最近、VISAカードを装ったフィッシング詐欺メッセージがありました。一見すると本物らしく見えるこの詐欺には、従来の手口とは異なる巧妙な仕掛けが隠されていました。
1. 詐欺メッセージの全体像
送信されたのは、海外（フィリピン）の電話番号（+63 953 〜 〜）からのSMSメッセージです。内容は「通常と異なるアクセスが確認されました。安全のため一部機能を制限しています」という警告文で、24時間以内の確認を求めています。
【Visaカード】ご利用中のカードに通常と異なるアクセスが確認されました。安全のため一部機能を制限しています。ご確認はこちら：
https://visa.〜.top/〜（〜部分はランダムな英字6桁）
※24時間以内にご確認がない場合、誠に申し訳ございません、お客様の安全の為、アカウントの利用制限をさせていただきますので、予めご了承ください。
（Yと返信してからテキストメッセージを終了し、テキストメッセージのアクティベーションリンクを再度開くか、リンクをSafariブラウザにコピーして開いてください）
メッセージにはURLが記載されており、最後に「Yと返信してからテキストメッセージを終了し、テキストメッセージのアクティベーションリンクを再度開くか、リンクをSafariブラウザにコピーして開いてください」という指示があります。
このメッセージには典型的なフィッシング詐欺の特徴が揃っています。正規のVISAサイトではない怪しいドメイン名、緊急性を煽る文言、個人情報を要求するフォームなどです。
1.1. SMSなのはなぜか？
最初の不審な点は、SMSが連絡手段になっていることです。
専用アプリのプッシュ通知や公式サイトでの告知と違って、SMS内のテキストは監視の対象外になりがちです。銀行アプリやセキュリティソフトの怪しいリンクをブロックする警告機能が働きにくいのです。
また、SMSには「緊急性」という印象があります。メールと違って即座に通知が届くため、受信者は反射的に内容を確認してしまいます。これは、冷静な判断を妨げる心理的効果があります。
さらに、SMSは、送信者情報は曖昧で、どこから送られてきたのか詳細を確認しにくいです。メールヘッダーのような詳細な送信経路情報も残りにくいため、後から検証しにくいです。
1.2. コピー＆ペーストが必要なのはなぜか？
2つ目の不自然な特徴は、URLを手動でコピー＆ペーストさせる指示です。
正規の企業からの通知であれば、タップするだけでアクセスできるリンク（クリッカブルリンク）を提供するのが通例です。「緊急事態だから今すぐ確認してください」と言いながら、わざわざ手間のかかる手動入力を要求するのは不自然しています。
なぜこのような面倒な方法を取るのでしょうか。それは、手動入力を促すことで、一部のフィルタリングシステムを回避できるからです。セキュリティソフトによるリンク検査ツールは、直接クリックされたURLは監視しますが、手動で入力されたURLは見逃すケースがあります。
1.3. 「Y」と返信するの何のためか？
3つ目の不自然な点は、「Yと返信してください」という指示です。
この返信要求の目的は、電話番号が実際に使われているかどうかの確認です。
詐欺師にとっては、大量の電話番号にメッセージを送信した際、どの番号がアクティブで、どの番号が無効かを判別する必要があります。返信があった番号は「生きている番号」として確定できます。
実はこのデータには他の詐欺グループとの情報共有や販売において、非常に価値があります。単なる電話番号のリストよりも、「反応のある番号のリスト」の方が圧倒的に高値で取引されるからです。
返信した人は「騙されやすい人」として特別扱いされる可能性があり、今回の詐欺に引っかからなくても、将来的により巧妙な詐欺のターゲットリストに加えられるリスクがあります。
2. 偽サイトの構造と情報収集の段階的手法
URLにアクセスすると表示されるのは、VISAの公式サイトを忠実に再現した偽サイトです。ロゴ、色使い、レイアウトまで本物そっくりに作られており、一見しただけでは判別が困難です。
サイトでは「カードセキュリティアップグレードのお知らせ」という名目で、段階的に個人情報を収集していきます。最初は「本人確認が必要です」という比較的軽い印象を与え、次第により詳細な情報を要求する構造になっています。
要求される情報は、クレジットカード番号16桁、有効期限、セキュリティコード、氏名、生年月日、住所、電話番号、メールアドレスと、金融詐欺に必要なすべての要素が含まれています。これらの情報があれば、不正利用はもちろん、なりすまし被害まで可能になります。
2.1. 従来の詐欺との違い
今回のSMSが従来の手口と異なる特徴は、多段階アプローチです。
単純に「クリックしてください」ではなく、複数の行動を段階的に要求することで、各段階で受信者の警戒心を少しずつ解除していこうとしているようです。しかし、「緊急性の演出」と「手間をかけさせる手順」には矛盾があります。この矛盾は詐欺であることの証拠ですが、焦っている状況では見落としがちな要素でもあります。
3. まとめ
このVISA詐欺メッセージは、SMS媒体選択によるセキュリティ回避、手動URL入力による検知システム回避、そして返信要求による有効番号収集という不自然な手口でした。表面的には従来の詐欺と似ていますが、その背後には詐欺師によって計算された戦略が存在します。特に「Y」返信による番号の有効性確認は、詐欺リストに加えるための悪質な手法なので注意が必要です。