銀行を装ったフィッシングSMSの見分け方｜本物との違いを徹底解説

「【○○銀行】口座のセキュリティ確認のため、下記URLよりログインしてください」――こんなSMSは、ほぼ間違いなくフィッシング詐欺です。

銀行を装ったSMSは、近年最も急増している詐欺類型の1つ。被害者が偽のログインページにアクセスして口座情報を入力すると、預金が一気に引き出されてしまいます。本記事では、典型的な手口、本物との見分け方、被害にあったときの対処法を解説します。

こんな連絡が来たら要注意（実例3つ）

実例1：メガバンクを装う

【三井住友銀行】ご利用のお客様へ：セキュリティ強化のため、ご本人確認をお願いいたします。下記URLよりログインください。 https://smbc-secure.xxx.com/

実例2：ネット銀行を装う

【SBI新生銀行】口座が一時的にロックされました。解除のため下記からお手続きください。 https://sbi-shinsei.xxx.net/unlock

実例3：地方銀行を装う

【○○銀行】不審なログインを検知しました。ご本人でない場合は下記より確認をお願いします。 https://bank-secure-check.xxx.click/

これらはすべて典型的なフィッシングSMSです。本物の銀行はSMSでログインを求めることはほぼありません。

銀行フィッシング詐欺の典型的な手口

詐欺グループは、おもに3つのパターンで銀行SMS詐欺を仕掛けてきます。

パターン1：不安を煽る通知でログイン誘導

「口座がロックされました」「セキュリティ確認が必要」「不審な取引を検知」など、利用者の不安を煽る文面でURLをタップさせます。偽ログインページにID・パスワードを入力させて口座情報を盗みます。

パターン2：ワンタイムパスワードの窃取

ID・パスワードを盗んだ後、本物の銀行アプリにログインを試みます。すると本物の銀行からSMSでワンタイムパスワードが届くので、詐欺グループは「セキュリティ確認のためコードを入力してください」と被害者に再要求。コードを入力させることで本物のログインを完成させます。

パターン3：偽アプリのインストール

「セキュリティアプリをインストールしてください」とAndroid端末向けの偽アプリ（.apkファイル）を配布。インストールすると端末から銀行情報・SNSパスワード・連絡先などを抜き取り、勝手にログインや送金を実行します。

なぜ騙されてしまうのか

銀行フィッシングSMSに多くの人が引っかかってしまうのは、3つの心理的な仕組みが重なるためです。

ひとつめは損失恐怖。「口座が凍結された」「カードが使えない」と聞くと、お金が手元に届かなくなる恐怖で頭が真っ白になります。冷静な判断ができないままURLをタップしてしまいます。

ふたつめは緊急性。「24時間以内に確認しないと利用停止」「本日中に手続きを」と書かれていると、焦って確認を怠ります。

みっつめは銀行への信頼。普段から銀行を利用していて信頼している人ほど、銀行からの連絡を疑わない傾向にあります。「銀行が私のためにわざわざ連絡してくれた」と好意的に受け取ってしまうのです。

危険サイン7つ（保存推奨）

以下に1つでも当てはまれば、詐欺の可能性が非常に高いです。

SMSやメールで「ID・パスワードを入力してください」と求められる
URLのドメインが見慣れない（.xyz、.top、.click や、公式と1文字違いのドメイン）
URLが短縮されている（bit.ly、tinyurlなど）
「24時間以内」「本日中」と急がせる
アプリ（.apkファイル）のインストールを求められる
ワンタイムパスワードを「もう一度入力してください」と要求される
銀行の公式サイトとURLが微妙に違う（smbc.co.jp → smbc-secure.xxx.com など）

本物の銀行は、SMSで直接ID・パスワードの入力を求めることはありません。

本物の銀行はこうしている

本物の銀行のセキュリティ通知は、必ず次のいずれかの方法で行われます。

ひとつめ、公式アプリの通知。三井住友銀行アプリ、SBI新生銀行アプリ、メガバンク各種公式アプリの通知から、アプリ内でログインして確認します。SMSで外部URLに誘導することはほぼありません。

ふたつめ、公式メールアドレスからのメール。@smbc.co.jp、@sbishinseibank.co.jp など、銀行の正式ドメインから送信されます。怪しいドメイン（@bank-security.xxx）からは届きません。

みっつめ、書面通知の郵送。重要なお知らせは、登録住所への書面で送られます。本人確認や口座変更などの手続きは、対面または書面で行うのが基本です。

なお、本記事で例に挙げた三井住友銀行・SBI新生銀行は、本物のSMS通知も一部行っていますが、必ず公式ドメイン（例：sbishinseibank.co.jp）のURLになっており、ID・パスワード入力を求めることはありません。

もし被害にあったら

「URLからログインしてしまった」「ID・パスワードを入力してしまった」――そんなときは、預金を守るための初動が重要です。

即座にすべきこと

銀行に電話して口座凍結・パスワード変更を依頼（夜間でも各銀行に緊急連絡窓口あり）
クレジットカード会社にも連絡（不正利用に備え）
警察相談ダイヤル #9110

ワンタイムパスワードを入力してしまった場合

詐欺グループは即座に送金を試みます。1分1秒でも早く銀行に連絡してください。本物の銀行アプリでログインを試みて、不正取引がないか確認することも重要です。

不正送金が発生した場合

被害届を警察に提出して、銀行と補償について相談します。フィッシング詐欺による被害は、銀行の補償対象となるケースが多いですが、適切な手順を踏むことが条件です。

予防のためにできる3つのこと

ひとつめ、SMSのURLは絶対にタップしない習慣をつける。URLをしっかり確認するとともに、銀行関連の確認は、自分から公式アプリや公式サイトをブックマークから開いて行います。SMSのURLは便利でも、危険性を考えると使わないのが安全です。

ふたつめ、銀行の公式アプリをインストールして、SMSではなくアプリ内通知で確認する。SBI新生銀行、三井住友銀行、楽天銀行など、ほとんどの銀行は公式アプリを提供しています。アプリ通知だけ信用するルールにすれば、SMS詐欺はほぼ防げます。

みっつめ、銀行公式の電話番号を電話帳に登録しておく。怪しいSMSが届いたとき、自分から公式番号に電話して確認すれば、詐欺の99%は防げます。

「これって詐欺？」で30秒チェック

実際に怪しい連絡があったら、無料の判定ツールで確認できます。

選択式で30秒チェック
スクショアップロードで詳細判定
完全無料・登録不要

判定ツールを使ってみる→

困ったときの相談窓口

警察相談ダイヤル #9110（24時間・通話料無料）
消費者ホットライン 188（最寄りの消費生活センターへ）
金融庁金融サービス利用者相談室（0570-016811）

緊急時は 110番（警察）または最寄りの警察署へ。

参考情報・公的情報源

本記事は以下の公的機関・公式情報源を参考に作成しています。最新情報や詳細は各機関の公式ページをご確認ください。