スミッシング・ビッシング・SIMスワップ対策｜SMSと電話を悪用した詐欺の防ぎ方

「お荷物のお届けにあがりましたが不在のため持ち帰りました」「セキュリティ強化のため電話番号の確認が必要です」といった不審なショートメッセージ（SMS）や電話を受けた経験がある方は多いのではないでしょうか。

スマートフォンが日常生活や金融サービスの中心となった現代、SMSを悪用した「スミッシング」、電話による「ビッシング」、そして電話番号そのものを乗っ取る「SIMスワップ」という3つの脅威が深刻化しています。

特にSIMスワップ攻撃を受けると、SMSで受信するワンタイムパスワードが犯人に直接届くため、オンラインバンキングやSNSアカウントが連鎖的に乗っ取られる危険があります。

本記事では、警察庁・総務省の注意喚起および主要通信キャリアの公式情報に基づき、これら3つの手口の違いと仕組み、今日からできる具体的な防御設定、万が一電波が急に圏外になった際の緊急初動対応までを分かりやすく解説します。

なお、個人が取り組むべきセキュリティ対策の全体像は、個人でできるセキュリティ対策まとめ｜情報漏洩から身を守る完全ガイドで体系的にまとめています。

この記事で行うこと
前提条件・対象読者
1. SMSと電話を悪用する3大攻撃の手口と危険性
2. なぜ「SMS認証」だけでは危険なのか
3. 今日からできる具体的な防御設定
4. よくある間違い・注意点（アンチパターン）
1. 4-1. ❌ パスキーや認証アプリを追加したのに「SMS認証」を残したままにする
2. 4-2. ❌ 発信者番号表示（ナンバーディスプレイ）だけで本物と信じ込む
5. 万が一不審な通知が届いた・突然圏外になったときの緊急対応
6. よくある質問（FAQ）
1. Q1. 不審なSMSのURLを誤ってタップしてしまいました。どうすればよいですか？
2. Q2. eSIMを使っていればSIMスワップ被害には遭いませんか？
7. まとめ
次に読むおすすめ記事
参考情報

この記事で行うこと

スミッシング（SMS詐欺）、ビッシング（電話詐欺）、SIMスワップ（電話番号乗っ取り）の手口と違いを理解する
なぜSMSによる二段階認証が突破されるのか、構造的なリスクを把握する
大手通信キャリア（ドコモ・au・ソフトバンク・楽天モバイル）の迷惑SMS拒否設定を確認する
重要なWebサービスの認証手段をSMSから認証アプリ・パスキーへ移行し、キャリアID自体を保護する
身に覚えのない圏外表示や不正通知が発生した際の緊急連絡フロー（通信会社・金融機関・警察 #9110）を把握する

前提条件・対象読者

不審な不在通知SMSや自動音声電話が届き、対処法や見分け方を知りたい方
銀行、証券口座、SNSなどの二段階認証にSMS（電話番号）を利用している方
スマートフォンの紛失・盗難やSIMカードの不正再発行に備えておきたい方
情報の基準日：2026年11月（警察庁、総務省、各通信キャリアの公式案内・サポート情報に基づきます。設定画面の名称や手順はOSやアプリの更新により異なる場合があります）

1. SMSと電話を悪用する3大攻撃の手口と危険性

まずは、攻撃者がどのようにして私たちの情報や資産を狙ってくるのか、3つの攻撃手法の違いを整理します。

攻撃手法	主な手口	狙われるもの	主な被害例
スミッシング (Smishing)	偽のSMSを送り、URLリンクから偽サイトへ誘導する	アカウントID、パスワード、クレジットカード情報	アカウント乗っ取り、不正決済、不正アプリのインストール
ビッシング (Vishing)	実在する企業や公的機関を名乗り、電話で直接騙す	口座暗証番号、ワンタイムパスワード、画面操作	預金の不正送金、遠隔操作ソフトの導入、個人情報の詐取
SIMスワップ (SIM Swap)	偽造身分証明書や不正ログインでSIM/eSIMを再発行する	被害者の電話番号そのもの（SMS・通話機能）	SMS二段階認証の突破、銀行口座や暗号資産の不正送金

1-1. スミッシング（SMSフィッシング）の手口

スミッシングは「SMS」と「フィッシング（Phishing）」を組み合わせた造語です。攻撃者は、宅配業者の不在通知、通信料金や税金の未払い請求、金融機関のアカウント制限警告などを装ったメッセージを一斉送信します。

本文内のリンクをタップすると、本物と見分けがつかない偽のログイン画面が表示され、IDやパスワード、暗証番号の入力を求められます。また、Android端末では「セキュリティアプリの更新」などを口実に不正なアプリ（.apk ファイル）をインストールさせたり、iPhoneでは不正な構成プロファイルのインストールへ誘導したりする事例も報告されています。

メールを使ったフィッシングの手口と見分け方については、フィッシングメールの実例と見分け方｜本物そっくりな詐欺メールの特徴・対処法もあわせて参照してください。

1-2. ビッシング（ボイスフィッシング）の手口

ビッシングは「Voice（音声）」と「フィッシング」を組み合わせた言葉で、電話の音声通話や自動音声ガイダンスを用いた詐欺です。銀行員、警察官、通信事業者、大手通販サイトのサポート窓口などを騙り、不安や焦りを煽る口調で電話をかけてきます。

「あなたの口座が不正利用されている」「未納料金があるため2時間後に回線が停止される」などと告げ、スマートフォンに送られてきたワンタイムパスワードを口頭で聞き出そうとしたり、遠隔操作アプリをインストールさせようとしたりします。近年は国際電話番号（+1 や +44 など + から始まる番号）からの着信も増えています。

1-3. SIMスワップ（SIMハイジャック）の手口

3つの中で被害が深刻化しやすいのがSIMスワップです。主な手口には以下の2つのパターンがあります。

対面・非対面での本人確認悪用型:
フィッシングや過去の漏洩で入手した被害者の個人情報（氏名、生年月日、住所等）をもとに偽造した身分証明書を用意し、携帯電話ショップ等で「機種変更」や「紛失によるSIM再発行」を申し立てて、被害者の電話番号が紐づいた新しいSIMカードを不正に取得します（対策として、携帯電話不正利用防止法に基づくICチップ読み取り等の本人確認厳格化が進められています）。
キャリア会員アカウント乗っ取り型（eSIM再発行）:
通信キャリアのマイページ（dアカウント、au ID、My SoftBank、楽天ID等）に不正ログインし、オンライン手続きで「eSIMの再発行」を行って犯人の端末に電話番号を移行させます。

犯人側で新しいSIMカードやeSIMが有効化されると、被害者の手元にあるスマートフォンの通信は突然「圏外」になり、通話やSMSがすべて犯人の端末へ届くようになります。

2. なぜ「SMS認証」だけでは危険なのか

長年、多くのWebサービスで「SMSによる二段階認証」が広く利用されてきました。パスワードのみの認証に比べれば安全性は高まりますが、現在ではSMS認証に潜む以下の弱点が指摘されています。

2-1. フィッシングサイトでリアルタイム中継される

攻撃者が用意した偽のログイン画面に被害者がIDとパスワードを入力すると、攻撃側のプログラムが本物のサービスへ即座にアクセスします。本物のサービスから被害者のスマホにSMS認証コードが送られますが、被害者がそのコードも偽画面に入力してしまうと、攻撃者にリアルタイムでコードを利用され、二段階認証を突破されてしまいます。

2-2. SIMスワップで受信先ごと乗っ取られる

前述の通り、SIMスワップによって電話番号自体を乗っ取られると、SMSコードは直接攻撃者のスマートフォンに届きます。被害者が気づかない間に、パスワード再設定用のSMSを受信され、主要アカウントのパスワードを変更されてしまうリスクがあります。

2-3. マルウェアによるSMS転送リスク

スミッシング等でスマートフォンに不正なアプリをインストールさせられた場合、端末に届いたSMSの内容をバックグラウンドで攻撃者のサーバーへ自動転送されるおそれがあります。

認証方式ごとの強度差や安全な移行先については、二段階認証の種類と選び方｜SMS・認証アプリ・パスキー・物理キーを比較で詳しく解説しています。

3. 今日からできる具体的な防御設定

スミッシング、ビッシング、SIMスワップによる被害を防ぐために、今すぐ確認・設定できる対策をまとめました。

3-1. キャリアの「迷惑SMS拒否設定」を確認する

国内の主要通信キャリアは、フィッシング詐欺や不正アプリの誘導に使われる不審なSMSを自動検知して遮断する無料フィルタリング機能を提供しています。

通信キャリア	公式機能の名称	初期設定と確認・変更場所
NTTドコモ（ahamo含む）	危険SMS拒否設定	原則として契約時に自動適用。`My docomo` の「設定（メール等）」＞「SMS拒否設定」から確認可能
KDDI（au / UQ mobile / povo）	迷惑SMSブロック	原則として自動適用。ブロック設定の詳細はauサポートページで確認可能
ソフトバンク（Y!mobile / LINEMO）	迷惑SMSフィルター / なりすましSMSの拒否	`My SoftBank` の「メール設定」＞「迷惑メール対策」から設定・強度変更が可能
楽天モバイル	迷惑SMS拒否設定	原則として初期設定で有効。`Rakuten Link` アプリ内の「my 楽天モバイル」＞「契約プラン」から確認可能

※海外からの不審なSMSや国際電話が多い場合は、各キャリアが提供している「海外電話番号からのSMS拒否」や国際電話の発着信制限もあわせて検討してください。

3-2. 重要サービスの認証を「認証アプリ」や「パスキー」へ移行する

オンラインバンキング、証券口座、Google、Apple、主要SNS、暗号資産取引所など、重要なサービスでは二段階認証の手段をSMSから変更します。

認証アプリ（Google Authenticator、Microsoft Authenticator、Bitwarden等）に変更する
パスキー（FIDO2 / WebAuthn規格）に対応しているサービスでは、パスキーを登録する

パスワードの安全な一括管理方法については、パスワードマネージャー入門｜選び方・移行手順・マスターパスワードの決め方をご覧ください。

3-3. 通信キャリアの会員ID（マイページ）自体を強固に保護する

オンラインでの不正なeSIM再発行（SIMスワップ）を防ぐには、通信キャリアの会員アカウント（dアカウント、au ID、My SoftBank、楽天IDなど）が乗っ取られないようにすることが不可欠です。

キャリアIDのパスワードを他サービスと使い回さない
キャリアIDで提供されているパスキー設定や生体認証、二段階認証を有効化する
アカウントへのログイン通知メール・プッシュ通知をオンにしておく

3-4. 物理SIMの抜き取り対策として「SIM PIN」を設定する

スマートフォンの物理SIMカードには、端末再起動時やSIMカードの差し替え時に暗証番号の入力を求める「SIM PIN」という保護機能があります。

なお、SIM PINは「端末の紛失・盗難時に、犯人が物理SIMカードを抜き取って別のスマホに挿し込み、SMSや通話を悪用すること」を防ぐ機能です（キャリア側で新しいSIMが再発行されるSIMスワップ自体を防ぐものではありませんが、物理盗難対策として有効です）。

各OSでの設定場所の例は以下の通りです（OSバージョンにより表記が異なります）。

iOS（iPhone）: 設定 > モバイル通信 > SIM PIN
Android: 設定 > セキュリティとプライバシー > その他のセキュリティ設定 > SIMカードロック

大手キャリアの購入時初期PINコードは、NTTドコモが 0000、auが 1234、ソフトバンクが 9999、楽天モバイルが 0000 と案内されています（MVNOや契約種別により異なる場合があります）。入力を3回連続で間違えるとPINロックがかかり、契約書類やマイページで確認できる「PUKコード（PINロック解除コード）」が必要になります。さらにPUKコードを10回連続で間違えるとSIMカードが完全にロックされ、ショップでの再発行が必要になるため、手元にPUKコードを用意した上で慎重に設定してください。

3-5. SMSのリンクを開かない・電話でコードや暗証番号を伝えない

技術的な設定とあわせて、以下の2つの行動原則を徹底してください。

SMSに記載されたURLは開かない:
金融機関、配送業者、官公庁から届いたSMSのリンクは直接タップせず、事前にブックマークした公式サイトや公式専用アプリから状況を確認します。
電話口で暗証番号や認証コードを伝えない:
警察官、銀行員、通信会社のスタッフであっても、電話で暗証番号やワンタイムパスワードを尋ねることはありません。急かされても一旦電話を切り、自分で調べた公式窓口へかけ直してください。

4. よくある間違い・注意点（アンチパターン）

4-1. ❌ パスキーや認証アプリを追加したのに「SMS認証」を残したままにする

サービスによっては、認証アプリやパスキーを設定しても、予備の認証手段やパスワード再設定（アカウント復旧）の連絡先としてSMS（携帯電話番号）が有効なまま残っている場合があります。

SMSでのログインや復旧が残っていると、攻撃者に「パスキーではなくSMSで認証する」という迂回ルートを選ばれ、SIMスワップ等で突破されるおそれがあります。設定画面で不要なSMS認証オプションを無効化できる場合は、予備のパスキーやリカバリーコードを保管した上でSMSを外しておく方が安全です。

4-2. ❌ 発信者番号表示（ナンバーディスプレイ）だけで本物と信じ込む

「銀行の代表番号と同じ番号から着信した」「いつもキャリアから届くSMSと同じスレッド（履歴）にメッセージが表示された」という場合でも、発信者番号や送信元表示が偽装されているケースがあります。表示された番号だけで信用せず、必ず一度切って公式窓口へ確認してください。

5. 万が一不審な通知が届いた・突然圏外になったときの緊急対応

もし「身に覚えのないeSIM発行完了メールが届いた」「電波状況の良い場所にいるのに、突然スマホが『圏外』になって復旧しない」といった場合、SIMスワップ等の攻撃が進行している可能性があります。

ステップ1: 通信キャリアの緊急窓口へ連絡する

再起動や機内モードのオン/オフを試しても通信が復旧しない場合は、家族の電話や固定電話、公衆電話などから契約している通信キャリアのサポート窓口（紛失・盗難・緊急停止窓口）へ直ちに連絡し、以下を確認・依頼してください。

自身の電話番号で身に覚えのないSIMカード／eSIMの再発行や機種変更手続きが行われていないか
不正な手続きが確認された場合は、直ちに回線の利用中断（緊急停止）を行う

ステップ2: 金融機関・クレジットカード会社へ連絡する

回線が停止されるまでの間にオンラインバンキングや決済サービスへ不正アクセスされた形跡がないか確認します。被害のおそれがある場合は、銀行や証券会社、クレジットカード会社の緊急窓口へ連絡し、出金停止やカード利用停止を依頼します。

ステップ3: 警察の相談窓口へ通報・相談する

金銭被害が発生した場合や、なりすましによる不正契約・不正アクセスが確認された場合は、速やかに警察へ相談します。

緊急の事件・被害は110番、緊急ではない相談や困りごとは全国共通の警察相談専用電話「#9110」（ダイヤル回線や一部IP電話からは各都道府県警察の相談窓口番号）へ連絡してください。犯人から届いたSMSの文面、着信履歴、偽サイトのURL、キャリアからの通知メールなどは、削除せずスクリーンショット等で証拠として保存しておきます。

6. よくある質問（FAQ）

Q1. 不審なSMSのURLを誤ってタップしてしまいました。どうすればよいですか？

URLをタップして画面を開いただけで、何も入力せずアプリもインストールしていない場合は、直ちにブラウザのタブを閉じれば実害が出ないケースが多いです。ただし、ID・パスワードやカード番号を入力してしまった場合は直ちにパスワード変更とカード停止を行い、不正なアプリ（.apk 等）や構成プロファイルを入れた場合は機内モードにしてアンインストール・削除を行ってください。詳細は個人情報が流出したら？確認方法と今すぐやるべき対策｜パスワード・パスキー・カードで解説しています。