SMSポンピングとは
この記事の要点
SMSポンピングでは、不正をする側がボットで登録や再設定の画面からSMSを大量に送らせ、料金の高い番号や海外の番号を宛先にして、不正に加わった通信会社と料金を分け合います 日本国内の携帯電話番号だけに送っていても、実在する番号への水増しは起こりえます ボットの依頼は自社のサーバーを通って届くので、配信会社を選ぶだけでは止まりません 対策は、送信回数と番号の国の制限やCAPTCHAで送る前に止めることと、送ったSMSの数と認証を終えた数を毎日比べることの組み合わせです
SMSポンピング（SMSポンピング詐欺とも呼ばれます）は、ボットなどでSMS認証の送信を大量に起こさせ、送った会社に必要のない送信料金を払わせる不正です。SMSトラフィック・ポンピングとも呼ばれます。送信の記録に、新規登録から送られた知らない番号あての認証コードが夜中に数千通並んでいたら、その分の料金は自社の請求書に載ります。防ぐには、送る前に回数や番号の国を絞る制限と、送ったあとの異常の見張りを、自社のサービスの側で組み合わせます。
目次
SMSポンピングとは：認証のSMSを水増しして、料金を払わせる不正
アイルランドの国家サイバーセキュリティセンター（NCSC）は2025年6月17日の注意喚起で、SMSポンピングを、SMS認証の機能（認証コードや新規登録の流れ）を悪用し、料金の高い番号や海外の番号へ大量のSMSを送らせる不正だと説明しています。artificial traffic inflation（人工的に水増しされた送信）などの別名も挙げています（NCSC Ireland「SMS Pumping」、2026年11月5日確認）。英国のNCSCは、同じ不正をAIT（Artificially Inflated Traffic）と呼んでいます（NCSC「Business communications - SMS and telephone best practice」、2026年11月5日確認）。SMS認証そのものの仕組みは、SMS認証とはにまとめています。
SMSポンピングの仕組み：誰が、どこで得をするのか
アイルランドのNCSCの注意喚起では、仕組みを3つの段階で説明しています。
1. 送信を起こさせる：自動のプログラムやボットが、SMSを送る機能を何度も呼び出す
2. 番号を選ぶ：送るときの料金が高い番号（料金の高い番号帯や、海外の番号）を宛先にする。番号は不正をする側や、その仲間が持っている
3. 料金を分け合う：不正に加わった通信会社と組み、水増しされた送信の料金の一部を受け取る
スイスの国家サイバーセキュリティセンターは2022年12月20日の週報で、アプリの新規登録を狙った例を載せています。海外の番号を使った数十万回の自動の登録で、そのたびに認証のSMSが送られました（NCSC（スイス）「Week 50: Attacks on app providers via "SMS traffic pumping"」、2026年11月5日確認）。
お金を目当てにしない形もあります。アイルランドのNCSCは、狙った会社の費用を増やすこと自体が目的の場合もある、と書いています。
SMSポンピングに狙われやすい画面
狙われるのは、ログインしていない人でもSMSを送らせられる画面です。
- 新規登録：電話番号を入れるだけで、認証コードが送られる
- パスワードの再設定：アカウントがあるかを確かめる前に、SMSを送ってしまう作り
- 認証コードの再送ボタン：押すたびに、制限なく送り直せる
APIの安全性をまとめている非営利の団体OWASPは、パスワードの再設定のSMSを例に挙げています。再設定のAPIがプログラムから数万回呼ばれ、数分で数千ドルの損になる、というたとえです（OWASP API Security Top 10 2023「API4:2023 Unrestricted Resource Consumption」、2026年11月5日確認）。数字は説明のための例で、被害の集計ではありません。
私の考え：送る前の制限と、送ったあとの見張りは、セットで持つ
私は、SMS認証を入れたサービスでは、送る前の制限と、送ったあとの見張りを、最初から両方持っておくべきだと考えています。回数の制限だけだと、制限の内側でゆっくり水増しされたときに気づけません。見張りだけだと、気づくまでに送った分の料金はもうかかっています。
SMSポンピングの入口は、配信会社のAPIではなく、自社の登録や再設定の画面です。ボットの依頼も、自社のサーバーを通って配信会社に届きます。どの配信会社を使っていても、自社の画面での対策は要ります。
ULTIQUE SMSで認証のSMSを送る場合
ULTIQUE SMSの場合、送れるのは日本国内の携帯電話番号だけで、海外の番号には送れません。料金がかかるのは、送信先に届いたSMSだけです。
管理画面では、接続できるIPアドレスを制限できます。API連携では、セキュリティのため接続元のIPアドレスを登録していただいています。自社のサーバー以外からAPIに接続させないための設定です。
同じ電話番号あてに短い間に多くのSMSを送ると、携帯電話会社の側で迷惑なメッセージと判定され、送れなくなることがあります。ULTIQUE SMSの送信の速さは、通常は1秒あたり約4〜5通です。
国内の番号だけに送ることや、IPアドレスの制限で、SMSポンピングが防げるとは言えません。国内の実在する番号への水増しは起こりえて、届けば料金がかかります。ボットの依頼は自社のサーバーから届くので、IPアドレスの制限では止まりません。次の5つの対策は、ULTIQUE SMSを使う場合も自社で入れてください。
SMSポンピングの対策：送る前に止める5つのこと
英国・アイルランド・スイスの公的機関とOWASPの資料に出てくる対策を、5つの手順にまとめました。出典は各手順の括弧に書いています。
1. 送信回数を、番号ごと・接続元ごとに制限する
同じ電話番号への送信と、同じIPアドレスからの依頼に、時間あたりの上限を置きます（アイルランド・英国のNCSC）。再送は、回を重ねるごとに待ち時間を倍々に延ばします（アイルランドのNCSC）。テスト用の番号で再送ボタンを続けて押し、上限で止まるかを確かめます。
2. 送る番号の国と形を絞る
利用者が日本の人だけなら、日本の番号以外には送らない作りにし、番号の桁数と形も送る前に確かめます（英国・アイルランドのNCSC）。海外の番号や桁の足りない番号で試し、送る処理で止まるかを見ます。
3. CAPTCHAなどで、ボットの依頼をふるい落とす
CAPTCHA（人が操作しているかを確かめる仕組み）を、SMSを送る公開の画面すべてで、送る前に通してもらいます（アイルランドのNCSC）。テストでは、CAPTCHAを通らずに送信のAPIを直接呼び、断られるかを試します。
4. アカウントの確認より前にSMSを送らない
パスワードの再設定では、登録のない番号にはSMSを送らない作りにします。画面の表示は、登録の有無で変えません（変えると、どの番号が登録済みかを探られます）。新規登録でも、SMSの確認はCAPTCHAのあとに置きます（アイルランドのNCSC）。登録のない番号で再設定を試し、送信の記録が増えなければ合格です。
5. 費用の上限か、通知を決めておく
配信会社と費用の上限を決め、上限を設けられないときは請求の通知を設定します（OWASP、スイスのNCSC）。配信会社に上限の設定がなければ、自社で1日の送信数の上限を決めて止めます。
送ったあとの見張り：SMSポンピングに気づく4つのサイン
送る前の制限をすり抜ける水増しもあります。次の表は、アイルランドのNCSCが挙げる、気づくための4つのサインです。
| 見るところ | 水増しを疑うサイン |
|---|---|
| SMSの送信数と新規登録の数 | 登録が増えていないのに、送信数だけが急に増えた |
| 送り先の国 | これまでほとんど送っていなかった国への送信が出てきた |
| 依頼の接続元 | 同じIPアドレスや、近いIPアドレスからの依頼がくり返される |
| 宛先の番号 | 頭の数字がそろった、でたらめな番号がまとまって並ぶ |
英国のNCSCは、送ったSMSのあとに利用者の入力が続いているか（認証を終えた割合）を見るよう書いています。送ったSMSの数と、認証を終えた数を毎日並べておけば、ふだんの割合から外れた日がすぐ分かります。
SMSポンピングが起きたときの手順
起きたときは、アイルランドのNCSCの手順に沿って動きます。
1. 狙われた画面やAPIを、いったん止めるか、回数をきつく制限する
2. SMSの送信の記録、IPアドレス、端末の情報、地域を調べ、どこまで広がったかをつかむ
3. 配信会社に知らせる（調査を手伝ってもらえる場合がある）
4. 狙われた番号帯や国への送信を止める
5. 疑わしい地域ではメールでの確認に切り替えるなど、SMSを送る流れを見直す
6. 警察に被害を届け出る
ULTIQUE SMSで結果の通知を受け取り、認証の完了数と比べる場合
ULTIQUE SMSのAPIでは、送信ごとに、届いたかどうかの結果が指定したURLへ自動で返ります（コールバック）。返ってくる通知には、配信結果や課金の通数などが入ります。送った通数や結果は、管理画面のダッシュボードでも確かめられます。決まった額を超えたときに知らせる機能はないため、確かめる日を決めておきます。
この通知を、管理IDと自由項目3つで自社の会員IDとひも付けて数えれば、送ったSMSのうち認証を終えた数の割合を自社で出せます。不正な送信に気づいたときは、ULTIQUE SMSを運営するFIDにご連絡ください。調査や送信の停止に協力します。携帯電話会社からFIDに警告が届くこともあり、警告が重なる場合は、FIDから契約を解除することがあります。
料金は、初期費用と月額固定費が0円で、最低利用料金は月1,000円（100通分込み・税抜。配信がない月もかかります）です。認証のSMSの料金の見積もり方は、SMS認証の料金とAPIの比べ方にまとめています。
SMSポンピングのQ&A
SMSポンピングとは何ですか？
ボットなどでSMS認証の送信を大量に起こさせ、送った会社に必要のない送信料金を払わせる不正です。料金の高い番号や海外の番号を宛先にし、不正に加わった通信会社と料金を分け合う形が多い、とアイルランドの国家サイバーセキュリティセンターは説明しています。
日本国内の携帯電話番号にしか送らなければ、SMSポンピングは起きませんか？
起こりえます。海外の番号を狙う形は止められても、ボットが実在する国内の番号を次々に入れれば、そのSMSは届き、料金がかかります。国内の番号だけに送る場合も、送信回数の制限やCAPTCHAは要ります。
SMSポンピングに気づくには、どの数字を見ればいいですか？
送ったSMSの数と、認証を終えた数の割合を毎日見ます。登録の数が増えていないのに送信数だけが増えた日や、ふだん送らない国への送信が出た日も、水増しを疑うサインです。
認証コードの再送ボタンには、どんな制限をかければいいですか？
上限を置くのは、同じ電話番号への送信の回数と、同じIPアドレスからの依頼の回数の2つで、どちらも時間あたりで数えます。アイルランドの国家サイバーセキュリティセンターは、再送のたびに待ち時間を倍々に延ばす方法も挙げています。
SMSポンピングの被害にあったら、最初に何をすればいいですか？
狙われた画面やAPIを止めるか、送信の回数をきつく制限します。そのあと送信の記録を調べ、配信会社に知らせます。
次に確かめること
- 新規登録・パスワードの再設定・再送ボタンに、番号ごと・IPアドレスごとの送信回数の上限があるか
- 利用者がいない国の番号に、SMSを送らない作りになっているか
- 送ったSMSの数と、認証を終えた数を、毎日並べて見られるか
あわせて読みたい記事
SMS認証とは本人確認・認証
SMS認証の料金とAPIの比べ方本人確認・認証ULTIQUE SMSを使ってみませんか
初期費用・月額固定費0円。お申込みから最短1週間〜10日で使い始められます。
情報の確認日：2026-11-05