スミッシング - Cyber SEC TSM | サイバーセキュリティTSM

スミッシング

SMS（ショートメッセージ）を使うフィッシングです（英語では smishing。SMS と phishing を合わせた呼び名）。

定義

MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）は、モバイル端末へのフィッシング（Mobile T1660）の経路の一つとして、次のように説明しています。

• 攻撃者は SMS のメッセージを送り（スミッシング）、相手にマルウェアを導入させる、特定の Web サイトを開かせる、端末の安全でない設定を有効にさせる
• テキストメッセージで急いで行動するよう仕向け、認証情報などを手に入れる

モバイル端末が狙われる理由

ATT&CK T1660 は、モバイル端末は画面が小さいので、本物のサイトとフィッシングのサイトの小さな違いに気づきにくいことを挙げています。同じ技術は、QR コードで偽のサイトへ誘導する手口（クイッシング）も挙げ、悪意のある QR コードが SMS やメールで届くことがあるとしています。

守る手段

手段	何をするか
SMS のリンクから入力しない	SMS のリンクからログインや支払いをせず、公式のアプリや、自分で登録したブックマークから開く（URL偽装）
アプリと設定	SMS で案内されたアプリや、端末の設定を変える構成ファイル（iPhone の構成プロファイルなど）を入れない。アプリは公式のストアから入手する
フィッシングに強い認証	FIDO2／WebAuthn（パスキー、セキュリティキー）などを使い、パスワードを入力させられても、それだけでは入られにくくする（多要素認証）。SMS で届くコードは手で入力する方式なので、偽のサイトから本物へ中継されうる
SMS の認証の位置づけ	NIST SP 800-63B-4 は、SMS や音声通話で認証のコードを送る方式を、発行時点（2025年7月）で唯一の「制限付き」の認証方式としている。SIM の変更や番号の移転といった危険の兆候を考慮すべきとし、使う組織にはそのリスクを評価し受け入れることを求めている
端末の保護	ATT&CK は緩和策として、利用者への教育（M1011）と、フィッシングと知られたサイトへの通信を止めうるモバイル向けのセキュリティ製品（一部の製品が提供。M1058）を挙げている
報告	怪しい SMS を受け取った・開いてしまったときに、すぐ報告できる窓口と手順を用意する

日本の法令

不正アクセス禁止法 第7条は、アクセス管理者（ID とパスワードなどで利用を管理している者）になりすまし、又は誤認させて、識別符号（ID とパスワードなど）の入力を求める情報を、Web などで公衆が閲覧できる状態に置くこと（第1号）と、電子メールで利用者に送ること（第2号）を禁じています。アクセス管理者の承諾を得てする場合は除かれます。

第2号の「電子メール」は、特定電子メール法 第2条第1号の定義によります。その通信方式を定める総務省令は、SMTP（インターネットのメールの送受信の方式）を使う方式に加えて、携帯して使う端末に電話番号を使って通信文を伝える方式を挙げています。いわゆる SMS は、この後者に当たると読めます。

罰則は第12条第4号（1年以下の拘禁刑又は50万円以下の罰金）です。2026年10月時点の条文に基づきます（不正アクセス禁止法）。

関連するページ

フィッシング・ビッシング・スピアフィッシングリンク・URL偽装・ソーシャルエンジニアリング・多要素認証

出典

• MITRE ATT&CK T1660 Phishing（Mobile、2026年5月更新）
• NIST SP 800-63B-4（2025年7月）3.1.3.3・3.2.5・3.2.9
• e-Gov 法令検索「不正アクセス行為の禁止等に関する法律」
• e-Gov 法令検索「特定電子メールの送信の適正化等に関する法律」
• e-Gov 法令検索「特定電子メールの送信の適正化等に関する法律第二条第一号の通信方式を定める省令」

確認日：2026年10月16日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（Terms of Use）