とことこロゴス
スミッシング
SMS（ショートメッセージサービス）を悪用するフィッシング攻撃。実在する企業などを装ったメッセージで偽のWebサイトへ誘導し、認証情報などを盗んだり、不正なアプリをインストールさせたりする。
イマシルちゃんの解説
電話番号を使って短いメッセージを送るSMSを悪用したフィッシング攻撃が、スミッシングだよ。
フィッシングは、信頼できる相手を装って情報などをだまし取る攻撃なんだ。
例えば宅配業者を装い、不在通知のリンクから偽のWebサイトへ誘導するの。
そこでパスワードやカード情報を入力させたり、確認に必要だと思わせて不正なアプリを入れさせたりするよ。
メッセージが届いただけで被害が決まるのではなく、その後の操作を誘うのが狙いなんだ。
確認するときは届いたリンクではなく、公式アプリや公式サイトを登録したブックマークから開くことが大切だよ。
この解説はわかりやすかったですか？
より深い解説
定義
スミッシング（smishing）は、SMS（Short Message Service）を悪用したフィッシングである。宅配業者、金融機関、通信事業者、公的機関などをかたったSMSを送り、本文のURLから偽のWebサイトに誘導して、認証情報やカード情報を入力させたり、不正なアプリをインストールさせたりする。
フィッシングの仲間
| 名前 | 使う手段 |
|---|---|
| フィッシング | 電子メール（と偽のWebサイト） |
| スミッシング | SMS |
| ビッシング | 電話（音声：voice） |
| スピアフィッシング | 特定の組織や個人を狙って、内容を作り込んだメール |
メールより危険な理由
| 理由 | 内容 |
|---|---|
| 電話番号だけで送れる | メールアドレスを知らなくても、ランダムな番号に送れる |
| 迷惑メールのフィルタが弱い | メールに比べて、迷惑メッセージを判別する仕組みが十分でない場合がある |
| URLを確かめにくい | スマートフォンの小さな画面では、URLの全体を確認しにくい。短縮URLもよく使われる |
| 信頼されやすい | 本物のSMSと同じスレッドに偽のメッセージが表示されることもある（送信者名の偽装） |
よくある手口
- 宅配便の不在通知を装い、偽の再配達のサイトに誘導する
- 銀行やカード会社を装い、「不正利用を検知した」「口座を一時停止した」と不安をあおる
- 携帯電話会社を装い、料金の未払いを知らせる
- 不正なアプリ（Android向けのAPKファイル）をインストールさせ、さらに別の人にスミッシングのSMSを送る踏み台にする
対策
| 対策 | 内容 |
|---|---|
| リンクを開かない | SMSのリンクではなく、公式のアプリや、ブックマークした公式サイトから確認する |
| 入力しない | SMSから開いたサイトで、IDやパスワード、カード番号を入力しない |
| 迷惑SMSのフィルタ | 携帯電話会社やスマートフォンの迷惑メッセージの拒否機能を使う |
| 多要素認証 | 認証情報を盗まれても、不正にログインされにくくする |
ほかの攻撃との区別
スミッシングは、利用者をだまして情報を入力させるソーシャルエンジニアリングの一種である。装置の消費電力などから秘密情報を推定するサイドチャネル攻撃とは、まったく別の手口である。