Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

毎日、何十億もの人々が、銀行口座や個人の写真、そして最もプライベートな会話への直接の窓口となるデバイスをポケットに入れて持ち歩いています。私たちはこれらのデバイスに多くのことを依存しているため、犯罪者はその信頼を私たちに仇なすものへと変える方法を見つけ出しました。彼らは、信頼できる企業や配送サービス、あるいは友人から届いたかのように見えるテキストメッセージを送信します。これらのメッセージは多くの場合、アカウントがロックされた、荷物が待機している、あるいは賞品が当たったといった内容で、受信者にパニックや緊急性を抱かせます。目的は、リンクをクリックさせたり、パスワードを入力させたりすることです。「スミッシング（smishing）」として知られるこの特定の種類の策略は、大規模な世界的な問題となっています。米国だけでも、これらのテキストベースの詐欺によって、最近の1年間で利用者は合計6億4,000万ドル近くの損失を被っており、この数字はわずか5年間で6倍以上に跳ね上がりました。犯罪者は単に古いメッセージを送り続けているのではなく、嘘をより説得力のある、見破りにくいものにするための新しいツールを使用しているため、状況は悪化しています。

テネシー工科大学とコロラド大学コロラドスプリングス校の研究チームは、この増大する脅威の全容を理解するために、一歩引いて検討することにしました。単に一つの種類の悪いメッセージをブロックするための新しいツールを構築するのではなく、彼らはスミッシングに関して知られているすべての事柄について、包括的なレビューを行いました。彼らは数百の科学的研究、法的文書、および公開データセットを収集・分析し、問題の完全なマップを作成しました。彼らの研究は、人々の反応、攻撃の構造、現在存在する防御策、そして研究者が問題を研究するために利用可能なデータという、4つの主要な領域をカバーしています。これらすべての断片を統合することで、彼らは現在の取り組みがどこで不足しているのかを示し、すべての人々にとってより良い保護への道筋を示すことを目指しています。

研究者たちはまず、これらのメッセージを受け取る側の人々に注目しました。彼らは、これらの詐欺に対する脆弱性は、単に不注意であったり無知であったりすることによるものではないことを発見しました。騙されやすい人は人によって異なりますが、そのリスクは習慣、感情、そして文脈の複雑な組み合わせによって影響を受けます。例えば、ソーシャルメディアや銀行アプリを頻繁に利用する人は、それらのサービスに関連するメッセージを、単に親しみやすさを感じるために、より信憑性があると感じる可能性があります。また、研究は、攻撃者が人間の心理学を利用するエキスパートであることを強調しました。彼らは恐怖、強欲、あるいは緊急性を引き起こすメッセージを作成し、人々が考えずに素早く行動するように仕向けます。研究者たちは、一部の防御策は技術的な詳細に焦点を当てている一方で、人間という要素が依然として最も弱い環であることを指摘しました。詐欺について知っている人々であっても、メッセージが特定の恐怖や欲望を利用するように巧みに設計されていれば、騙される可能性があるのです。

攻撃そのものに関して、研究者たちは、その状況が非常に多様になっていることを見出しました。かつてのスミッシングメッセージは、拙い文法や明らかなリンクが含まれるなど、非常に粗雑なものでした。今日、攻撃はより洗練されています。それらは、正当な組織のものと全く同じに見える番号から届くこともあれば、無作為な人々に対して大量の波のように送信されることもあります。研究者たちは、これらの攻撃が、偽の税還付、配送通知、あるいはアカウントのセキュリティ警告といった特定のテーマに従うことが多いことを特定しました。また、犯罪者が人工知能を使用してこれらのメッセージを作成し始めており、それによってメッセージを自然に聞こえさせ、被害者に合わせて調整していることも観察されました。この進化は、単純な「悪い言葉」や「既知の悪いリンク」のリストに依存していた古いブロック手法では、もはや不十分であることを意味します。攻撃者は、フィルターをすり抜けるために絶えず戦術を変えています。

対抗するために、研究者たちは現在の防御の状況を調査しました。彼らは、現代のソリューションの多くが、大量のデータからパターンを学習するコンピュータプログラムの一種である機械学習に依存していることを発見しました。これらのプログラムは、疑わしいテキストを特定することにおいて非常に優れており、最近のモデルの中には99パーセント以上の精度を達成しているものもあります。しかし、研究者たちは重大な問題を指摘しました。多くの強力なシステムは「ブラックボックス」であるということです。それらはメッセージが詐欺であることを教えてくれますが、なぜそう判断したのかを簡単に説明することができません。この透明性の欠如は、ユーザーが警告を信頼することを難しくし、規制当局がどのように決定が下されたのかを理解することを困難にします。さらに、これらのメッセージをブロックするために設計されたモバイルアプリは数多く存在しますが、その有効性は幅広く異なります。優れた詐欺検知を行うものもあれば、多くを見逃したり、逆に無害なメッセージをブロックしすぎたりするものもあります。研究は法律や規制についても調査し、一部の国にはこれらの慣行に対する強力な規則があるものの、執行は地域によって困難であり、一貫性に欠けることを明らかにしました。

研究者たちの仕事の主要な部分は、科学者がこれらの検知システムを訓練するために使用するデータセットの分析でした。彼らは、多くのデータセットが時代遅れであるか、限定的であることを発見しました。例えば、一部の古いデータセットには10年前のメッセージが含まれており、今日の詐leマーの動きを反映していません。また、それらは英語に偏っており、他の言語におけるこれらの攻撃の理解に空白を残しています。研究者たちはまた、多くのデータセットに、現在は存在しないウェブサイトへのリンクが含まれていることを発見し、それが実際の詐欺の目的地を研究することを困難にしていることを突き止めました。これに対処するため、彼らは既存の情報を整理・洗浄し、将来の研究者がより優れた防御を構築できるよう支援する、「スミッシング・データ・ハブ（Smishing Data Hub）」と呼ばれる新しい統一されたデータコレクションを作成しました。

レビューの結論として、テクノロジーが進歩している一方で、スミッシングとの戦いにはより広範なアプローチが必要であるとしています。研究者たちは、将来の取り組みは単に優れたフィルターを構築することを超えなければならないと主張しています。彼らは、詐欺師が用いる心理的なトリックをより深く理解し、ユーザーが言葉の背後にある感情的な操作を認識できるように教えるべきだと論じています。また、テキストだけでなく、多くの異なる言語や形式を含む、より多様なデータセットを求めています。最後に、彼らは、より調整された対応を生み出すために、テクノロジー企業、法執行機関、および政策立案者の間のより良い協力が必要であることを強調しています。この研究は問題を解決したと主張するものではなく、ますます欺瞞的になるデジタル世界において、科学界がどのように前進し、ユーザーを保護していくべきかという明確なロードマップを提供するものです。