大原則: SMSのリンクは開かない
最初に最も重要な原則をお伝えします。SMSの真偽判定に自信がなければ、リンクは開かず、カード会社の公式アプリまたはブックマークした公式サイトから直接ログインして確認してください。本物のSMSであれば、同じお知らせが会員サイト・アプリ内にも必ず表示されています。
この習慣さえあれば、フィッシング詐欺の被害はほぼ確実に防げます。
本物のカード会社は、SMSのリンク先でカード番号・暗証番号・セキュリティコードを入力させることはありません。
本物のSMSの仕組み: 送信元番号は決まっている
各カード会社が送るSMSの送信元は、実はある程度決まっています。国内SMSの送信元には「0032-06-9000」のようなNTTコム系の共通番号、会社ごとに割り当てられた「003-206-9XXX」の個別番号、「JCB」「SMBC」のような英字表記(送信元ID)などがあり、多くのカード会社は公式サイトに「当社が使用するSMS送信元番号一覧」を公開しています。
当サイトでも各社のSMS送信元番号を収録しています。受信したSMSの送信元番号を検索すれば、その番号がどの会社の・どんな用途の送信元かを確認できます。
偽物SMSの典型パターン
フィッシングSMSには共通する特徴があります。以下のいずれかに当てはまったら、まず疑ってください。
- 「ご利用を一時停止しました」「異常なログインを検知」など不安を煽り、すぐの操作を迫る
- リンクのドメインが公式と異なる(例: 公式が jcb.co.jp なのに jcb-co-jp.xyz など)
- 短縮URL(bit.ly等)や、数字・ハイフンだらけの不自然なURL
- 携帯電話番号(090/080/070)から届く「企業のお知らせ」(正規の企業SMSはまず携帯番号からは届かない)
- 日本語が不自然(「お客様各位様」「ご本人様確認が必要となっております」等の過剰な敬語)
- 金額・カード名・会員番号下4桁など、本物なら書けるはずの具体情報が一切ない
真偽確認の3ステップ
受信したSMSが本物か確認する手順は次の3ステップです。
- ①送信元番号を検索する: 当サイトで送信元番号を検索し、カード会社の公式送信元として収録されているか確認
- ②リンクを開かずに公式アプリで確認する: 本物の通知なら会員サイト・アプリに同じ内容が表示される
- ③それでも不明なら公式番号に電話する: カード裏面の番号か公式サイト掲載の番号に自分からかけて確認
リンクを開いて情報を入力してしまった場合
万一、偽サイトにカード番号や暗証番号を入力してしまった場合は、時間との勝負です。直ちに以下を実行してください。
- カード会社に電話してカードの利用停止・再発行を依頼する(24時間対応の紛失盗難デスクでOK)
- 同じパスワードを使い回している他のサービスのパスワードを変更する
- 身に覚えのない利用がないか利用明細を確認し、あれば不正利用の補償を申請する
- 警察のフィッシング報告窓口(#9110)や都道府県警のサイバー犯罪相談窓口に届け出る
不正利用は多くの場合、届け出から60日以内であれば補償の対象になります。気づいたらすぐカード会社へ連絡してください。
この記事に関するよくある質問
Q. 「+」から始まる国際番号からカード会社のSMSが届きました。本物ですか?
A. 国内カード会社が国際番号(+1、+44など)からSMSを送ることは基本的にありません。国際番号からの「カード会社のお知らせ」はフィッシングの可能性が極めて高いため、リンクを開かず削除してください。
Q. 本物のSMSと同じ送信元番号から偽物が届くことはありますか?
A. SMSの送信元表示を偽装する手口は技術的には存在します。送信元番号が本物でも、リンク先ドメインが公式と異なる場合は偽物です。最終判断は「リンクを開かず公式アプリで確認」を徹底してください。
Q. 怪しいSMSはどこに報告すればいいですか?
A. フィッシング対策協議会(info@antiphishing.jp)への転送報告、携帯キャリアの迷惑SMS報告機能、警察相談専用電話(#9110)が利用できます。当サイトの該当番号ページに口コミとして報告いただくと、他の利用者への注意喚起にもなります。