カード会社からSMSが届いてパニクった人

あなたはカード会社からSMSが届いたらどうしますか

問題です。

カード会社を名乗る相手からSMS（ショートメッセージ）が届きました。どうしましょう？

ちなみに画像は実際に来たSMSのスクリーンショットです。後述しますが、相手先の電話番号は正規のものであり、公開されていますから、特に消していません。URLは個々人で変わるだろうと推測ですので、消しています。

1. 指示にURLをタップする
2. カード会社に電話する
3. ホームページを調べる

正解は、2か3です。ちなみに、筆者は1をやりました。つまり、間違いです。正規のメールだったからよかったもののダメな対応ですね。

さて、私はといえばタップしてから、まずいなと思ってすぐに閉じました。世の中URLをクリックするだけでもアウトなものもあるので、本当に気をつけましょう。

タップした理由としては、

• 高額決済を実際にしようとして停止された後にすぐ来たタイミング
  • 心当たりがあるからという理由
• URLが正規と思われるURLだったこと
  • でも「思われる」という次元なので良くないです

さて、問いの復習ですが、確実な正解は2です。ただ、今回のテーマは3の「調べること」になります。

SMSはどういうものか

そもそもSMSというものは、携帯電話が普及し始めたころから使われているショートメッセージという機能です。今は、メールやLINEなどのSNSアプリがコミュニケーションのメインとなっています。それに対して、SMSは個人認証を目的として使われている方向性にシフトしています。つまり「電話番号はひとつしかない。そのスマホを持っている人はその人しかいない」という所有による認証です。

いまでは、二段階認証としてSMS認証がされることは、当然の手段になっています。

ただし、企業側から積極的に問い合わせがくるような正規のSMSがあることを初めて知りました。むしろ「認証以外の連絡については基本的には無視していい」と断言していいと思っていました。それが今回、実際に使われているのを見ると認識を変える必要があります。

今一度、SMSのメリットとデメリットを改めて考えを整理します。

• メリット
  • SMSは電話番号と紐付いているので本人であると結びつけやすい
  • 特定の電話番号を持っている人は唯一である（だろう）
  • SMSが使われるネットワークは携帯電話のネットワークなので介入しにくい
  • 基本的に本人が持っているので企業側も本人と判断しやすい
• デメリット
  • スマホあるいはSIMカードを盗まれる可能性を考えると、必ずしも本人と判断できない
  • 送信側が誰なのか番号だけなのでひと目で分からない。正規の電話番号かひと目でわからない。

ということで、整理しますと

• 「SMSはほとんどの場合本人が持っているので安全性が高く見える（が、必ずしもそうではない）」
• 「SMSによる企業側からの問い合わせというのは想定されていない」

といっていいかもしれません。ということで、パニクったわけです。

企業と称するところからSMSが来たらどうするか

では、実際に企業と称するところからSMSが来た場合にはどうすればよいでしょう。

SMSですから、相手も電話番号から送信してきます。ですので、相手を知る手段の手がかりは「送信元の電話番号」しかありません。まずはそれを確認しましょう。

次に、それを調べましょう。もし相手先の企業がわかっているなら、ホームページにアクセスし「よくある質問」などから調べてみるといいでしょう。

実際に今回の番号はカード会社に載っていました。自分は、これをもって「正規」と判断して手続きを行いました。

それで見つからなければ、サポートデスクなどに問い合わせましょう。必ず正規のサポートデスクから問い合わせることが肝心です。ちなみに、カード会社の電話番号にかけましたが全く繋がりませんでした。

一応、インターネットで直接調べるという方法もありますが、決して保証はないのでセキュリティとしては意味が薄いでしょう。

私はどうしたか

以下の流れで対応しました。

1. 高額請求があったためカードを一時停止、URLから認証してほしいとのSMSを受け取る
   • 高額請求自体には心当たりがあるのでそれ自体に問題なし
2. SMSからのURLをクリックしたのち、考え直す
3. URLのドメイン名を調べる
   • ただ、正規か判断つかず
4. 相手の電話番号が正しいか企業のホームページから調べる
   • よくある質問にあったので正規のものと判断する
5. 正規なものと判断して手続きを勧める
6. カード停止が解除できた

2番めでアウトですね。それ以降はそんなに悪くはなかったと思います。ただ、ドメイン名が普段のホームページのそれと違うのは戸惑いましたね。SMSでの問い合わせ専用で設けているものだと思います。

あなただったらどうしますか

企業からSMSが来たならば、あなたはどうしましょうか。

もちろん「あなた」の知識によるでしょう。お年寄りであれば、混乱してしまうかもしれません。

気にしなければならないことはひとつです。SMSの内容をまず疑うことです。重要なことは、被害にあわないこと。被害にあってしまっては最後なのです。

たとえば「今回カードを止められた」ということが問題点なのですから、サポートデスクに電話をして解除してもらう、でもよいわけです。もし私が自分の祖母から聞かれたら「サポートデスクに電話すればよいよ」と言うでしょう。

もし、SMSの内容を信じる余地があったとしましょう。行うことは相手は誰なのかを調べることです。

SMSで最も問題なのは、電話番号だけしか情報がない場合、相手が誰か分からないことです。そのためにすることを整理してみました。

1. 情報収集を行いましょう
   • SMSの内容に心当たりがあるか
   • 電話番号はその企業のものか
     • HPなどから調べてみましょう
   • URLのドメインはその企業のものか
2. 調べた情報に自信があれば指示に従いましょう
3. 調べた情報に自信がなければ、サポートデスクに問い合わせましょう
4. サポートデスクでも心当たりがなければ、無視しましょう

重ねて書きますが、重要なことは詐欺被害にあわないことです。カードが止まっている状況自体は不便ですが、自分の財産は守られていますあから歓迎です。

最後に

不審なSMSからの問い合わせは無視でいいでしょう。ですが、今後は「基本的に」という言葉がつくことになります。企業からのSMSからの問い合わせが来るものなんですね…。それが一番の驚きでした。

SMSによりコンタクトを取ってくる方法が適切なのかは疑問です。そういった点は考察する余地がありそうです。