日本郵便を装ったSMSに注意、不正アプリをインストールされたりApple IDも詐取される恐れ

　日本郵便をかたり、偽サイトに誘導するSMSが5月に新たに確認されたとして、警視庁サイバーセキュリティ対策本部や一般財団法人日本サイバー犯罪対策センター（JC3）が注意を呼び掛けている。

SMSの文例（JC3より画像提供）

　iOS端末の場合、不審なSMSに記載されたURLから偽サイトにアクセスするとApple ID・パスワードの入力画面が表示される。実際に入力した場合、一例としては、「ロード中」画面が表示されたままになることが確認されている。

　Android端末の場合、偽サイトで偽アプリをインストールしてしまう恐れがある。端末内の電話帳の情報を攻撃者の指令サーバーに送るとともに、宅配不在通知を偽装したSMSをユーザーの端末から見知らぬ電話番号宛に多数送信する可能性もある。

　なお、これらの偽サイトはPCからもアクセス可能になっていることが確認されている。

日本郵便を装った偽サイト。偽サイトはPCからの表示にも対応している

左より偽アプリの画面とアイコン（JC3より画像提供）

　JC3では、SMS経由でフィッシングサイトに誘導する“スミッシング”の被害にあわないために、心当たりのないメッセージは開かないこと、メッセージに記載されたURLへ安易にアクセスしないこと、ID・パスワード入力時は正規サイトであることを確認するよう呼び掛けている。

　これまで佐川急便を装ったスミッシング（5月10日付関連記事『荷物の不在通知を装ったSMSに注意！　端末の情報を盗み、遠隔操作も可能な偽の佐川急便アプリ「sagawa.apk」ダウンロード促す』参照）のほか、ヤマト運輸を装った（2018年12月13日付関連記事『今度はヤマト運輸をかたるSMS攻撃が拡散、不在通知を装い不正アプリをインストール』参照）攻撃が確認されている。

　今後も他の運送系企業をかたる手口が確認される可能性があるため、引き続き注意が必要だ。