iPhoneで宅配の偽SMSを開いたら｜Apple アカウント入力とプロファイルの対処

iPhoneで宅配便の不在通知を装ったSMSを開いても、画面を閉じただけで何も入力していなければ、SMSを報告して削除すれば足ります。急いで手を打つ必要があるのは、Apple アカウントのパスワードや確認コードを入れた、「プロファイル」のインストールを許可した、カード番号やギフトカードの番号を入力した、のどれかに当てはまるときです。

IPA（情報処理推進機構）の安心相談窓口がこれまでに公表した事例では、同じ宅配の偽SMSでも、Androidは不正なアプリを入れさせる方向へ、iPhoneは偽のログイン画面や入力画面へ誘導される傾向がありました。この記事はiPhoneの利用者に絞って、操作した内容ごとに今日やることを並べます。Androidで自分の番号から偽SMSが送られている場合は送信元にされたときの止め方を、電話番号と認証コードを入れてしまった場合はキャリア決済の止め方を先に読んでください。

iPhoneで偽の不在通知を開くと、どんな画面に進むのか

IPAが2018年から2021年にかけて出した解説を並べると、iPhoneで開いたときの行き先はおおむね3通りです。

2018年の解説では、偽サイト上で「Appleから届く製品にはセキュリティ上の許可が要る」と説明し、IDとパスワードを入れさせる流れが紹介されています。入力された情報は、Appleのサービスへの不正なサインインに使われるおそれがあります。

3つに共通するのは、荷物の話で始まったのに、途中から荷物と無関係な情報を求めてくることです。再配達の手続きに、Apple アカウントのパスワードやギフトカードの番号は要りません。画面の途中でそこに気づいたら、閉じてかまいません。

最初に思い出したいのは「どこまで操作したか」

やるべきことは、入れた情報と許可した操作で変わります。記憶があいまいなら、次の順に見ていくと整理がつきます。

1. メッセージの画面：削除する前にスクリーンショットを撮ります。送信元の番号やアドレスが写るようにしておくと、後で相談するときに役立ちます。
2. Safariの履歴：開いたページのアドレスが残っていることがあります。これも撮っておきます。
3. Appleからの通知・メール：「新しいデバイスでサインインがありました」「パスワードが変更されました」のような知らせが来ていないかを見ます。
4. プロファイルの有無：「設定」→「一般」→「VPNとデバイス管理」に、入れた覚えのないものが表示されていないかを確かめます。
5. 購入履歴と明細：App Storeの購入履歴や、カード会社のアプリの利用明細に覚えのない利用がないかを見ます。

どれにも当てはまらず、入力もしていないなら、SMSを迷惑メッセージとして報告して消せば終わりです。1つでも当てはまれば、この先の該当する見出しに進んでください。

Apple アカウントのIDとパスワードを入れてしまったとき

Appleは、アカウントが他人に使われたかもしれないときの手順を公式サポートで公開しています。内容をまとめると次の5つです。

1. パスワードを新しくする：ほかでは使っていない、推測されにくいものに変えます。サインインできなくなっていたら、Appleのアカウント復旧ページ（iforgot.apple.com）から手続きします。
2. 登録内容を見直す：account.apple.com にサインインし、氏名・連絡先・セキュリティ関係の項目が書き換えられていないか確かめます。
3. デバイスの一覧を確かめる：アカウントにつながっている機器に知らないものがあれば、一覧から外します。
4. メールと電話番号の側も見る：Appleは、登録しているメールや電話番号の事業者にも、転送の設定などが勝手に変えられていないか確認するよう勧めています。
5. 2ファクタ認証を使い続ける：有効になっていれば、見知らぬ機器からサインインしようとしたときに通知が届きます。

確認コードまで入れた場合は、とくに急いでください。確認コードは「サインインしようとしているのが本人か」を確かめる数字です。これを偽サイトに入れると、相手のサインインを自分の手で通してしまったのと同じになりかねません。

同じパスワードを通販サイトやメール、SNSでも使っていたなら、そちらも変えます。1か所から漏れた組み合わせが、ほかのサービスへの不正なログインに試される例は珍しくありません。

「プロファイルをインストール」を許可してしまったとき

構成プロファイルは、iPhoneの設定をまとめて変えるためのファイルです。会社から支給されるiPhoneや、格安SIMの通信設定などで正規に使われています。一方でIPAは2019年3月、宅配の偽SMSからこのファイルのインストールへ誘導する手口を確認したと発表しました。3月19日の時点で、相談は22件寄せられていました。

IPAは、不審なプロファイルを入れたときに考えられる影響として、端末の設定を変えられることや、端末固有の情報を外部に送られることを挙げています。当時は具体的な被害の範囲が分かっていないとしたうえで、機内モード（Wi-Fiもオフ）にしてから端末を初期化する対応を勧めていました。

確認する場所と、消すときの注意

入っているプロファイルは「設定」→「一般」→「VPNとデバイス管理」で見られます。Appleの説明によると、プロファイルを削除すると、それにひもづいた設定やアプリ、データも一緒に消えます。勤務先から渡されたiPhoneのように、管理用のプロファイルがもともと入っている端末では、自分の判断で消さず、社内の担当者に相談してください。

初期化の前後にやること

• 初期化の前に、SMSや開いたページの画面を別の端末に送るか、内容を紙に書き写しておく。
• バックアップから戻してよいかは状況によって違う。迷ったら、携帯会社の窓口やAppleのサポートに聞いてから進める。
• 初期化を終えたら、Apple アカウントのパスワードを変える。プロファイルを入れた後の画面で何か入力していたなら、前の見出しの手順もあわせて行う。

カード番号やギフトカードの番号を入れたとき

クレジットカードの番号を入れた場合は、カード裏面にある番号へ電話し、利用停止と再発行を頼みます。偽SMSの画面で料金を払ってしまったときの流れは、再配達料や送料を払ってしまった後の手順で詳しく扱っています。

ギフトカード（Apple Gift Cardなど）の番号を画面に打ち込んだ、または写真で送った場合は、残高がもう使われているかもしれません。Appleはギフトカードを悪用した詐欺について案内するページを設け、被害に遭ったと思われるときはAppleサポートに連絡するよう呼びかけています。連絡する前に、カードの実物か購入時のレシート、入力した番号の控えをそろえておくと話が早く進みます。

そもそも、再配達や未払い料金をギフトカードの番号で払わせるという流れ自体が不自然です。この求めが出てきた時点で、その画面は偽物と考えてください。

金額が大きいときや、何回にも分けて入れさせられたときは、警察にも相談します。被害届を出す場面では、入力した日時、カードの種類と金額、表示された画面の記録があると事情を伝えやすくなります。

次の偽SMSに備えてiPhoneで見直したい設定

• 知らない送信元のメッセージを分ける：iPhoneの「メッセージ」には、連絡先に登録していない相手からのメッセージを別の場所に分け、通知を抑える機能があります。名称や場所はiOSのバージョンで違うため、Appleのユーザガイドで確認してください。
• 迷惑メッセージとして報告する：知らない相手のメッセージを開くと、報告用の表示が出ることがあります。報告して削除しておきます。Appleをかたるメッセージは、画面を撮って [email protected] に送る方法も案内されています。
• 携帯会社のフィルタを確かめる：総務省は、迷惑なメールやSMSを検知して受信を制限したり警告を出したりする、携帯会社のサービスを活用するよう呼びかけています。契約先の設定が有効かどうか、一度見ておくと安心です。
• 2ファクタ認証を外さない：パスワードが漏れても、確認コードを渡さない限り、相手はサインインしにくくなります。
• 荷物の確認は公式アプリかブックマークから：SMSのリンクを入口にしない習慣にすると、本物か偽物かを見分ける場面そのものが減ります。

Appleはフィッシングを見分ける目安として、送信元の番号や名前が正規の会社と合わない、リンク先のURLが正規のサイトと違う、パスワードやカード番号を求めてくる、といった点を挙げています。宅配の不在通知でどれか1つに当てはまれば、開かずに消して問題ありません。

相談先と、相談のときに見せるもの

起きていることによって、最初に連絡する相手が変わります。

見せるものは、SMSの画面、開いたページのアドレス、入力した項目のメモ、Appleからの通知メール、明細の写しです。記録の取り方は証拠の残し方、相談前に整理しておきたい点はチェックリストにまとめました。返金や補償を受けられるかは、各社の規約や事情によって決まり、必ず戻るとは限りません。

名前を使われている宅配会社は、あくまで名前を勝手に使われている側です。本当に荷物が届く予定があるなら、公式アプリや伝票番号から配達状況を確かめてください。

よくある質問

Q. iPhoneは不正アプリが入りにくいので、偽SMSのリンクを開いても大丈夫ですか？

A. IPAの事例では、iPhoneの場合は不正アプリではなく、偽のサインイン画面やプロファイルのインストールへの誘導が中心でした。開いただけで何も入力・許可していなければ、画面を閉じてSMSを報告・削除すれば足ります。何か入力したなら、その内容に合わせた対処が必要です。

Q. 宅配の偽SMSでApple アカウントのパスワードを入れました。まだ何も起きていませんが、変える必要はありますか？

A. 変えてください。何も起きていないように見えても、すでにサインインが試されているかもしれません。パスワードを新しくし、account.apple.com でデバイスの一覧と登録内容を確かめ、同じパスワードを使っているほかのサービスも変更します。

Q. 入れてしまったプロファイルを削除すれば、初期化はしなくてよいですか？

A. IPAは2019年の注意喚起で、機内モードにしたうえで端末を初期化する対応を勧めています。削除だけで足りるかどうかは、入れたプロファイルの中身次第で、外から見て判断するのは困難です。不安が残るなら初期化を選び、迷うときはIPAの安心相談窓口や携帯会社に相談してください。

Q. 偽SMSに書かれていた宅配会社に、連絡したほうがよいですか？

A. ヤマト運輸・佐川急便・日本郵便などは、公式サイトで自社をかたるメッセージへの注意を呼びかけています。個別に知らせる必要はありませんが、実際に荷物を待っているなら、公式アプリや伝票番号で配達状況を確かめてください。SMSに書かれた番号やリンクは使わないようにします。

この記事の出典

• 宅配便業者をかたる偽ショートメッセージに関する新たな手口が出現し、iPhoneも標的に（IPA）
• 宅配便業者をかたる偽ショートメッセージで、また新たな手口が出現（IPA）
• 宅配便業者に加えて通信事業者をかたる偽SMSが増加中（IPA）
• Apple Account が侵害されたと思われる場合（Apple サポート）
• iPhoneで構成プロファイルをインストールする/削除する（Apple サポート）
• フィッシングメッセージや詐欺を見分けて回避する（Apple サポート）
• ギフトカード詐欺について（Apple サポート）
• メール・SMSの詐欺対策（総務省）

※本記事は公開情報をもとにした一般的な情報提供です。特定のサービス・事業者を詐欺と断定するものではなく、返金・解決を保証するものでもありません。個別の判断は弁護士や公的機関にご確認ください。