宅配便業者をかたる偽ショートメッセージに引き続き注意

IPAでは、安心相談窓口だよりにて、宅配便業者をかたる偽ショートメッセージ（以下SMS）の手口（図1）について取り上げてきました（脚注1）。本件に関する相談は継続して寄せられています（図2）。

「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。配送物は下記よりご確認ください。」という不在通知をよそおったSMSから偽サイトに誘導するこの手口は、細かい部分で内容が変化し続けている点に注意が必要です（脚注2）。

偽サイトは、佐川急便、日本郵便、ヤマト運輸をかたるものがこれまでに確認されており、2020年1月末時点では、佐川急便、日本郵便をかたるものが多い状況です。

Android端末(以下Android)では、不正なアプリの機能に変化が見られました。また、iPhoneやiPadなどのiOS端末（以下iPhone）では、フィッシングサイトで入力させようとする項目に変化が見られました。

そこで、本窓口だよりでは、過去の窓口だよりで解説してきた内容と、最近確認されている相談内容等を集約し、手口、影響、対処と、被害にあわないための対策についてあらためて解説します。

スマートフォンのOSにより手口や対処が異なりますので、自身の利用端末にあった内容を下記の目次より確認してください。

1. (脚注1)
   「宅配便業者をかたる偽ショートメッセージに関する相談が急増中」

   • 「宅配便業者をかたる偽ショートメッセージに関する新たな手口が出現し、iPhoneも標的に」
   • 「宅配便業者をかたる偽ショートメッセージで、また新たな手口が出現」

(脚注2)
2020年2月、本手口において、「不在通知」ではなく、「新型コロナウイルス」に便乗した内容の偽SMSが確認されたとの注意喚起がされました。
一般財団法人 日本サイバー犯罪対策センター：「新型コロナウイルスに乗じた犯罪」（外部サイトに接続します）
トレンドマイクロ社：「新型コロナウイルス」に便乗する攻撃メール」（外部サイトに接続します）

目次

1．Androidの場合

1-1. 手口

Androidを狙った手口では、主に、次のような流れです。

1. 偽不在通知SMSを受信し、記載のURLをタップして、偽サイトにアクセスする。
2. 表示されたメッセージに従い、そのサイトから不正なアプリのファイルを保存（ダウンロード）する。
3. 表示されたメッセージに従い、「提供元の許可」をして、不正なアプリをインストールする。
   • 不正なアプリをインストールすると、被害につながります。
     また、不正なアプリのインストール後、次のように、追加の手口に誘導される場合もあります。
4. アプリのインストール後、偽の警告メッセージが表示される。その警告のボタンをタップして、フィッシングサイトにアクセスし、情報を入力する。

フィッシングサイトに情報を入力すると、さらなる被害につながります。
上記4のフィッシングサイトは、携帯電話会社、銀行、Google等を装い、アカウント情報（ID、パスワード）等を入力させるものが確認されています。

このほかに、下記のようなパターンも確認されています。
「Googleサービスをアップグレードしてください」と誘導し、不審アプリをインストールさせようとする。（2020年6月26日追記）

1-2. 影響

Androidでの影響は、次のような事例が確認されています。

不正アプリをインストールした場合の影響

当窓口には、次のような相談が寄せられています。

• 携帯電話会社が提供するキャリア決済サービスにて、身に覚えのない請求が発生した。
• 自分が所有しているアカウントを不正使用された。
• フリーマーケットサービス、後払い決済サービス、その他のアカウントサービス等にアカウントを勝手に作成され、不正使用された。

誘導されたフィッシングサイトに情報を入力した場合の影響

1-3. 対処

Androidでの対処は、次のとおりです。

不正なアプリをインストールした場合の対処

※SMSは初期化をすると消えてしまうため、初期化する前に上記を確認してください。

誘導されたフィッシングサイトに情報を入力した場合の対処

• (脚注3)「不正ログイン対策特集ページ」

2．iPhoneの場合

2-1. 手口

iPhoneを狙った手口では、主に、次のような流れです。

1. 偽不在通知SMSを受信し、記載のURLをタップして、偽サイトにアクセスする。
2. 偽サイトで、Apple ID、パスワード、電話番号等を入力する。
   • 偽サイトは、フィッシングサイトであり、そこで情報を入力すると、被害につながります。
     また、上記のような入力画面に続いて、次のように、認証コードの入力へ誘導される場合もあります。
3. 偽サイトで入力した後に、スマートフォン上の通知や、SMS等で認証コードが届く。
4. 2の偽サイトで、認証コードを入力する。

認証コードを入力すると、2ファクタ認証等の多要素認証情報や、キャリア決済等のサービス利用時の本人確認情報を攻撃者に奪われます。

このほかに、下記のようなフィッシングの手口も確認されています。
不正ログインが確認されたというメッセージを表示して、「三井住友銀行」、「ジャパンネット銀行」、「じぶん銀行」などのインターネットバンキングサービスのログイン情報を入力させようとする。（2020年6月26日追記）

2-2. 影響

iPhoneを狙った手口では、主に、次のような流れです。

フィッシングサイトに情報を入力した場合の影響

2-3. 対処

iPhoneでの対処は、次のとおりです。

フィッシングサイトに情報を入力した場合の対処

3．被害にあわないための対策

被害に遭わないために、日頃から次のような対策をしてください。

手口を知る

• 知らない危険を避けることは困難です。不正なアプリをインストールさせる手口や、フィッシングの手口の基本を知り、今回の事例だけでなく、今後類似の事例が出現した場合にも備えてください。

SMSやメール内のURLを安易にタップしない

• リンク機能は便利ですが、不審なサイトへの誘導にも使われます。これまで見たことのないSMSやメールが届いたら、URLをタップする前に、公式サイトなど確かな情報源を使って真偽を確認してください。

提供元不明のアプリのインストールをするときは、細心の注意を払う（Androidの場合）

• Androidでは、公式マーケット以外で配信されるアプリを「提供元不明のアプリ」といいます。そのようなアプリの中には、今回の事例のように危険なものもあります。そのため、提供元不明のアプリをインストールするときは、細心の注意が必要です。

パスワードや認証コード等を安易に入力しない

• 電話番号やパスワード、認証コードなど、重要な情報は安易に入力しない習慣をつけてください。

4．よくある質問

本手口において、よくある質問は次のとおりです。

1. Q1サイトにアクセスしただけで、何の操作も入力もせずに閉じた。なにか被害があるか？

   A1

   偽サイトにアクセスしただけであれば、被害にはつながりません。
   
   Androidの場合：
   表示されたメッセージに沿って操作（アプリのインストール）をしていなければ、影響はありません。自身の操作なしにアプリがインストールされることはありません。
   なお、アプリのファイル（APKファイル）がスマートフォン内のダウンロードフォルダ等にあった場合は、念のため削除してください。
   
   iPhoneの場合：
   何も入力していなければ、影響はありません。

   閉じる

2. Q2Androidで不正アプリをダウンロードしたが、インストールはしていない。なにか被害があるか？

   A2

   不正アプリをダウンロードしただけで、インストールしていなければ被害は発生しません。
   念のため、スマートフォン内のダウンロードフォルダ等にある当該アプリのファイル（APKファイル）を削除してください。
   
   なお、インストール作業であると知らずに操作を進め、被害に遭った事例も寄せられています。
   手口に遭遇した際の操作内容が不明瞭で、インストールをしたかどうか分からない場合等は、SMSの大量送信やキャリア決済サービスの不正使用等の被害が出ていないかどうか、携帯電話会社に確認することを推奨します。

   閉じる

3. Q3Androidで不正アプリをインストールしたが、電話番号を変更すれば、勝手にSMSを送信されたり、スマホ内のデータを不正使用されたりすることはなくなるか？

   A3

   電話番号を変更しても、それらの事象への対処にはなりません。初期化等を実施してください。（Androidの対処＜1-3.対処＞をご参照）

   閉じる

4. Q4Androidに不正アプリをインストールしたが、スマートフォンを買い替えなくてはいけないか？

   A4

   スマートフォンを初期化することで、不正アプリの影響を取り除くことができます。買い替えの必要はありません。

   閉じる

5. Q5SMSを送ってきた人が攻撃者なのか？

   A5

   攻撃者の可能性もありますが、自身のAndroidに不正アプリをインストールした被害者の方から送られてきている可能性もあります。（Androidの被害＜1-2.影響＞をご参照）

   閉じる

5．手口検証動画

本手口に関する検証動画をYouTubeに投稿しておりますので、合わせてご覧ください。

5-1. Android編

• 動画 Androidの手口編（再生時間：4分28秒）

5-2. iPhone編

• 動画 iPhoneの手口編（再生時間：2分14秒）