1月にばらまかれた宅配便の不在通知を装うSMSが、同じ文面でまたばらまかれた。リンクをタップすると偽サイトに誘導され、怪しいAndroidアプリをインストールさせようとする。主要なブラウザやセキュリティソフトがすでに対応しているが、サイトやファイルが変更される可能性もあるので、警戒していただきたい。
SMS（ショートメッセージ、ショートメールとも）は、携帯電話番号あてに短文を送る機能のこと。スマートフォンの設定によっては、メールアプリやメッセンジャーアプリが送受信を行うようになっているかもしれない。
今回送られてくるSMSは、今年1月にばらまかれた、佐川急便を装うメッセージと同じものだ。「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。」「配送物は下記よりご確認ください。」という文面にURLが記載されている。URLには、佐川急便の公式サイト「sagawa-exp.co.jp」を思わせる「sgwexp」の文字が含まれているが、佐川急便だと気付く人は少ないかもしれない。
どこかの宅配便の不在通知と思い確認しようとリンクをタップ（クリック）すると、佐川急便のテレビCMでもお馴染みの俳優、織田裕二さんのイメージ画像を載せた、同社の公式サイトそっくりな偽サイトが登場する。佐川急便のサイトであることは一目瞭然だが、アドレスバーをよく見れば、「sagawa」ではなく「sagawar」、また「.co.jp」ではなく「.cc」であったりするので、偽物だということに気付くかもしれない。
偽物と気付かず、配達物を確認しようと追跡サービスをタップすると、「sagawa.apk」をダウロードしようとする（実際は画面のどこをタップしてもダウンロードが始まる）。「.apk」という拡張子のファイルは、Androidアプリのインストール用のパッケージファイルなので、iPhoneなどのiOS端末には何の影響もない。Android端末の場合も、標準設定のままであれば公式のアプリストア以外のアプリ（提供元不明のアプリ）をインストールできないようになっているが、提供元不明のアプリのインストールを許可している場合や、この偽サイトの指示に従って操作し、許可してしまった場合には、インストールしてしまうので注意したい。このアプリは、SMSや連絡先、ストレージ（内蔵メモリやSDカード）といった、プライバシーやセキュリティに関わる危険なアクセス権を要求する。
なお、アマゾンのAndroidアプリストアなどを利用している方は、「提供元不明のアプリ」のインストールを許可したままになっているかも知れないので、特に注意していただきたい。[設定]アイコンの[セキュリティ]などのメニューにある[提供元不明のアプリ]の「インストールを許可する」をオンにしている方は、誤ってインストールしてしまわないようにオフにしておくことをお勧めする。
■メールやSMSのリンク先に注意
不審なAndroidアプリをインストールさせようとする偽佐川急便のSMSは、昨年末から断続的ばらまかれており、ほかにもアマゾンや楽天を装う攻撃も行われた。同じグループの攻撃とみられる、ソフトバンクやドコモなどのアカウントを狙うフィッシングも幾度となく行われており、活動が活発化するおそれがある。メールやSMSの取り扱いにはこれまで以上に注意を払い、記載されたリンクをタップする際には、必ず本当のリンク先確認していただきたい。
メールのリンクは、見た目を偽装していることがあるので、スマホならリンクの長押し、パソコンならリンクにマウスポインタを重ねるマウスオーバーや右クリックメニューのリンクのコピーなどの方法で、本当のリンク先を確認していただきたい。
短縮URLが使われている場合は、転送先を取得するサービスやブラウザの拡張機能などを利用してアクセス前に判断するか、アクセス後にアドレスバーの表示をよく確認する。HTTPSで始まる公式サイトのURLが表示されているか、公式サイトの名前が表示されている場合以外は、ファイルのダウンロードやログインなどを行ってはいけない。
（2018/04/03 ネットセキュリティニュース）
【関連URL】
・【注意喚起】佐川急便を騙る #スパムメール が観測されています。（カスペルスキー公式Twitter）
https://twitter.com/kaspersky_japan/status/980638748324126720
・佐川急便を装った迷惑メールにご注意ください（佐川急便）
http://www2.sagawa-exp.co.jp/whatsnew/detail/721/
・Androidを狙った、日本の宅配業者アプリを装うマルウェア（カスペルスキー）
https://blog.kaspersky.co.jp/malicious-android-app-hitting-japan/19236/
・実例で学ぶネットの危険：「通知 お客様宛にお荷物のお届きました」（トレンドマイクロ）
http://blog.trendmicro.co.jp/archives/16787
【関連記事：ネットセキュリティニュース】
宅配便の不在通知を装うSMSに注意、誘導先に怪しいアプリ（2018/01/19）