自分のスマホが、知らないうちに詐欺SMSの送信元になっていた。
そんな被害が報じられています。
読売新聞の報道によると、個人のスマートフォンがマルウェアに感染し、本人が気づかないうちに国税庁を装う詐欺SMSを不特定多数へ自動送信していた事例が確認されました。スマホには送信履歴が残らないよう細工されていたとされ、本人は通信料の増加や見知らぬ人からの電話で異変に気づいたといいます。
これは、単なる「詐欺SMSを受け取った人」の話ではありません。
スマホを使っている本人が、知らないうちに詐欺SMSをばらまく側にされてしまう可能性がある、という問題です。
本記事では、スマホがbot化するとはどういうことか、どのような症状が出るのか、感染が疑われる場合に何を確認すべきかを整理します。
スマホのbot化とは？
bot化とは、スマートフォンやパソコンなどの端末がマルウェアに感染し、攻撃者の指示で自動的に動作する状態になることです。
今回のようなケースでは、感染したスマホが本人の知らないところで詐欺SMSを送信します。
たとえば、次のようなメッセージです。
- 国税庁を装った未納税金の案内
- 宅配業者を装った不在通知
- 銀行やカード会社を装った本人確認通知
- 電子マネーやクレジットカード情報の入力を求める案内
- 偽アプリのインストールを促すメッセージ
受信者から見ると、SMSは一般の携帯電話番号から届きます。
そのため、送信元の番号だけを見ると、企業や海外サーバーから送られている迷惑メールよりも本物らしく見えてしまうことがあります。
攻撃者にとっては、個人スマホを踏み台にすることで、迷惑SMS対策や送信元ブロックをすり抜けやすくなる可能性があります。
なぜ個人スマホが詐欺SMSの送信元にされるのか
詐欺SMSは、受信者にURLをクリックさせ、偽サイトへ誘導する手口です。
従来は、攻撃者が大量のSMSを送信する仕組みを用意していました。しかし、迷惑SMS対策が進むと、同じ送信元から大量に送られるメッセージは遮断されやすくなります。
そこで悪用されるのが、感染した個人スマホです。
個人の電話番号から少しずつ詐欺SMSを送れば、受信者側や通信事業者側からは、通常の携帯番号から送られているように見えます。
トビラシステムズの調査として、bot化するマルウェアに感染した個人スマホは、2024年時点で少なくとも2万台規模に上ったと報じられています。
また、同社は過去に、詐欺SMSの発生状況やAndroidマルウェア感染端末台数を可視化する「詐欺SMSモニター」を公開しており、2024年2月時点でもマルウェア感染端末が1万台を超える規模で確認されていたことを公表しています。
つまり、これは特殊な一件ではなく、継続的に観測されているモバイル不正の一形態と考えるべきです。
国税庁を装うSMSに注意
今回報じられた事例では、国税庁を装ったSMSが使われていました。
ただし、国税庁は公式サイトで、ショートメッセージにURLを記載した案内を送信することはないと明記しています。
また、国民生活センターも、国税庁やe-Taxをかたる不審なSMSやメールについて注意喚起しており、国税庁がSMSでURL付きの案内を送ることはないと説明しています。
そのため、次のようなSMSを受け取った場合は注意が必要です。
- 税金の未納を理由に支払いを求める
- 「差押え」「至急」「最終通知」など不安をあおる
- URLをクリックして確認するよう促す
- 電子マネーやクレジットカードでの支払いを求める
- 国税庁やe-Taxに見える偽サイトへ誘導する
税金や行政機関を装うメッセージは、受け取った人を焦らせやすいのが特徴です。
「本当に滞納しているのかもしれない」と思ってしまう前に、SMS内のURLは開かず、必ず公式サイトや正規の窓口から確認することが重要です。
スマホがbot化している可能性がある症状
スマホがマルウェアに感染しても、すぐに明確な症状が出るとは限りません。
むしろ、本人に気づかれないように動くケースもあります。
特に注意したいのは、次のような変化です。
通信料やSMS送信料が急に増えた
これまでと使い方が変わっていないのに、通信料や携帯料金が急に増えた場合は注意が必要です。
特に、SMS送信料が増えている場合、自分が送った覚えのないSMSが発信されている可能性があります。
知らない人から電話やSMSが来る
「この番号から怪しいSMSが来た」「詐欺メッセージを送らないでほしい」といった連絡が来る場合、自分の電話番号が詐欺SMSの送信元として使われている可能性があります。
今回の報道でも、知らない番号からの電話が複数回あり、さらにX上で電話番号がさらされていたとされています。
不審なアプリが入っている
Android端末では、SMS内のURLから偽サイトへ誘導され、不正アプリのインストールを促されるケースがあります。
IPAも、国税庁をかたる偽SMSについて、URLをタップしただけで何も入力・インストールしていない場合は通常ただちに被害につながるとは限らない一方、不正アプリをインストールした場合は注意が必要だと説明しています。
特に、公式アプリストア以外からアプリをインストールした記憶がある場合は要注意です。
端末が重い・熱くなる・電池の減りが早い
バックグラウンドで不正な通信やSMS送信が行われている場合、端末の動作が重くなったり、バッテリー消費が増えたりすることがあります。
ただし、これだけでマルウェア感染と断定はできません。
複数の症状が重なっているかどうかを確認することが大切です。
SMSの送信履歴が残っていないのに料金が増える
今回の報道では、スマホに詐欺メッセージの送信履歴が残らないようにする細工も施されていたとされています。
そのため、送信履歴に何も残っていないから安全とは限りません。
料金明細、通信量、不審アプリ、端末の挙動をあわせて確認する必要があります。
感染が疑われる場合に確認すべきこと
スマホがbot化している可能性がある場合、まずは落ち着いて次の点を確認しましょう。
1. 携帯料金の明細を確認する
最初に見るべきなのは、携帯電話会社の利用明細です。
特に確認したいのは、次の項目です。
- SMS送信料が増えていないか
- 国際SMS送信が発生していないか
- モバイル通信量が急増していないか
- 利用した覚えのないオプションや課金がないか
通信料が急に増えている場合は、携帯電話会社に相談し、不審なSMS送信の有無を確認しましょう。
2. 最近インストールしたアプリを確認する
次に、最近インストールしたアプリを確認します。
特に注意したいのは、次のようなアプリです。
- 公式ストア以外から入れたアプリ
- SMSや通知からインストールしたアプリ
- 宅配業者、銀行、税務署、セキュリティアプリを装うアプリ
- 名前やアイコンに違和感があるアプリ
- SMS、連絡先、通知、ユーザー補助機能への権限を要求するアプリ
不要または不審なアプリがある場合は、削除を検討してください。
削除できない場合や、設定画面で操作を妨害される場合は、携帯ショップや専門窓口に相談する方が安全です。
3. SMS・通知・ユーザー補助機能の権限を確認する
不正アプリは、SMS送信、通知の読み取り、連絡先へのアクセス、ユーザー補助機能などの権限を悪用することがあります。
Androidの場合は、設定画面からアプリごとの権限を確認しましょう。
特に、普段使っていないアプリに次の権限が付与されている場合は注意が必要です。
- SMSの送信・読み取り
- 連絡先へのアクセス
- 通知へのアクセス
- ユーザー補助機能
- 端末管理アプリ
- 他のアプリの上に重ねて表示
これらの権限は、正規アプリでも使われることがありますが、不正アプリに与えてしまうと被害が広がる原因になります。
4. パスワードと認証情報を見直す
SMS内のURLから偽サイトへアクセスし、IDやパスワード、カード情報、ワンタイムパスワードを入力してしまった場合は、端末だけでなくアカウント側の確認も必要です。
特に、次の対応を行いましょう。
- 該当サービスのパスワードを変更する
- 同じパスワードを使い回しているサービスも変更する
- クレジットカード会社や金融機関に連絡する
- 利用明細を確認する
- 身に覚えのないログインや取引がないか確認する
SMS認証コードやワンタイムパスワードを入力してしまった場合は、すでに不正ログインや不正取引に使われている可能性もあります。
すぐに該当サービスやカード会社、金融機関へ連絡してください。
5. 初期化も選択肢に入れる
不正アプリを削除しても不安が残る場合や、どのアプリが原因かわからない場合は、端末の初期化も選択肢になります。
ただし、初期化の前には写真や連絡先など必要なデータのバックアップを取りましょう。
その際、不審なアプリや設定まで復元してしまわないよう注意が必要です。
不安が強い場合は、携帯電話会社、端末メーカー、セキュリティソフトのサポート窓口に相談することをおすすめします。
詐欺SMSを受け取った側が注意すべきこと
今回のようなbot化スマホから送られるSMSは、送信元が一般の携帯電話番号に見えることがあります。
そのため、知らない番号から届いたSMSだけでなく、実在する個人の番号から届いたように見えるSMSでも注意が必要です。
次のようなSMSは開かないようにしましょう。
- URL付きの税金・未納・差押え通知
- 宅配便の不在通知を装うSMS
- 銀行やカード会社を装う本人確認SMS
- 電子マネーでの支払いを求めるSMS
- セキュリティアプリのインストールを促すSMS
重要なのは、SMS内のURLから確認しないことです。
本当に確認が必要な場合は、公式アプリを開く、ブックマーク済みの公式サイトへアクセスする、カード裏面や公式サイトに記載された電話番号へ連絡するなど、別のルートで確認しましょう。
企業・アプリ運営者が確認すべきポイント
今回の事案は、個人利用者だけの問題ではありません。
金融アプリ、決済アプリ、会員アプリ、ECサイトなどを運営する企業にとっても、確認すべき点があります。
SMSだけに依存した認証は限界がある
SMSは便利な認証手段ですが、フィッシング、SIMスワップ、端末マルウェア、通知の盗み見などのリスクがあります。
特に、SMS認証コードを入力させる偽サイトに誘導された場合、利用者は正規の認証手続きだと思ってコードを入力してしまう可能性があります。
企業側は、SMS認証だけで十分と考えるのではなく、端末リスクやログイン後の重要操作も含めて多層的に確認する必要があります。
端末リスクを見られているか
不正ログインや不正送金の入口は、ID・パスワードだけではありません。
端末がマルウェアに感染している場合、認証情報やSMS通知、画面操作が攻撃者に悪用される可能性があります。
企業側では、次のような観点が重要になります。
- Root化・Jailbreak端末の検知
- 不正アプリやマルウェア感染リスクの検知
- エミュレーターや改ざん環境の検知
- アプリ改ざん・リパッケージの検知
- 重要操作時の追加認証
- 端末変更時のリスク評価
ログイン後の操作を守れているか
フィッシング対策では、ログインを防ぐことだけに目が向きがちです。
しかし、実際の被害はログイン後に起こります。
たとえば、送金、登録情報変更、電話番号変更、メールアドレス変更、カード登録、ポイント交換などです。
企業は、ログイン時だけでなく、ログイン後の重要操作に対してもリスク判定を行う必要があります。
利用者向けの注意喚起だけでは不十分
「不審なSMSを開かないでください」という注意喚起は重要です。
ただし、利用者の注意だけに依存する対策には限界があります。
詐欺メッセージは年々巧妙化しており、今回のように一般の電話番号から届く場合、利用者が見分けるのはさらに難しくなります。
そのため、企業側では、認証、端末、アプリ、取引、検知、通知の各レイヤーで対策を組み合わせることが求められます。
まとめ：スマホは「受信するだけ」ではなく「踏み台にされる」時代に
今回の報道で重要なのは、スマホが単に詐欺SMSを受け取る端末ではなく、詐欺SMSを送る踏み台にもなり得るという点です。
本人が気づかないうちにスマホがbot化し、不特定多数へ詐欺SMSを送信する。さらに、送信履歴が残らないよう細工されていれば、被害に気づくのは簡単ではありません。
個人としては、次の点を確認することが大切です。
- SMS内のURLを安易に開かない
- 公式ストア以外からアプリを入れない
- 通信料やSMS送信料の急増に注意する
- 不審なアプリや権限を確認する
- ID・パスワードや認証コードを入力した場合はすぐに連絡する
企業としては、SMSやパスワードだけに依存せず、端末リスク、アプリ改ざん、ログイン後の重要操作、不正環境検知まで含めた対策を検討する必要があります。
詐欺SMS対策は、もはや「怪しいメッセージを見分ける」だけでは不十分です。
スマホそのものが攻撃の踏み台にされる可能性を前提に、個人も企業も対策を見直す段階に来ています。