを経由して攻撃者に転送される手口が確認されており、それだけで万全とは言えません。より確実なのは、フィッシングに強いパスワードレス認証（FIDO2／パスキー）です。パスキーは登録したサイトに対してのみ提示される設計のため、偽サイトに誘導されても認証情報を盗まれにくくなります。
Q. スミッシング対策は、個人と企業でやるべきことがどう違いますか？
A. 個人は受信者としてSMSのリンクを押さず、送信元を公式アプリや公式サイトから確認することが中心になり、企業はこれに加えて従業員を守る対策と、自社がかたられないための送信側対策の両面で備える必要があります。具体的には、従業員への注意喚起と報告の仕組み化、フィッシングに強い認証への切り替え、偽サイトを遮断する端末・Web防御、そして送信ドメイン認証やSMS共通番号による自社のなりすまし防止です。
Q. 自社の会社名をかたった偽SMSが顧客に送られるのを防ぐにはどうすればよいですか？
A. 自社をかたる偽SMSから顧客を守るには、送信側のなりすまし防止策を講じることが有効です。メールでは送信ドメイン認証（SPF・DKIM・DMARC）を導入すると、自社ドメインになりすました送信を受信側が検知・拒否できるようになります。
SMSでは、携帯電話会社が審査のうえ利用企業に払い出す「SMS共通番号（0005で始まる番号）」を使うことで、受信者が正規の送信元を見分けやすくなります。あわせて、偽SMSが出回った際には、公式サイトやアプリで顧客へ注意喚起を行うことも重要です。
Q. スミッシングの詐欺SMSを受け取ったら、どこに通報・相談すればよいですか？
A. スミッシングの詐欺SMSは、フィッシングサイトのURLは「フィッシング110番（インターネット・ホットラインセンター）」へ、メールやサイトの情報は「フィッシング対策協議会」へ報告・情報提供できます。迷惑SMSの申告は、契約している携帯電話会社ごとの窓口（各社の公式サイトで案内）から行えます。
金銭被害やその疑いがあるときは警察（都道府県警察のサイバー事案の通報窓口）へ、銀行取引に関する相談は全国銀行協会に相談してください。
スミッシング対策に役立つサービスの料金・資料を一括チェック
MCB FinTechカタログでは、認証強化・端末/Web防御・従業員訓練など、スミッシング対策に役立つサービスの最新資料を無料で一括請求できます。機能や対応範囲を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
