スミッシング

読み：すみっしんぐ　／　英語表記：smishing

SMS（ショートメッセージ）を使って偽のWebサイトに誘導し、IDやパスワード、カード情報などを入力させて盗む攻撃。SMSとフィッシングを組み合わせた言葉。

イマシルちゃんの解説

「お荷物をお届けにあがりましたが不在のため持ち帰りました。こちらで確認してください」
こんなSMSがスマホに届いたことはないかな？

リンクを開くと、本物そっくりの宅配業者や銀行のサイトが出てきて、
パスワードやカード番号を入力させようとするんだ。
これがスミッシング！電話番号だけで送れるから、誰にでも届いちゃうんだよ。

より深い解説

定義

スミッシング（smishing）は、SMS（Short Message Service）を悪用したフィッシングである。宅配業者、金融機関、通信事業者、公的機関などをかたったSMSを送り、本文のURLから偽のWebサイトに誘導して、認証情報やカード情報を入力させたり、不正なアプリをインストールさせたりする。

フィッシングの仲間

名前	使う手段
フィッシング	電子メール（と偽のWebサイト）
スミッシング	SMS
ビッシング	電話（音声：voice）
スピアフィッシング	特定の組織や個人を狙って、内容を作り込んだメール

メールより危険な理由

理由	内容
電話番号だけで送れる	メールアドレスを知らなくても、ランダムな番号に送れる
迷惑メールのフィルタが弱い	メールに比べて、迷惑メッセージを判別する仕組みが十分でない場合がある
URLを確かめにくい	スマートフォンの小さな画面では、URLの全体を確認しにくい。短縮URLもよく使われる
信頼されやすい	本物のSMSと同じスレッドに偽のメッセージが表示されることもある（送信者名の偽装）

よくある手口

宅配便の不在通知を装い、偽の再配達のサイトに誘導する
銀行やカード会社を装い、「不正利用を検知した」「口座を一時停止した」と不安をあおる
携帯電話会社を装い、料金の未払いを知らせる
不正なアプリ（Android向けのAPKファイル）をインストールさせ、さらに別の人にスミッシングのSMSを送る踏み台にする

対策

対策	内容
リンクを開かない	SMSのリンクではなく、公式のアプリや、ブックマークした公式サイトから確認する
入力しない	SMSから開いたサイトで、IDやパスワード、カード番号を入力しない
迷惑SMSのフィルタ	携帯電話会社やスマートフォンの迷惑メッセージの拒否機能を使う
多要素認証	認証情報を盗まれても、不正にログインされにくくする

ほかの攻撃との区別

スミッシングは、利用者をだまして情報を入力させるソーシャルエンジニアリングの一種である。装置の消費電力などから秘密情報を推定するサイドチャネル攻撃とは、まったく別の手口である。