詐欺サイトやSMSのURLを開いてしまったら？入力・インストール別の初動ガイド

まず「何をしたか」で分ける。対応は同じではありません

怪しいSMSやメールのURLを開いたあと、「もう感染した？」「カードを止めるべき？」「パスワードを全部変える？」と不安になることがあります。

最初にやるのは、そのページで自分が何をしたかを思い出すことです。同じURLをもう一度開いて確かめることではありません。

1. URLを開いただけで、情報入力・ダウンロード・インストール・権限許可などはしていない
2. ID・パスワード、認証コード、カードや銀行情報などを入力した
3. アプリ、ファイル、構成プロファイルなどを入れた／端末の権限を許可した

この3パターンで優先する対応が違います。まずブラウザのタブや不審な画面を閉じ、SMSやメール内のリンクは使わず、必要な確認は公式アプリや自分で開いた公式サイトから行ってください。

なお、「URLを開いただけなら絶対に安全」とは言い切れません。 情報を入力した場合や、アプリ等を導入した場合とはリスクの種類が異なります。何をしたかによって切り分けることが、余計な操作を増やさずに対処する近道です。

1. URLを開いただけなら、まず追加操作がなかったかを確認する

URLを開いたものの、ID・パスワードや個人情報を入力せず、ファイルを開かず、アプリや構成プロファイルを入れず、通知や端末管理などの権限も許可していないなら、まずはそこで操作を止めてください。

確認するポイントは次のとおりです。

• ブラウザや「ダウンロード」一覧に、覚えのないファイルが増えていないか
• 覚えのないアプリをインストールされていないか
• iPhone・iPadなら、意図しない構成プロファイルやデバイス管理設定を追加していないか
• Androidなら、Play ストア以外からアプリを入れていないか、Play プロテクトから警告が出ていないか
• 「通知を許可」「カレンダーを追加」「VPNを設定」などを押していないか
• OSやブラウザ、アプリの更新が保留になっていないか

警察庁は、OSやアプリ、ソフトウェアを最新に保つことをフィッシング対策として案内しています。端末に不審な変化がなく、入力や導入もしていないなら、むやみにパスワードを総入れ替えする前に、上の追加操作がなかったかを確認します。

ページを開いた後から「覚えのないアプリがある」「勝手に広告や警告が出続ける」「設定が変わった」などの異常がある場合は、この段階で終わらせず、端末側の確認へ進んでください。

2. ID・パスワードや認証コードを入力したら、公式経路からすぐ変更する

フィッシングサイトにID・パスワードを入力した場合は、そのSMSやメールのリンクを使わず、公式アプリ、ブックマーク、自分で入力した公式URLなどから本物のサービスへ移動します。

優先順位は次のとおりです。

1. 入力したサービスのパスワードを変更する
2. 同じパスワードを使い回しているサービスがあれば、それぞれ別のパスワードへ変更する
3. ログイン履歴・端末一覧・セッション一覧を確認し、知らないものがあれば切断・削除する
4. 登録メールアドレス、電話番号、復旧先などが書き換えられていないか確認する
5. 多要素認証やパスキーを利用できるなら設定を確認する

警察庁は、フィッシングサイト等に普段使うID・パスワードを入力してしまった場合、その認証情報を利用している全サービスで速やかに変更するよう案内しています。IPAも、入力したパスワードの変更と、使い回しているサービスでの変更を推奨しています。

ワンタイムパスワードや認証コードまで入力した場合は、時間を置かずに対応してください。 すでに知らないログインや設定変更がある、あるいはログインできなくなっている場合は、アカウント乗っ取りが疑われるときの初動ガイドへ進みます。

カード・銀行・証券の情報を入力したら、パスワード変更だけで終わらせない

クレジットカード番号、カードのセキュリティコード、銀行や証券口座の認証情報、ワンタイムパスワードなどを入力した場合は、対象の金融機関・カード会社へ公式の連絡先から速やかに相談します。

やることは、サービスによって異なります。カードの利用停止・再発行、不正利用の確認、インターネットバンキングの停止や認証情報変更など、必要な措置を事業者側と確認してください。

ここで注意したいのは、検索結果に出た電話番号や、SMSに書かれた番号へそのまま連絡しないことです。カード裏面、公式アプリ、公式サイトなど、手元で確認できる正規の窓口を使います。

IPAは、フィッシングサイトにクレジットカード情報を入力した場合、速やかにカード会社へ相談するよう案内しています。金融庁も、SMSやメールから偽ログインサイトへ誘導し、ID・パスワード等を盗んで不正取引につなげる手口について継続して注意喚起しています。

利用明細や取引履歴も確認し、覚えのない決済・送金・売買があれば、その事実も窓口へ伝えます。

3. アプリ・ファイル・構成プロファイルを入れた、権限を許可した場合

URL先の指示に従ってアプリやファイルを入れた、iPhone・iPadで構成プロファイルを追加した、Androidで提供元不明のアプリを入れた、端末管理やアクセシビリティなど強い権限を許可した――この場合は、情報入力だけの場合より端末側を注意深く確認します。

まず、不審な相手との操作を止めます。相手から電話やチャットで「削除しないで」「このまま画面を開いて」と言われても従わず、正規のサポート情報へ切り替えます。

個人所有の端末で、明らかに今回入れた覚えのないアプリ・プロファイルが特定できる場合は、公式手順を確認して削除を検討します。AndroidではGoogle Play プロテクトが有害な可能性のあるアプリを検出・警告・無効化・削除する場合があります。iPhone・iPadでは「設定」→「一般」→「VPNとデバイス管理」から構成プロファイルを確認できます。

ただし、学校や会社の管理端末では、正規の管理プロファイルを勝手に削除しないでください。 管理者へ先に相談します。

端末の挙動がおかしい、何を入れたか分からない、削除してよいか判断できない場合は、重要なアカウントのパスワード変更をその端末だけで続けず、別の信頼できる端末から公式サポートや管理者へ相談する方が安全です。IPAは、ウイルス感染が疑われる場合には端末の初期化を検討する案内もしていますが、初期化が常に最初の一手というわけではありません。データ保全や管理端末かどうかも含めて判断します。

連絡する前に、開き直さずに残せる情報を保存する

被害や不審な操作があった場合、あとからサービス提供者・カード会社・警察などへ説明できるよう、危険なページを再度開かなくても残せるものを保存します。

• SMSやメールの送信元表示と本文
• メッセージに書かれていたURLの文字列
• 受信日時、アクセスしたおおよその時刻
• 入力した情報の種類（パスワード、カード番号、認証コードなど）
• ダウンロード・インストールしたアプリやファイルの名前
• 不審なログイン通知、パスワード変更通知
• 覚えのない決済・送金・注文などの記録
• 可能なら画面のスクリーンショット

証拠を残すためにフィッシングサイトへ入り直したり、相手へ返信して確認したりする必要はありません。

警察庁は、フィッシング被害に遭った場合は最寄りの警察署やサイバー事案のオンライン受付窓口への相談を案内しています。金銭被害やアカウント被害が実際に起きたときは、先にサービス提供者や金融機関へ被害拡大を止める連絡を行い、その記録も残しておくとよいでしょう。

どこへ連絡するかは「入力したもの」と「起きた被害」で決める

連絡先は状況や何が狙われていたかの内容に応じて変わります。

• ID・パスワードを入力した：そのサービスの公式サポート
• カード情報を入力した：カード会社
• 銀行・証券の認証情報を入力した：利用している金融機関
• 会社や団体のアカウント・端末を使った：勤務先・団体の管理者
• 不正送金、不正決済、乗っ取りなどの被害が起きた：関係する事業者に加え、警察への相談を検討
• フィッシングサイト自体を通報したい：警察庁が案内するフィッシング110番など

「まず警察へ行けば全部止めてもらえる」「カード会社だけに連絡すればアカウントも安全になる」というものではありません。いま悪用され得る情報を管理している相手に、被害拡大を止めてもらうことを優先します。

連絡時には、「怪しいSMSを受け取った」だけでなく、「何時ごろ、何を入力したか」「知らないログインや取引があるか」まで伝えると、必要な対応を判断してもらいやすくなります。

慌ててやらない方がよいこと

被害が心配なときほど、慌てて確認のための操作を増やしすぎないことも大切です。

• 同じURLをもう一度開いて「本当に偽物か」を試さない
• SMSやメールに書かれた電話番号へ折り返さない
• 相手から届いた「安全確認用アプリ」を追加で入れない
• 検索結果に出た連絡先を確認せず、そのまま信用しない
• 証拠になるSMS・通知・取引履歴を、状況整理の前に全部消さない
• 「開いただけだから絶対大丈夫」「入力したからもう手遅れ」と決めつけない

被害拡大を止める対応は早い方がよい一方、手当たり次第に設定を変えると、何が起きたか分からなくなってしまう場合があります。入力した情報と端末上で行った操作から、必要な対処を順番に行うのが基本です。

いま必要なのは、偽物だったかの証明より「渡したもの」を止めること

怪しいURLを開いたあとに一番気になるのは、「あのサイトは本物だったのか」「開いた時点で感染したのか」という点かもしれません。

ただ、初動で優先したいのは、サイトの正体を自分で突き止めることではありません。

何も入力・導入していないなら追加操作がなかったか確認する。認証情報を入力したなら公式経路から変更する。金融情報を入力したなら金融機関へ連絡する。アプリやプロファイルを入れたなら端末側を確認する。

この順に進めれば、「何から手を付ければいいか分からない」状態から抜けやすくなります。

すでに知らないログイン、勝手な設定変更、送信した覚えのないメッセージなどがある場合は、アカウント乗っ取りが疑われるときの初動ガイドへ進んでください。