怪しいSMSは詐欺？フィッシング・スミッシングの見分け方と開いた・入力した時の対処法

突然、知らない番号や企業名からSMSが届き、「未払い料金があります」「荷物を届けられませんでした」「アカウントを停止します」「本人確認が必要です」などと書かれていると、本物なのか詐欺なのか判断に迷うことがあります。こうしたSMSを使って偽サイトへ誘導し、ID・パスワードやクレジットカード情報などを盗む手口は「スミッシング」と呼ばれ、現在も広く確認されています。

怪しいSMSが届いたときに最も安全なのは、SMS内のリンクを開かず、返信もせず、必要であれば送信元をブロックし、公式サイトや公式アプリから事実確認することです。警察庁や国民生活センターも、実在する企業や公的機関を名乗るSMSであっても、まずフィッシングを疑い、本文のURLからアクセスしないよう注意を呼びかけています。本記事では、不審なSMSの見分け方と、すでにリンクを開いた場合や情報を入力してしまった場合の対処法を解説します。

怪しいSMSは「スミッシング」と呼ばれる詐欺の可能性がある

SMSを使ったフィッシング詐欺は、一般に「スミッシング」と呼ばれます。攻撃者は宅配会社、銀行、携帯電話会社、通販サイト、クレジットカード会社、行政機関など実在する組織を名乗り、SMS内のリンクから偽サイトへ誘導します。

警察庁は、フィッシングについて「実在するサービスや企業をかたり、偽のメールやSMSで偽サイトへ誘導し、IDやパスワードなどを盗む手口」と説明しています。盗まれた情報によってアカウントを乗っ取られたり、通販サイトで勝手に買い物をされたりする可能性があります。

[参照] 警察庁：フィッシング対策

そのため、知らないSMSが届いた場合は「本物かもしれないからとりあえずリンクを開く」のではなく、まずSMSそのものを信用しない姿勢が重要です。

企業名が書いてあっても本物とは限らない

SMSに「Amazon」「ヤマト運輸」「三井住友銀行」「NTTドコモ」など実在する企業名が書かれていても、それだけで本物とは判断できません。SMS本文は送信者が自由に作成できるため、企業名、ロゴに似た文字列、もっともらしい文章などを簡単に使用できます。

国民生活センターも、日頃利用している事業者や公的機関からのSMS・メールであっても、まずフィッシングを疑い、記載されたURLにはアクセスしないよう注意喚起しています。

[参照] 国民生活センター：そのURLのクリック、ちょっと待って！

例えば普段利用している宅配会社から「荷物を持ち帰りました」と届けば本物らしく見えますが、その会社を利用する人は非常に多いため、攻撃者が大量送信すれば偶然本物の利用者にも届きます。「心当たりがある＝本物」とは限りません。

怪しいSMSによくある典型的な文面

スミッシングには、利用者を焦らせて考える時間を与えずリンクを押させる特徴があります。特に、金銭やアカウント停止など不安を強く刺激する内容には注意が必要です。

• 「未払い料金があります。本日中にお支払いください」
• 「お荷物をお届けできませんでした。住所を更新してください」
• 「アカウントに異常なログインがありました」
• 「利用停止を解除するには本人確認が必要です」
• 「カードの利用を一時停止しました」
• 「税金・電気料金・携帯料金が未納です」
• 「至急ご確認ください」「24時間以内に対応してください」

このような内容が届いても、実際に未払いなどがあるかはSMS内リンクではなく、企業の公式アプリや公式Webサイトから確認できます。

送信元が090・080・070でも安全とは限らない

「普通の携帯電話番号から届いたから詐欺ではない」と考えるのも危険です。フィッシング対策協議会は2026年度版のガイドラインで、不正アプリに感染した一般利用者のスマートフォンなどから、090・080・070で始まる携帯電話番号を使ったフィッシングSMSが増えていると説明しています。

つまり、送信元が日本の普通の携帯番号に見えても、実際には感染したスマートフォンを悪用して送信されている可能性があります。また、海外番号やアルファベットの送信元についても慎重な確認が必要です。

[参照] フィッシング対策協議会：利用者向けフィッシング詐欺対策ガイドライン2026年度版

送信元番号だけで真偽を100％判断することは難しいため、最終的には公式サイトや公式アプリから確認することが重要です。

URLに企業名が入っていても信用しない

フィッシングサイトは、本物の企業名をURLの一部に入れて本物らしく見せることがあります。例えば本物のサイトがexample.co.jpだったとして、偽物がexample-security-login.comやexample.co.jp.fake-site.comのようなURLを使うケースがあります。

特にexample.co.jp.fake-site.comの場合、本当のドメインは後半のfake-site.comです。URLの途中に正規企業のドメイン名が含まれているだけでは本物とはいえません。

警察庁も、メールやSMSに記載されたリンクは偽装でき、正規サイトに似たドメインも多数存在するため、見た目だけで真偽を判断するのは非常に難しいとしています。そのため、SMS内リンクを使わず、自分で公式サイトや公式アプリを開く方法が推奨されています。

着信拒否・ブロックはしてよい？

心当たりのないSMSで、内容も不自然な場合は、送信元をブロックして問題ありません。スマートフォンのメッセージアプリには、迷惑メッセージとして報告したり送信者をブロックしたりする機能があります。

フィッシング対策協議会も、携帯電話会社が提供する迷惑SMSフィルターや、リンク付きSMSを拒否する機能などを活用することを推奨しています。

ただし、一度ブロックした番号とは連絡が取りにくくなるため、宅配会社や病院など本当に利用している可能性がある番号の場合は、SMS本文のリンクを使わず、企業の公式サイトに掲載された電話番号などから確認するとよいでしょう。

返信はしないほうがよい

怪しいSMSに「誰ですか？」「詐欺ですか？」などと返信する必要はありません。返信することで、その電話番号が実際に使われていることを相手へ知らせてしまう可能性があります。

また、「STOPと返信してください」などと書かれていても、信頼できない送信元の場合はむやみに返信しないほうが安全です。

不要なSMSは削除・ブロックし、必要な確認だけを正規の問い合わせ先から行うのが基本です。

リンクを開いただけなら必ず被害に遭うわけではない

誤ってSMSのリンクをタップしてしまった場合でも、開いただけで直ちにID・パスワードや銀行口座のお金が盗まれたと決まるわけではありません。多くのフィッシングは、その先の偽サイトで情報を入力させることを目的としています。

リンクを開いただけで何も入力せず、アプリやファイルもダウンロードしていない場合は、まずページを閉じます。その後、ブラウザやOSを最新状態に更新し、不審なアプリが追加されていないか確認します。

一方、リンク先で「セキュリティアプリをインストールしてください」などと案内され、アプリや構成プロファイル、APKファイルなどをインストールしてしまった場合は注意が必要です。警察庁は、フィッシングサイトからマルウェアをインストールさせる手口もあると注意しています。

ID・パスワードを入力してしまった場合

偽サイトへIDとパスワードを入力してしまった場合は、できるだけ早く本物の公式サイトからパスワードを変更します。

同じパスワードをほかのサービスでも使っている場合は、それらも変更してください。例えば通販サイトのパスワードを入力してしまい、そのパスワードをメールやSNSでも使っていた場合、別サービスまで乗っ取られる可能性があります。

また、2段階認証や多要素認証を利用できるサービスでは有効にしておくと、不正ログインのリスクを減らせます。

クレジットカード情報を入力してしまった場合

カード番号、有効期限、セキュリティコードなどを入力してしまった場合は、カード会社へ速やかに連絡してください。実際に不正利用されるまで待つ必要はありません。

カード会社では、カード利用停止、再発行、不正利用監視などの対応を案内してもらえる場合があります。利用明細も確認し、身に覚えのない決済がないかチェックします。

国民生活センターでも、フィッシングでクレジットカード情報等を入力してしまった場合には、関係する事業者へ連絡して対応するよう案内しています。

銀行口座・暗証番号を入力してしまった場合は急いで金融機関へ連絡する

銀行を名乗るSMSから偽サイトへ誘導され、口座番号、暗証番号、ワンタイムパスワードなどを入力してしまった場合は特に緊急性が高くなります。

国民生活センターでは、銀行を名乗るSMSから偽サイトへ誘導され、口座番号や暗証番号などを入力した結果、不正送金された事例も紹介しています。

[参照] 国民生活センター：そのメール、フィッシング詐欺！

銀行の公式窓口へすぐ連絡し、口座の利用停止やインターネットバンキングの停止など必要な手続きを相談してください。

SMSを受信しただけなら基本的に被害は発生しない

怪しいSMSを受信しただけで、リンクを開かず、返信せず、情報も入力していないのであれば、通常はそれだけでアカウントやカード情報が盗まれたわけではありません。

その場合は、SMSを削除し、必要なら送信元をブロックまたは迷惑メッセージとして報告すれば十分です。

「SMSが届いたということは電話番号が漏洩したのでは」と心配になることもありますが、攻撃者が電話番号を一定の規則で生成して大量送信している場合もあるため、受信しただけで個人情報全体が漏洩したとは限りません。

本物か気になる場合は公式アプリ・公式サイトから確認する

例えば「カードが不正利用された」「荷物が届かなかった」「携帯料金が未払い」といった内容に本当に心当たりがある場合でも、SMSのリンクを使う必要はありません。

クレジットカードならカード会社の公式アプリ、宅配便なら公式サイトの荷物追跡、携帯料金ならキャリアの公式アプリや会員ページから確認します。

この方法なら、SMSが本物だった場合でも必要な手続きを進められ、偽物だった場合にはフィッシングサイトへアクセスするリスクを避けられます。

スマホの迷惑SMS対策も有効

怪しいSMSが何度も届く場合は、端末や携帯電話会社が提供する迷惑メッセージ対策を有効にすると便利です。

iPhoneやAndroidには、不明な送信者を振り分ける機能や迷惑メッセージを報告する機能があります。またドコモ、au、ソフトバンク、楽天モバイルなど各通信会社も迷惑SMS対策サービスを提供しています。

フィッシング対策協議会も、SMSフィルターや通信キャリアの迷惑メールフィルターを積極的に活用することを推奨しています。完全に防げるわけではありませんが、危険なSMSへ触れる機会を減らせます。

迷ったときに確認するチェックリスト

SMSが怪しいか判断できない場合は、次のポイントを確認すると整理しやすくなります。

ただし、これらに当てはまらないSMSでもフィッシングの可能性はあります。現在の偽SMSは文章も巧妙になっているため、最終的には「SMSから手続きしない」という習慣が最も効果的です。

被害に遭った場合は相談窓口も利用できる

金銭被害が発生した場合や、重要な個人情報を入力してしまった場合は、一人で判断せず関係機関へ相談できます。

フィッシングによる犯罪被害については最寄りの警察署や警察のサイバー事案相談窓口、消費者トラブルについては消費者ホットライン「188」を利用できます。

またフィッシングサイトを発見した場合、警察庁はフィッシング110番への通報も案内しています。被害が出ていなくても、危険なサイトの情報を通報することができます。

まとめ：怪しいSMSはリンクを押さず、ブロックして公式サイトから確認する

突然届いた怪しいSMSについては、文面だけから100％詐欺と断定できない場合もあります。しかし、身に覚えのないSMS、URLへの誘導、未払い・利用停止・本人確認などを理由に情報入力を求めるSMSは、フィッシング・スミッシングを強く警戒すべき内容です。

SMSを受信しただけで、リンクを開かず、返信せず、個人情報も入力していなければ、通常はそれだけで被害が発生したわけではありません。送信元をブロック・迷惑メッセージとして報告し、SMSを削除すれば基本的な対応として十分です。

本当に未払い、荷物、カード利用などに心当たりがある場合は、SMS内のリンクではなく、公式アプリや自分で開いた公式サイトから確認してください。警察庁や国民生活センターも、この方法をフィッシング対策として推奨しています。

もしリンク先でID・パスワードを入力した場合は公式サイトから直ちに変更し、カード情報ならカード会社、銀行情報なら金融機関へ速やかに連絡します。「怪しいと思ったらリンクを押さない」というシンプルなルールを守ることが、SMS詐欺の被害を防ぐ最も重要な対策です。