【専門家コラム】自社をかたる偽SMSが出回ったとき、企業は何を問われるか｜フィッシング対策ガイドラインの必須項目と顧客への告知

宅配業者や携帯キャリアをかたる偽SMSは以前から知られていますが、今や金融、EC、通信、公共料金、家賃管理など、顧客にSMSで連絡する企業の名前が広く騙られています。自社名の偽SMSで顧客が被害に遭ったとき、企業はどのような点を問われうるのでしょうか。フィッシング対策協議会が2026年6月に公表した「フィッシング対策ガイドライン2026年度版」（以下「ガイドライン2026年度版」といいます。）^※1を手がかりに、法的な見立てと、顧客に正規のSMSだと見分けてもらうための実務を整理します。

※1

• ※1　フィッシング対策協議会「フィッシング対策ガイドライン2026年度版」（公開ページ：https://www.antiphishing.jp/report/guideline/antiphishing_guideline2026.html、PDF版：https://www.antiphishing.jp/report/antiphishing_guideline_2026.pdf）。以下、ガイドラインの記述は同資料による。

1 ガイドラインの必須項目を満たさないと、責任を問われるのか

ガイドライン2026年度版は、【利用者が正規メールとフィッシングメールを判別可能とする対策】の要件３として「利用者に送信するSMSには国内直接接続の送信、ならびに携帯キャリア共通番号（0005）を利用すること」を掲げ、これを「考慮を必須とする項目」（◎）に位置づけています^※2。

※2

• ※2　ガイドライン要件3（3.3.1）（10頁）。

ところで、ガイドライン2026年度版は法的拘束力のない業界団体の文書です。そのため、必須項目を満たさないこと自体が直ちに「違法」と評価されるわけではありません。

もっとも、法的拘束力がないことは、ガイドラインが企業の責任判断に影響しないという意味ではありません。業界団体のガイドラインは、普及して広く知られるにつれて、「その分野の事業者として通常とるべき対策」の目安、つまり事実上の判断基準として扱われていく可能性があります。

実際、民間団体のガイドラインが注意義務の判断に用いられた例として、大阪地判平成19年9月19日判時2004号126頁があります。同種末梢血幹細胞移植のドナーに対する説明の適否などが争われた事案で、判決は、学会が公表したガイドラインを、作成時点で最も妥当と考えられる手順を示したモデルと位置づけました。そして、従わなかったことだけで直ちに債務不履行や不法行為になるわけではないとしつつ、医師はガイドラインの内容を踏まえて医療行為を行う義務を負うとしました。そのうえで、ガイドラインが求める説明が尽くされていないとして説明義務違反を認め、200万円の賠償を命じています。

情報セキュリティの分野でも、東京地判平成26年1月23日判時2221号71頁は、ECサイトの脆弱性を突いた情報流出をめぐる事案で、経済産業省の注意喚起（2006年2月）や情報処理推進機構（IPA）の文書（2007年4月^※3）を、システム開発会社が負うべき対策の内容や、被害の予見のしやすさを判断する資料としました。民間団体ではなく公的機関の文書ですが、法的拘束力のない文書が責任判断の物差しとして使われた例です。

※3

• ※3　いずれも直接的な法的拘束力は認められないものです。

これらを踏まえると、ガイドライン2026年度版は、次のような場面で、企業の責任を考える物差しとして働く可能性があります。

• 「通常はここまでやる」という目安：

国内直接接続や0005の利用は、ガイドラインが「考慮を必須」とした対策です。同じ業種の企業に広く採用されるようになれば、検討すらしていない企業は、通常の対策を怠ったと見られやすくなります。

• 「危険を知っていたはず」という目安：

ガイドラインは、携帯電話番号や国際網を悪用した偽SMSの手口を具体的に挙げています。公表後は、「そのような被害があるとは知らなかった」という説明が通りにくくなります。

現時点では、ガイドラインの公表から間もなく、実務への浸透も途上です。そのため、必須項目を満たしていないことだけで直ちに企業の責任が認められるとは考えにくいものの、時間の経過とともに、ガイドラインの重みは増していくと思われます。漫然と携帯電話番号や国際網から正規SMSを送り続けている場合、企業の責任は認められやすくなるでしょう。

2 発信番号の事前公表と、自社名を無断で使われたときの対応

ガイドラインでは、フィッシングに対する対策を事前に行うためにまず確認すべき重要項目の「２」として、「利用者に送信するSMSにおいては、国内の携帯キャリアに直接接続される送信サービスを利用し、事前に発信者番号等をWebサイトなどで告知すること」を求めています^※4。

※4

• ※4　ガイドライン重要項目[2]（4頁）。

ガイドライン2026年度版には、事前に公表すべき情報の内容や告知の態様等についての詳細は記載されていないものの、フィッシング詐欺防止という事前公表の目的・趣旨に鑑みると、以下のように考えることができるでしょう。

• 何を公表するか：

SMSを送る番号を、すべて載せます。自社が送る番号だけでなく、委託先が送る番号も含めます。あわせて、「何のためのSMSか」（本人確認、請求のお知らせなど）と、「SMSにURLを載せるか」を書きます。「SMSでパスワードや暗証番号をお尋ねすることはありません」と明記すると、顧客が偽物に気づきやすくなります。番号を変えたときは、古い番号も一定期間残します。

• どこで公表するか：

公式サイトのトップページから、すぐにたどり着ける固定のページに載せます。「お知らせ」欄に載せるだけだと、新しい情報に押し流されて、顧客が見つけにくくなります。マイページ、アプリ、請求書にも同じ内容を載せ、顧客がふだん見る場所で確認できるようにします。

近時は、第三者が実在する会社の名前を勝手に使って、SMS配信サービスを契約する事例も見られるようになっており、こうした事態に備えた対策・準備も重要です。2025年11月には、一般社団法人日本ユニファイド通信事業者協会がこの種の事例について注意喚起を出しています^※5。このような事例では、SMSは正規の契約名義で送られるため、顧客はもちろん、通信事業者側も、偽物だと見抜けないおそれがあります。

※5

• ※5　一般社団法人日本ユニファイド通信事業者協会「SMS配信サービスの提供に関する不適正契約および利用に関する注意喚起」（2025年11月11日）https://www.jusa.jp/post/20251111

無断でSMS配信サービスを契約され、偽SMSの送信に自社名を使用されてしまった企業がとるべき対応としては、次のようなものが考えられます。

1. 証拠を残す：

偽SMSの画面（スクリーンショット）、送信番号、受信日時、本文、リンク先のURL、顧客から受けた連絡の内容を保存します。後で警察や配信事業者に説明するときの資料になります。

1. 関係先に知らせる：

SMS配信事業者には、自社は申し込んでいないことを伝え、配信の停止を求めます。あわせて、フィッシング対策協議会や警察にも報告します。偽サイトがあれば、そのドメインを管理する事業者にも連絡します。

1. 顧客に知らせる：

被害を広げないために、最も優先すべき対応です。公式サイトやアプリで、偽SMSの送信番号や文面の特徴を知らせ、「リンクは開かないでください」と呼びかけます。

1. 法的な手続を検討する：

会社名や商標を使われていれば、不正競争防止法（2条1項1号・2号）や商標法に基づいて、社名の使用をやめさせること（差止め）や損害賠償を求めることができる可能性があります。

3 正規のSMSだと見分けてもらうための本文の書き方

金融庁は、監督指針改正案に対するパブリックコメントへの回答（2026年2月27日、7月17日公表）で、「原則として、メールやSMS内にパスワード入力を促すページのURLやログインリンクを記載すべきではない」という考え方を繰り返し示しました。^※6例外は、配信停止の手続など、法令で本文への記載が義務づけられている場合です。あわせて、代替的な手段の導入を検討することが望ましいとも述べています。一方、公式アプリへの誘導表現などをどう扱うかについては、明確な回答が示されていません。

※6

• ※6　金融庁「コメントの概要及びコメントに対する金融庁の考え方」（2026年2月27日公表）https://www.fsa.go.jp/news/r7/sonota/20260227/01.pdf、同（2026年7月17日公表）https://www.fsa.go.jp/news/r8/sonota/20260717-2/01.pdf

この考え方は監督指針の対象業態に向けたもので、金融以外の事業者は対象外です。ただ、顧客は業種ごとの規制等を把握しているとは限りません。金融ではURLを載せないのが原則という認識が広がれば、URL付きのSMSは、業種を問わず疑われやすくなることも考えられます。

金融以外の事業者が参考にする範囲は、リスクの大きさで分けて考えることをお勧めします。

• 最優先で避けるもの：

ログインページや決済ページへのリンク、個人情報や認証情報の入力を促す文面、短縮URL、本文中の電話番号（多くの機種で自動的に発信用リンクになります）、「24時間以内に」といった過度に急がせる表現。

• 慎重に判断するもの：

認証の不要な公開ページ（FAQなど）のURL。事前告知した自社ドメインに限ることで、リスクを下げられます。

SMSにURLを載せないと顧客が手続きのためのページにたどり着けないことが想定されるような場合には、以下のような別のアクセス方法などを用意して本文に記載することが考えられます。

• アプリを使う顧客：

SMSには「公式アプリを開いて、お知らせをご確認ください」などと書きます。手続きは、アプリの中で完結できるようにします。

• アプリを使わない顧客：

「公式サイトからログインしてください」と案内します。

• アプリやパソコンが苦手な顧客：

電話窓口や郵送でも、同じ手続きができるようにします。