記事の概要：
- スミッシングは、SMSとソーシャルエンジニアリングによって被害者を騙し、欺瞞的なテキストメッセージを通して個人情報を開示させたり、マルウェアをインストールさせたりする危険なサイバー攻撃です。
- スミッシングを確実に防止するには、不審なリンクのクリックや未知のテキストへの返信は決してせず、緊急対処が必要というメッセージについては、公式チャネルから直接連絡をとって確認してください。
- 有効なスミッシング対策としては、二要素認証のためのFIDO2準拠ハードキーの実装や、アカウント侵害の可能性を限定的にするためのゼロトラストセキュリティモデル（SASEの主要コンポーネント）の導入などがあります。
スミッシングとは？
スミッシング（SMSフィッシング）とは、テキストメッセージを利用して人を騙し、機密情報や個人情報を漏洩させる行為です。スミッシング詐欺師は、ソーシャルエンジニアリングの手法を使って被害者からデータを収集します。
多くの人は、携帯電話やスマートフォンで、SMSメッセージの送信元に制限をかけていない傾向があります。そのため、世界中のほぼすべての人への欺瞞的なテキストメッセージの送信を詐欺師に許してしまっています。スミッシング詐欺師は、被害者の知人、または信頼できる人物を装って、被害者を騙すことがよくあります。また、個人情報を使用したり脅迫的な言葉を巧みに使用するなどの手口で、被害者にメッセージの正当性を信じ込ませようとします。
スミッシングの目的は、被害者から個人情報を引き出すことです。詐欺師は、被害者に偽のウェブページにユーザー名とパスワードを入力させたり、個人情報を詐欺師に送信させたり、電話で伝えさせるなどでこれを達成します。収集した情報は、被害者のアカウントの乗っ取りや身元詐称に使用したり、闇市場で最高額の入札者に売却することができます。
スミッシングとフィッシングの比較
スミッシングは、フィッシングの数ある中の一種です。フィッシングとは、人を操ったり騙したりして個人情報や機密情報を漏洩させようとする行為の総称です。メールが最も一般的ですが、テキストメッセージ（スミッシング）、電話（ビッシング）、QRコード（クイッシング）、ソーシャルメディアメッセージなど、その他の経路にも広がっています。
大規模言語モデル（LLM）のような生成AI（GenAI）サービスが広く普及したことにより、詐欺師はフィッシングメッセージの信憑性を高めるための新たなツールを手に入れることができるようになりました。大規模に利用者が拡大するSNSを使って情報収集することで、攻撃者は攻撃をより標的に合わせたパーソナライズ化したものにしやすくなります。そのため、現在では多くの人が見知らぬ相手に個人情報を渡すことに警戒しているにもかかわらず、フィッシングは依然として機密データを盗むための一般的で利益の大きい手口として使われています。
スミッシングの仕組み：スミッシングキャンペーンの手順
スミッシングは携帯電話（特にスマートフォン）など、ハイパーリンクを簡単に開かせることができるものが標的とされます。スミッシング攻撃は主に次の手順で行われます：
- 標的の選択：攻撃者は、闇市場でリストを購入したり、ボットを使用して連絡先情報を集約したりするなど、さまざまな方法で現在有効な電話番号のリストを作成します。スミッシングキャンペーンによっては、できるだけ多くの有効な電話番号にSMSを送りつける「無差別型」の手口を使用します。一方で、攻撃者が対象者について事前に調べ、相手に合わせて内容を作り込む「高度に標的化された攻撃」もあります。
- インフラのセットアップ：スミッシングで送信する文章の中には、被害者にリンクをタップさせるものがあり、この場合、詐欺師は被害者のデータを収集するための偽のWebサイトやアプリを作成します。詐欺師はメッセージを偽の電話番号、SMSゲートウェイ、または侵害された携帯電話を利用して送信元を偽装して送信します。さらに電話番号がブロックされてもすぐに切り替えられるようにしています。
- メッセージを作成する：スミッシングで送信する文章は短いものから長いもの、形式的なものもあれば個人的な口調のものまでさまざまで、キャンペーンの種類によって使い分けられます。信頼できるブランドを装った文面には多くの場合フォーマルな文面が使用され、被害者の知人からのように見せかけた文面にはインフォーマルな文面が使用されます。最も効果的なスミッシングの文面の多くは、より直接的で、的を絞った（2022年のスミッシング攻撃の実例：「緊急！勤務スケジュールが更新されました。リンクをタップして変更内容を確認してください」）のような文面が使用されます。戦術によっては、スミッシングの文面が被害者向けに細かく作り込まれている場合があります。一方で、できるだけ多くの人に当てはまるように書かれた者もあります。さらに攻撃者はLLMサービスを使用することで、より信憑性のあるメッセージを作成することができます。
- 標的とのやり取り：意図した被害者とのやり取りは、テキストメッセージを送りつけた後で、単に被害者がリンクをクリックするか、要求した情報を返信してくれるのを待つだけの場合もあります。場合によっては、被害者とテキストメッセージや電話で長いやりとりが続くこともあります。
- データの収集：詐欺師は、偽のログインページやフォーム、または悪意のあるアプリを通じて被害者に情報を入力させようとすることがあります。また、被害者との会話を通じて情報を収集することもあります。
- マルウェアのインストール：これは、一部のスミッシング攻撃でのみ発生します。マルウェアのダウンロードは、ユーザーが攻撃者のWebページを読み込んだ後、またはユーザーが悪意のあるアプリを直接ダウンロードするように仕向けることができます。マルウェアをインストールすると、攻撃者は被害者からさらにデータを収集したり、マルウェアを他のソースに拡散したり、感染したスマートフォンをボットネットとして使用することができます。
- 収集した個人データを使用または販売：攻撃者は、収集した情報を使用して、このいずれか、または両方を行う可能性があります。
スミッシングの種類
スミッシングで送信する文面にはさまざまな形式があります：
- アカウント確認：被害者が現在使用しているメールサービス、ソーシャルメディアアプリ、ストリーミングサービスなどを装ったテキストメッセージを送信します。メッセージには詐欺師が管理する偽のログインページへのリンクがあり、それをクリックしてユーザー名とパスワードを入力するよう促します。
- 銀行詐欺：被害者が利用する銀行になりすまし、口座に不審なアクティビティがあったと主張して身元を「確認」するためのリンクを記載したメッセージ（他のアカウント確認詐欺と同様）を送信します。
- 技術サポート：デバイスまたは被害者が利用している他のサービスに問題があると主張するメッセージを送信します。標的が組織の従業員であれば、組織のITチームを装った「あなたのアカウントがロックアウトされました」というメッセージも考えられます。
- 報酬金詐欺：「（賞品、宝くじ、懸賞）に当選しました。以下のリンクから商品を受け取れます」などの文面を送信し、リンク先で個人情報を入力するよう求められます。
- サービスのキャンセル：「サービスのサブスクリプションがまもなくキャンセルされます」などの文面を送信し、受信者の不安を煽ります。
- 配信通知：配送サービスからのメールを装い、荷物が配送中であることと「追跡リンク（実際は情報を収集する偽のウェブページ）」を記載したメッセージ、または重要な荷物が配達できなかったと伝えるメッセージを送信します。
- 税金の還付：税務当局に未払いの税金があると主張するもの、逆に、税金の還付を請求する必要があると伝えるメッセージを送信します。
- 重役からのメッセージ：スミッシング詐欺師は、受信者の勤務先のCEOや他の重役になりすますことがあります。これらの攻撃は、ある程度個人向けに作り込まれている（受信者の実際の勤務先などの名前で宛先を指定したり、オンラインで確認できるその他の基本的な個人情報を使用するなど）場合があります。
- 偽のメッセージを送信する：多くのスミッシングの文面は、受信者のほとんどが明らかに偽物とわかるものです（例：「私は外国の王子で口座が凍結されて困っています。200ドル送ってくれれば、後で10万ドルを返します」）。こうしたメッセージに騙される人はごく一部ですが、攻撃者は今回の手法を通じて、自身が保有する連絡先リストを「騙されやすい人」と「騙されにくい人」に分類することもできます。
- 署名なしメッセージ：詳しい情報が殆ど記述されておらず、知人を装った突然届く（「町にいますか？」や「まだ同じ場所で働いていますか？」など）ものもあります。連絡帳から番号を消してしまったけど知人かもしれない思わせ、返信を促す手口です。これは、このメッセージを足掛かりに被害者を長いやり取りに引き込み、最終的に情報を要求するものであることがあります。または、これらの電話番号が有効かどうか、受信者が未知の番号からのメッセージに返信する可能性があるかどうかなど、単に攻撃者が保有する連絡先リストを評価することが目的である場合もあります。評価した連絡先に、違う番号からより説得力のある手口で追い打ちをかけてきます。このようなメッセージに対して、たとえ興味本位であっても返信することは賢明ではありません。
スミッシングの戦術
スミッシングの戦術の大部分は、他の種類のフィッシングと同じです。連絡先情報を収集してSMSを送信する手順はメールフィッシングとは少し異なりますが、ほとんどのスミッシングキャンペーンには次のようなものが含まれます：
- ソーシャルエンジニアリング：攻撃者は、恐怖や欲望などの感情に訴えるやり方で被害者を操ります。その手口は、緊急性を煽ったり、信頼できる人物やブランドになりすましたり、権威ある人物を装うことなどさまざまです。
- 模倣Webページとアプリ：スミッシング攻撃者は、本物と見間違えるような偽のログインページやアプリケーションを作成し、被害者から個人情報を収集します。
- パーソナライゼーション：宛名に自分の名前が書かれている場合、反応する可能性が高くなります。スミッシング攻撃者は、公開ソースから入手した個人情報、闇市場で購入した個人情報、または過去のスミッシングやフィッシングキャンペーンで収集した個人情報を用いて、文面に説得力を持たせることができます。
- 発信元の偽装：メッセージは、スミッシング攻撃者らが所有する複数の電話番号から送信されて来ます。また、SMSゲートウェイを使用することで電話を使用せずコンピュータから直接メッセージを送信することもできます。メッセージの送信や発信元の偽装のほとんどは自動化することができます。
- 複数経路からの追撃：スミッシングは、メールやソーシャルメディアなどの複数のメッセージ送信経路を使用した大規模なキャンペーンの一部である可能性があります。
スミッシングの可能性があるテキストを受け取った場合の対処法は？
リンクをクリックしない：これは、未知の番号や予期しない発信元から受信したテキストメッセージ内のリンクが該当します。このようなリンクをクリックした場合、情報収集やマルウェアをホストするページやアプリに誘導される可能性があります。文面内のリンクは使用せず、発信元の公式Webサイトに自分で直接アクセスするようにしてください。たとえば、文面の内容がサービス停止の通知であった場合、テキスト内のリンクをクリックするのではなく、そのサービスの提供元のWebサイトに直接アクセスして、そのログインページを使用してください。
返信しない：多くの場合、攻撃者は単にその番号が有効かどうか、または受信者に関する個人情報が正しいかどうかを確認することを目的としています。返信することで、たとえ個人情報を明かさなくても、思った以上の情報を相手に与えてしまうことになります。攻撃者は、メッセージを読んで返信した人により多くのリソースを割り当てる可能性があります。これは、営業担当者が製品に一度でも関心を示した人を何度もフォローアップする可能性が高いのと同じです。
電話番号を通報する：通常、モバイル通信事業者は一定数以上の人からの通報があった番号をブロックします。しかし、スミッシング詐欺師は番号を切り替えたり偽装するだけで回避してしまいます。
IT部門またはセキュリティ部門に報告する：セキュリティチームは、従業員を標的とした攻撃を可能な限り可視化する必要があります。スミッシング攻撃は、企業のネットワークへのアクセスを狙った大規模な脅威キャンペーンの一部である可能性があります。
配信元に直接問い合わせる：既知の情報源から提供される公式の連絡先情報を使用してブランドやサービスの提供元に直接連絡し、文面について問い合わせてください。それがスミッシングである場合、顧客にスミッシングキャンペーンを仕掛けている人物がいることを知らせてください。
メッセージを削除して番号をブロックする：これにより、詐欺に引っ掛かることや、誤ってリンクをタップすることがなくなります。
返信しない、リンクをクリックしない：何度でも繰り返し伝えます。
開封通知をオフにする：SMSメッセージサービスの中には、テキストを開くと、読んだことを相手側に通知するものがあります。開封通知が有効になっている場合、スミッシング攻撃の標的にされた被害者が詐欺に引っ掛かったり、リンクをクリックしたりしていない場合でも、少なくともメッセージを読んだことが攻撃者に伝わってしまいます。既定で開封通知をオフにすると、攻撃者がこの情報を取得するのが難しくなります。
大規模な攻撃キャンペーンの一環としてのスミッシング
高度標的型攻撃（APT）は、単に個人を標的にするのではなく、複数段階のキャンペーンを通じてより大きな組織を侵害する可能性があります。スミッシングを使用して、既知の従業員や契約者のアカウントを乗っ取った後、他のアカウントやシステムに移行することができます。一度アクセスを得ると、攻撃者は機密データを危険にさらし、組織の活動を監視したり、ランサムウェアに感染させたり、業務運営に損害を与える可能性があります。そのため、スミッシングは、大規模な組織にとって防御すべき重要な攻撃ベクトルとなっています。
組織がスミッシングキャンペーンに対抗する方法
- 二要素認証（2FA）のハードキー：スミッシング攻撃に対する最強の防御の1つは2FAを使用することです。これにより、ログイン資格情報のセットだけではアカウントにアクセスすることはできません。具体的には、FIDO2準拠のハードキー（USBポートに接続するか、Bluetoothを使用するハードウェアベースのトークン）を使用することで、スミッシング攻撃が成功する可能性をほぼゼロに下げることができます。（ソフトトークンは傍受される可能性があります。）
- ユーザートレーニング：従業員や請負業者に、フィッシングやスミッシングメッセージを見分ける方法を教育し、そのようなメッセージを受信した場合すぐに簡単に報告できる仕組みを整えておく必要があります。
- ゼロトラストセキュリティ：これは、セキュリティで保護されたネットワーク内にも脅威が存在し、既知のユーザーやデバイスでさえも侵害される可能性があることを前提としたセキュリティモデルの一種です。ゼロトラストアーキテクチャは、マイクロセグメンテーションを使用してラテラルムーブメントや権限昇格を防止することで、スミッシング攻撃が成功した場合の被害を制限するのに役立ちます。二要素認証 (2FA) は、ゼロトラストセキュリティの中核的な要素でもあります。Cloudflareが2FAとゼロトラストセキュリティで高度なスミッシングキャンペーンを軽減した方法についてご覧ください。
よくある質問
スミッシングとはどういう意味ですか？
スミッシングは、テキストメッセージを利用して人々を騙し、個人情報や機密情報を引き出すサイバー攻撃の一種です。名前は、SMSとフィッシングを組み合わせたものです。多くの場合、攻撃者は、信頼できる人物や組織を装って被害者を騙し、情報を漏えいさせます。
一般的なスミッシング詐欺の種類は？
スミッシング詐欺はさまざまな形態で行われます。文面の例としては、銀行を装って「不審な取引があった」と知らせるものや、配達サービスの追跡リンク、アカウント確認を求めるメールサービスなどがあります。その他の文面には、報酬を約束するものや、サービスをキャンセルすると不安を煽るもの、被害者の職場の役員になりすますものなどがあります。中には、「こんにちは、お元気ですか？」のような単純な挨拶や質問を送信し、単にその電話番号が現在有効かどうか、受信者が返信するかどうかを確認することだけを目的としたものもあります。
スミッシングとフィッシングの違いは？
スミッシングはフィッシング攻撃の一種で、テキストメッセージ（SMS）で送信されるものです。フィッシングとは、人を操ったり騙したりして個人情報や機密情報を漏洩させようとする行為の総称です。フィッシングの起点はメールが最も一般的ですが、電話、QRコード、ソーシャルメディアメッセージ、テキストメッセージを起点とするものもあります。
スミッシング攻撃から身を守る方法は？
スミッシング攻撃を疑うテキストを受け取った場合は、リンクをクリックしないでください。このメッセージに反応してしまうと、攻撃者にあなたの番号が有効であることを伝えてしまうことになります。攻撃者にテキストを開いたことを知られないために、メッセージを削除し、番号をブロックし、開封通知をオフにしましょう。また、攻撃があったことを勤務先のセキュリティチームに報告し、従業員を標的にした攻撃についての情報を提供することも有効です。
組織がスミッシングキャンペーンに対抗する方法は？
組織は、従業員や請負業者にこれらのメッセージを見分けて報告するよう訓練することで、スミッシングから防御することができます。二要素認証（2FA）にハードキーを使用することは、攻撃者がログイン資格情報を盗んだだけではアカウントにアクセスすることをほぼ不可能にするため、強力な防御策です。また、脅威がすでにネットワーク内部に存在していると仮定し、攻撃が成功した場合の被害を最小限に抑えるゼロトラストセキュリティモデルを採用することも有効です。