スマホのフィッシング詐欺に立ち向かう方法：従来型から最新手口まで徹底解説

スマートフォンを狙ったフィッシング攻撃は決して新しいものではありませんが、新たな攻撃手法の登場により、その手口は年々巧妙化しています。もはや、本物のサイトのフォントや配色を模倣した偽サイトを作るだけの時代ではありません。現在の詐欺師たちは、SNSの個人情報の窃取や、ワンタイムパスワード（OTP）セキュリティの突破に重点を置いています。

この記事では、従来型と先進的なモバイルフィッシング攻撃の手口を紹介し、それぞれへの最善の対策を解説します。

従来型の電話フィッシング攻撃

1. SMSフィッシング（スミッシング）

SMSを使ったフィッシング攻撃は長年にわたり存在してきました。手口自体は大きく変わっておらず、金銭的な利益、恐怖、あるいは皮肉めいた言葉でターゲットの注意を引きつけるのが基本です。狙われるのは銀行口座やクレジットカード情報だけではありません。Apple IDのログイン情報、暗号資産（仮想通貨）アカウント、PayPalアカウントなども標的です。これらの情報はダークウェブで売買され、利益を生みます。現在、Apple ID一つあたりの相場はわずか15ドル程度。それほど簡単に出回っているということです。銀行詐欺の場合、詐欺師はまず電話をかけてOTPの確認を求めてくることもあります。

対策：「至急対応せよ」と急かすリンクは絶対にクリックしないこと。正規の企業がそのような強引なやり方で連絡してくることはありません。また、そうしたリンクにはスマートフォンのマルウェアが仕込まれている場合もあります。

2. ロボコール（自動音声電話）

音声通話を使ったフィッシング（「ビッシング」と呼ばれます）は、SMSよりもさらにあからさまな場合があります。ロボコーラー（自動発信者）は最新技術を駆使します。発信者IDの偽装、遠隔自動ダイヤラー、地域番号を使った電話番号、さらにはあなたの個人情報へのアクセスまで。「1」を押してくださいと言われてクレジットカード情報を入力させられるのが典型的な流れです。

対策：TruecallerやRobokillerなどのアプリを使えば、こうした迷惑な自動音声電話を自動的にブロックできます。相手が生身の人間の詐欺師であれば、ためらわずに電話を切ってしまいましょう。礼儀は不要です。

3. SNSフィッシング

ケンブリッジ・アナリティカ事件以降、SNSがフィッシング攻撃の格好の標的になっていることは誰もが知るところです。SNS詐欺師は、ユーザーが自ら差し出している膨大なデータを利用して、有名人や親友、さらには家族になりすますことができます。暗号資産詐欺師は、SNSの投稿をチェックして被害者候補を物色しているのです。

対策：常に冷静さを保ち、SNSでの個人情報の過剰な共有は避けましょう。保有するビットコインなどを自慢するような投稿は絶対にしないことです。

先進的な電話フィッシング攻撃

1. 電話番号の「ポートアウト」（SIM乗っ取り詐欺）

電話番号の「ポートアウト」攻撃は最新のモバイルフィッシング詐欺の一つで、通信キャリア各社も注意喚起を発表するほど深刻化しています。この攻撃は、銀行口座のセキュリティシステムの中核である二要素認証を直接突くものです。銀行やクレジットカード会社が第二の防御層としてOTPへの依存を強めていますが、実はそれほど万全ではないのです。

攻撃者はまず、電話番号や生年月日などの個人情報を収集し、「あなた」になりすましてSIMカードの番号を別のキャリアへ移植（ポートアウト）します。特に、本人確認が甘いキャリアの店舗で行われるケースが増えています。あなたの電話番号を数時間、あるいは数日にわたって掌握すれば、銀行からのOTPを受け取れるようになります。金融詐欺だけでなく、麻薬の売人が足跡を消すために「ポートアウト」された番号を利用することもあります。

対策：詐欺師に電話番号をなりすまされてしまった場合、できることは実はあまりありません。しかし、被害が発生するまでに数時間の猶予があることもあるため、常に警戒しておくことが重要です。通話やSMS送信といった基本的な機能が突然使えなくなったら、SIMが不正に乗っ取られた可能性を疑いましょう。すぐに銀行に連絡して口座を凍結してもらい、キャリアにも連絡してSIMカードの即時停止を依頼してください。

2. 携帯電話のクローン（複製）

携帯電話のクローン攻撃は、モバイルフィッシングの中でも最新の手口です。以前は「SIMスワップ」によって端末のIMEI番号に侵入する方法が主流でしたが、今では端末に触れることなく複製できる場合もあります。検索エンジンで「ワイヤレスでスマホを複製する方法」と調べると、驚くほど簡単なチュートリアルが見つかるほどです。

その一つの手法がBluetoothハッキングです。ダウンロードしたソフトウェアを使い、攻撃者は近くにある電源の入った別のBluetoothデバイスにアクセスできます。接続に成功すると、キーストローク（打鍵内容）を含むターゲット端末の操作を遠隔で監視できてしまいます。実際、ペアレンタルコントロール（親権者による監視）ソリューションが他の端末の遠隔監視を許可しているように、必ずしも違法とは言えない側面もあるのです。

対策：この攻撃への防御は非常に困難です。できる最善策は、検証済みの正規ソースからのみアプリをインストールし、各アプリが要求するすべての権限をよく確認することです。アプリにとって不要な機能へのアクセス許可を求めてきたら、即座にブラックリストに入れるかアンインストールしましょう。

まとめ

携帯電話を狙ったフィッシング攻撃は増加の一途をたどっており、安全を守るには常時の警戒以外に道はないと言っても過言ではありません。

あなたは電話フィッシング攻撃の被害に遭ったことはありますか？ぜひ体験談をコメント欄でシェアしてください。