まず、フィッシングそのものの定義を確認します。警察庁の説明はこうです。

この定義の中に、すでに「メールや SMS の」と両方が書かれています。つまりスミッシングは特別な手口ではなく、フィッシングの入口がSMSになっただけです。

ではなぜ、わざわざ別の名前が付いているのか。受け取る側の心理が、メールとまったく違うからです。

受け取る側から見た違いを筆者が整理したものです。

第1章 おわり — 次は第2章

警察庁の統計編に「フィッシングサイトへ誘導する手口別の不正送金発生件数」という集計があります。実際に不正送金の被害が起きた事案について、その始まりが電子メールだったのかSMSだったのかを分けたものです。実数を書き出します。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』統計編143頁「5 フィッシングサイトへ誘導する手口別の不正送金発生件数」のグラフから実数を読み取り。倍率・増減は筆者の計算です。資料には「発生件数が異なるため、各年の合計数値は異なる」との注記があります。

この表の読み方を1つずつ確認します。

電子メール経由は減っています。2,302件から2,211件へ、91件の減少です。長年フィッシングの主役だったメールが、初めて足踏みしました。

SMS経由だけが急増しました。553件から1,695件へ、約3.1倍です。構成比で見ると、2024年は全体の約14%だったものが、2025年は約39%まで上がりました。

構成比は各年の合計に対する割合として筆者が算出しました。

つまり、2025年に不正送金の被害が増えた分は、実質的にすべてSMS経由だったということになります。フィッシング全体の報告件数は245万4,297件、不正送金は4,747件・被害総額約103億9,700万円で、そのうちフィッシングが手口の約9割を占めます。その9割の内訳が、いま急速にSMSへ移っています。

第2章 おわり — 次は第3章

ここが、この記事でいちばんお伝えしたい部分です。SMSが3倍に増えた理由について、警察庁は統計編に注記を付けています。

読み飛ばしそうな1文ですが、意味するところは重大です。偽SMSを送っているのは、犯罪グループの機材ではなく、感染した一般の人のスマートフォンだということです。

日本サイバー犯罪対策センター（JC3）も、同じ現象について注意喚起しています。利用者がだまされて不正なスマートフォンアプリを導入することが原因で、個人のスマートフォンから身に覚えのない大量のSMSが配信され、料金が高額になるといった事象が確認されている、としています。

警察庁の注記およびJC3の注意喚起の内容をもとに、筆者が流れとして整理しました。公式な分類ではありません。

この構造から、2つの重要な帰結が出てきます。

1つめ。送信元の電話番号では判別できません。犯罪グループの番号ではなく、感染した一般の人の番号から届くからです。「知らない番号だから怪しい」「国内の番号だから安心」という判断は、どちらも成り立ちません。

2つめ。被害者が、そのまま加害インフラになります。自分が引っかかっただけで終わらず、知らないうちに他の人へ偽SMSをばらまく側に回ります。しかも通信料は自分に請求されます。

もう1つ、SMSが使いやすい理由として、警察庁は本人確認の仕組みの隙にも触れています。ペイメントサービスのアカウント作成等に利用されるSMS機能付きデータ通信専用SIMは、契約時の本人確認の義務付けがないことから、犯罪インフラとして悪用されているとされています。

第3章 おわり — 次は第4章

実際に日本で多く届いているSMSには、いくつかの定番の型があります。当サイトでは個別に実例を検証していますので、心当たりのあるものから確認してください。

いずれも当サイトで個別に検証した実例です。ここに挙げていない企業名がかたられることも当然あります。

共通しているのは「あなたに落ち度があるかもしれない」と思わせる点です。不在にした、未払いがある、手続きをしていない。後ろめたさを作って、確認より先に指を動かさせる設計になっています。

最後に、似ている用語を整理します。

SIMスワップの定義は警察庁資料の注記（偽造した本人確認書類を使い、他人に成りすましてMNPやSIMカードの再発行手続きを行い、携帯電話番号を乗っ取る手口）にもとづきます。

第4章 おわり — 次は第5章

第4章で書いたとおり、文面や送信元で見分ける方針は限界に来ています。代わりに効くのは「届いた通知を、届いた経路では確認しない」という習慣です。効果の大きい順に挙げます。

優先順位は筆者の整理です。設定項目名は端末・携帯会社によって異なります。

第5章 おわり — 次は第6章

スミッシングは個人向けの手口だと思われがちですが、組織にとっても他人事ではありません。理由は「業務で使う端末が、私物のスマートフォンであることが多い」からです。

従業員のスマホが感染すれば、そこに入っている業務アプリの認証情報も危険にさらされます。加えて、その端末から取引先へ大量の偽SMSが送信されれば、会社の信用にも関わります。

「重さ」は筆者の評価です。組織の規模・体制によって異なります。

第6章 おわり — 次は第7章

どこまで進んだかで対応が変わります。リンクを開いただけなら、多くの場合まだ被害はありません。上から確認してください。

実務上の一般的な整理です。手続きは各社で異なります。補償の可否は個別の判断になりますので、必ずご自身の金融機関・カード会社にご確認ください。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ