宅配便の不在通知を装うSMSが、19日頃から急増しており、なりすまされた業者や警察が注意を呼びかけている。SMS記載のリンクをタップすると偽サイトに誘導され、不正なAndroidアプリがインストールされてしまうおそれがある。
SMS（Short Message Service）は、携帯電話番号あてに短文を送る機能のことで、ショートメッセージ、ショートメール、Cメールとも呼ばれている。問題のSMSは、「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。下記よりご確認ください。http://sagawa-●●.com」という内容のもの。
リンクをタップすると、佐川急便の公式サイトそっくりに作られた偽サイトに移動し、Android端末用の不正なアプリ「sagawa.apk」をインストールさせようとする。7月20日に配信された北海道警察の「ほくとくん防犯メール」によると、富良野市内の女性がこの不正アプリをインストールしたところ、スマホのIDやパスワードなどの情報が盗み取られ、その後、何者かにスマホを操作され、キャリア決済で計29,520円を勝手に使われたという。
佐川急便の不在通知を装うSMSは、昨年末から断続的にばらまきが続いていたが、19日頃からこれまでにない量がばらまかれたらしく、ネット上での報告が激増している。
これまでのSMSは、発信元が「010」で始まる番号や「Reject」などの文字列だったが、18日以降は「090」で始まる色々な国内の携帯電話番号に変わり、sagawa-●●.com（●●はほとんどが2文字のアルファベット）形式のドメインが大量に投入された。ばらまきが激化した19日以降に有効化された誘導先のドメインは、22日20時時点で35個。それ以前のものも含むと、43個のドメインで偽サイトが稼働中だ（実サーバは2基）。
誘導先の大半は、ブラウザやセキュリティソフトがアクセスをブロックするが、投入されたばかりのサーバーやドメインはブロックされず、偽サイトを開いてしまう。
■不明なアプリのインストールは厳禁
誘導先で投下されるのは、今のところAndroid用の不正なプリだけで、iPhoneやパソコンには影響しない。Android端末の場合も標準設定の状態であれば、公式ストア以外の場所で配布されているアプリは、インストールをブロックするようになっている。以前に許可し、そのままになっている場合や、この偽サイトの指示に従って操作し、許可してしまった場合には、インストールされてしまうので注意したい。アマゾンのAndroidアプリストアなどを利用している方は、インストールを許可したままになっているかも知れないので要注意だ。
Android 8.0より前のシステムの場合は、[設定]アイコンから[セキュリティ]などのメニューにある[提供元不明のアプリ]の「インストールを許可する」のオン/オフで、システム全体のインストール許可を設定する。
Android 8.0以降のシステムは、アプリごとにインストールの許可を与える。[設定]アイコンから[アプリと通知]などのメニューに進み、[特別なアプリアクセス]などにある[不明なアプリのインストール]で対象アプリ（Webサイトからのダウンロードの場合は、Chromeなどの使用しているブラウザ）を選択する。[この提供元のアプリを許可する]や[この提供元のアプリを信頼する]のオン/オフで許可設定を行う。
システム全体やブラウザの許可設定がオンになっている方は、サイトの閲覧中に誤ってインストールしてしまわないように、必ずオフにしておこう。
（2018/07/23 ネットセキュリティニュース）
【関連URL】
・佐川急便を装った迷惑メールにご注意ください（佐川急便）
http://www2.sagawa-exp.co.jp/whatsnew/detail/721/
・大手企業に偽装する不正アプリ「FAKESPY」、日本と韓国の利用者から情報窃取（トレンドマイクロ）
https://blog.trendmicro.co.jp/archives/18779
・Androidを狙った、日本の宅配業者アプリを装うマルウェア（カスペルスキー）
https://blog.kaspersky.co.jp/malicious-android-app-hitting-japan/19236/
実例で学ぶネットの危険：「通知 お客様宛にお荷物のお届きました」（トレンドマイクロ）
https://blog.trendmicro.co.jp/archives/16787
【関連記事：ネットセキュリティニュース】
・宅配便の不在通知を装うSMSに注意、怪しいAndroidアプリを投下（2018/04/03）
・宅配便の不在通知を装うSMSに注意、誘導先に怪しいアプリ（2018/01/19）