スミッシング対策で企業がすること

公開日：2026/11/05

スミッシング対策としてSMSを送る会社がすることは、受け取った人が「いつもと違う」と気づける材料を、先に渡しておくことです。送信元の番号を決めて変えず、URLは自社のドメインにそろえ、パスワードやカード番号はSMSで聞きません。そのうえで、どの番号から、どんなSMSを送るのかを公式サイトに載せておきます。

スミッシングとは：実在の会社をかたり、SMSで偽サイトに誘う手口

スミッシングは、SMSで偽サイトへ誘い、IDやパスワード、カード番号などを入力させるフィッシングです。警察庁の[フィッシング対策のページ](https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html)は、携帯電話会社、宅配業者、銀行をかたって偽サイトに誘導する事例を多数確認していると書いています。総務省の[SMSの不適正利用対策の方向性（案）](https://www.soumu.go.jp/main_content/000935222.pdf)（2024年3月）には、スミッシングの被害が増えていることを踏まえて、携帯電話会社やSMS配信事業者などが入る連絡会の立ち上げが載っています。

送る側が困るのは、本物のSMSまで疑われることです。IPAの[情報セキュリティ10大脅威 2026 個人編ハンドブック](https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/setsumei_2026_kojin.pdf)は、突然届いた身に覚えのないメールやSMSは真偽を見分けようとせず、基本的に無視して削除するよう呼びかけています。督促や予約の連絡が「身に覚えのないSMS」に見えれば、読まれずに消されます。

フィッシング対策協議会の[利用者向けフィッシング詐欺対策ガイドライン 2026年度版](https://www.antiphishing.jp/report/guideline/consumer_guideline2026.html)は、会社からいつ・どんな連絡が届くかを先に知っておき、当てはまらないものを怪しいと考えるよう勧めています。送る側は、その「いつもの形」を決めて知らせておきます。

本物と分かってもらうために、送る側がする4つのこと

1. 送信元の番号を決めて、変えない

フィッシング対策協議会の[フィッシング対策ガイドライン 2026年度版](https://www.antiphishing.jp/report/guideline/antiphishing_guideline2026.html)（事業者向け・2026年6月1日公開）は、重要項目の2つ目に「利用者に送信するSMSにおいては、国内の携帯キャリアに直接接続される送信サービスを利用し、事前に発信者番号等をWebサイトなどで告知すること」を挙げています。必須の項目には、0005で始まる携帯電話会社共通の番号の利用も入っています。ガイドラインはSMSの送り方を、国内から直接つなぐもの・国際網を通るもの・個人の携帯電話から送るものの3つに分け、後ろの2つはフィッシングに使われやすいとして避けるよう書いています。最近は、マルウェアに感染した個人のスマホから090・080・070の番号で送られるものが急に増えているとも書かれています。

部署やキャンペーンごとに送信元の番号が増えると、受け取る人は覚えられず、公式サイトの一覧も古くなります。目的ごとに分けるなら督促用・予約用のように数を絞り、決めた番号は長く使います。回線の種類の違いは、SMSの国内直収接続・国内網・海外網の違いにまとめています。確かめ方：社内で使っている送信元の番号を一覧にし、公式サイトの番号と食い違いがないかを見ます。

2. URLは自社のドメインにそろえる（短縮URLの扱い）

事業者向けのガイドラインでは、ドメイン名は「利用者が安全性を判断するために最も重要な要素」と書かれています。一度登録したドメイン名は長く使い、部署ごとに勝手にドメイン名を取らないよう、社内で管理の担当とルールを決めるよう勧めています。

短縮URLでは、リンク先のドメインが受け取る人から見えなくなります。自社のドメインと関係のない短縮URLでは、本物かどうかを判断する材料が1つ消えます。短くしたいときは、自社で持っているドメインの短いURLを使うか、文面を削ります。文字数と料金の関係は、SMSの文字数と料金の数え方にまとめています。

URLを載せないやり方もあります。あえてURLを書かずに、公式サイトのどのメニューから確かめればよいかを案内する方法が、ガイドラインの良い例に入っています。確かめ方：最近送ったSMSの本文を並べ、URLのドメインが自社のものか、送るたびに変わっていないかを見ます。

3. パスワードやカード番号を、SMSで聞かない

警察庁のページには、金融機関がIDやパスワードなどをメールやSMSで問い合わせることはないと書かれています。事業者向けのガイドラインも、注意喚起の良い例に「当社がメールやSMSでお客さまのパスワードをお尋ねすることは一切ございません」という文を載せています。

この一文が効くのは、本当に一度も聞いていない場合です。督促のSMSからカード番号の入力ページに誘うなど、自社の送り方が偽物と同じ形になっていないかを先に見直します。督促の文面は督促SMSの文面と送り方にまとめています。確かめ方：SMSのリンク先に、ログインやカード番号の入力を求める画面がないかを、部署ごとに洗い出します。

4. 公式サイトに「SMSでお送りしているもの」を載せる

1〜3で決めたことは、公式サイトの1つのページにまとめます。事業者向けのガイドラインは、利用者に、事前に知らされている番号と違うSMSが届いたらフィッシングを疑うよう書いています。番号が同じでも本物とは限らないため、番号だけで判断させる書き方はしません。ページには最終更新日を入れ、番号やSMSの種類を変えたら、その日のうちに直します。

私の考え：利用者に「見分けて」と頼む前に、送る側の形をそろえる

私は、なりすましへの備えは、利用者に見分け方を覚えてもらうことより先に、送る側が自分のSMSの形をそろえることから始めるべきだと考えています。事業者向けのガイドラインも、注意喚起のNGとして「URLが正しいかを判断させる」「正しいメールアドレス・送信元の確認」を挙げています。

番号やURLが毎回違う会社には、受け取る人から見て「いつもの形」がありません。番号、URLのドメイン、聞かないことの3つは、どれも送る側の社内で決められます。

ULTIQUE SMSで送信元番号をそろえる場合

ULTIQUE SMSの場合、送信元には、固定電話・050番号・フリーダイヤルなど、個人の携帯電話番号以外を登録できます。英数字の番号は設定できません。目的ごとに、複数の番号を登録できます。

標準の設定では、受け取る人の携帯電話がSoftBankの場合、送信元は「253000」または「253001」と表示されます。公式サイトに番号を載せるときは、登録した番号とあわせて、SoftBankではこの表示になることも書いておくと、確かめに来た人が迷いません。

自社をかたるSMSが出たときの、利用者への案内

自社をかたるSMSが出回ったら、事業者向けのガイドラインは、公式サイトへの掲示、公式アプリでの通知、SNSなど複数の経路で知らせるよう書いています。ガイドラインに沿うと、案内に入れることと避けることは次のとおりです。

フィッシング対策協議会は[フィッシングの報告](https://www.antiphishing.jp/registration.html)を受け付けていて、SMSは画面のスクリーンショットをメールに添付して送るよう案内しています。利用者の被害が出ているときは、都道府県警察のサイバー犯罪相談窓口にも連絡します。窓口の連絡先は、出回る前に調べておきます。

ULTIQUE SMSで送る場合に、送る側で決めておくこと

送信元の番号をそろえても、その番号で送れる管理画面に第三者が入れば、本物の番号から偽のSMSが出ます。ULTIQUE SMSでは、管理画面とAPIのそれぞれで、接続できるIPアドレスを制限できます。API連携では、セキュリティのため接続元のIPアドレスを登録していただいています。

次に確かめること

• 社内のどの部署が、どの送信元番号からSMSを送っているか
• SMSのリンク先に、パスワードやカード番号を入力させる画面がないか
• 公式サイトに、送信元の番号とSMSで聞かないことを載せたページがあるか

あわせて読みたい記事

SMSの国内直収接続・国内網・海外網の違いSMSの基礎知識SMSの文字数と料金の数え方SMSの基礎知識

情報の確認日：2026-11-05