ネットで注文した荷物を待っているときに、不在を知らせるSMSが届くと、すぐに再配達を申し込みたくなります。しかし、注文した覚えがあることだけでは、その通知が本物かどうかはわかりません。

確認する入口を、届いたメッセージから普段使っている公式の窓口へ切り替えましょう。ここでは、受け取った段階と、すでに操作した段階に分けて確認することをまとめます。

ヤマト運輸はSMSでの連絡を行っていない

ヤマト運輸の公式FAQは、SMSによる連絡は行っていないと案内しています。ヤマト運輸を名乗るSMSが届いたら、記載されたURLは開かないでください。

一方、同社にはメールなどで届くお届け予定・不在通知のサービスがあります。「不在通知はすべて偽物」と一括りにするのも適切ではありません。通知の手段を区別し、他社を名乗る通知については、その会社の公式案内で確認します。

同FAQでは、同社のドメインを送信元として表示する迷惑メールも報告されています。会社名や送信元の見た目だけで、本物と決めないようにしましょう。

配送状況は別の入口から確認する

警察庁は、メール・SMSのリンクを安易に使わず、登録済みのブックマークや公式アプリを利用する対策を案内しています。

荷物について調べるときは、次の順に整理すると迷いにくくなります。これは公式の対策を日常の確認手順にまとめた編集部の提案です。

  1. SMS内のリンクを使わない。 返信や、記載された番号への折り返しもいったん止めます。
  2. 購入先の注文履歴を開く。 普段使う購入先のアプリなどで、配送会社と伝票番号を確認します。
  3. 配送会社の公式窓口を開く。 確認済みのブックマークや公式アプリから荷物を調べ、必要ならそこで再配達を申し込みます。
  4. 情報が合わなければ送り主へ確認する。 荷物を待っているという理由だけで、SMSの案内へ戻らないことが大切です。

再配達の案内から、突然パスワード・認証コード・カード情報の入力や、アプリの追加を求められた場合も、その場で進めず公式窓口へ確認してください。

開いてしまった場合は、何をしたかを分ける

「リンクを開いた」と「情報を渡した」「アプリを入れた」では確認することが変わります。まず画面を閉じ、次の表で自分の操作を整理してください。

行った操作 次に確認・対応すること
リンク先を見ただけ 追加操作をせず閉じる。入力・ダウンロード・インストールをしていないか振り返る
ID・パスワードを入力した 正規のアプリやサイトからパスワードを変更。ログインできないときは公式サポートへ連絡する
カード情報を入力した カード会社の正規窓口へ速やかに相談し、停止・再発行など必要な対応を確認する
アプリを入れた、または何をしたか不明 そのアプリを使わず、携帯電話会社やIPAの相談窓口に操作内容を伝える

情報入力後の対応は、フィッシング対策協議会の案内を参照しています。同じパスワードを使っている別のサービスも確認し、不正なアクセスや利用履歴がないか調べましょう。認証コードを渡した場合も、コードの対象サービスの正規窓口へ連絡してください。

「開いただけだから絶対に安全」とは断定しない

IPAの2021年の解説では、そこで扱う偽SMSの手口について、サイトを見ただけの場合と、不正アプリの導入や情報入力をした場合を分けています。古い事例の説明を、あらゆるサイト・端末の安全を保証するものとして使うことはできません。

Androidでアプリのファイルを保存しただけでも、開いてインストールしないようにします。IPAは、操作内容が曖昧な場合には、SMSの大量送信やキャリア決済の不正使用がないか携帯電話会社へ確認するよう勧めています。

不正アプリを入れた疑いがある場合は、その端末で新たなパスワードを入力することも控え、別の信頼できる端末から相談先を確認しましょう。初期化が必要かどうかやデータの扱いは相談先の案内で判断し、この記事だけで初期化を急がないでください。

相談するときは、操作と時刻をメモする

編集部の提案として、「受信した時刻」「開いたか」「入力した情報の種類」「アプリを入れたか」をメモしておくと、相談時に経緯を伝えやすくなります。メモにパスワードそのものや認証コードを書いたり、公開のSNSへ個人情報入りの画面を載せたりする必要はありません。

相談先は、不審なSMSに書かれた連絡先ではなく、公式サイトや手元のカード等から確認します。被害が疑われるときはサービス提供元や警察へ相談してください。補償の可否は個別の条件によるため、この記事で保証するものではありません。

家族と共有するときも、まずは「通知から直接進まず、いつもの公式アプリで確認する」という手順を決めておくと実践しやすくなります。