詐欺SMSのリンクから、IDやカード番号を入力してしまった。止める先は入力した項目で決まり、連絡は早いほどよい

約8分で読めます

わかっている度 ★★☆ 中研究3本・公的資料7件を整理

机の上に並んだ2台のスマートフォン — Photo: Lucas Mathis from zürich, switzerland / CC BY-SA 2.0 / Wikimedia Commons

AIによる調査公開された研究と公的機関のデータ・指針をAIが調べて整理しました（商品の紹介や診断はしていません。出典は末尾）。

宅配の不在通知や銀行、携帯会社を名乗るSMSを開いて、IDやパスワード、カード番号を入れてしまった。入れたあとで「おかしい」と気づくのは、よくあることです。自分を責める必要はありません。大事なのは、入力した項目ごとに、止める先へすぐ連絡することです。

3行でわかる

連絡する先は、入力した項目で決まります。カード番号はカード会社、ネットバンキングは銀行、IDとパスワードは公式アプリや公式サイトからの変更です。
偽サイトに入れた情報は、すぐ使われることがあります。研究では、偽サイトに入れたアカウント情報の20%が30分以内にログインを試されていました。
連絡はSMSのリンクや番号を使わず、カードの裏面や公式アプリから行います。困ったら警察相談専用電話#9110か、消費者ホットライン188に相談できます。

01 結論から言うと詐欺SMSに入力してしまったら、まず何をする？

入力した項目ごとに、本物の窓口へすぐ連絡します。カード番号ならカード会社に止めてもらい、IDとパスワードなら公式アプリや公式サイトから変更します。同じパスワードを使っているほかのサービスも変えます。

警察庁とフィッシング対策協議会は、被害にあったサービスの会社に相談すること、入力したパスワードを同じものを使う全サービスで変えること、必要に応じて警察に相談することを案内しています。

AIで自然な日本語になった文面かどうかは、手続きには関係しません。やることは、昔からあるフィッシング（本物の会社を装って偽サイトに入力させる手口）と同じです。

この記事は、入力した「あと」のことだけを書きます。届いたSMSが本物かを開かずに確かめる方法は宅配の不在通知SMSの見分け方で、リンクを開かない仕組みは偽のメール・SMSを見抜くより、リンクを開かない仕組みをで整理しています。

入力したもの	連絡する先	頼むこと・すること
クレジットカード番号	カード会社（カード裏面の番号）	利用を止めてもらう。必要なら再発行。明細に覚えのない利用がないか見る
ネットバンキングのID・パスワード	口座のある銀行	公式アプリや公式サイトからパスワードを変える。不正送金があれば銀行に相談
メールやショッピングなどのID・パスワード	そのサービスの公式サイト・サポート	パスワードを変える。ログインできなければリセットしてサポートへ。二段階認証を設定する
携帯会社のID、SMSの認証コード	携帯会社、認証コードの送り主の会社	キャリア決済の明細を見る。覚えのない認証コードがあれば認証を止めてもらう
アプリを入れた	（自分で対応）携帯会社	アプリを消す。覚えのない認証コードやキャリア決済の登録がないか見る

表は、フィッシング対策協議会・警察庁・愛知県警察の案内を、入力した項目ごとに並べ直したものです[5][6][10]。

02 研究とデータでわかっていること偽サイトに入れた情報は、どれくらい早く使われる？

偽サイトに入れた情報は、早いと30分以内に使われます。研究では、ログイン情報の20%が30分以内に、50%が7時間以内に試されていました。だから連絡は、気づいたその場で始めるのが大切です。

20%偽サイトに入れたログイン情報のうち、30分以内にログインを試されたもの（Google利用者向けの偽サイト200件の実験、2014年）

245万件2025年にフィッシング対策協議会へ寄せられたフィッシングの報告（2,454,297件、過去最多）

約9割2025年のネットバンキングの不正送金（4,747件、約103億9,700万円）のうち、フィッシングが手口だった割合（警察庁）

14.2%偽SMSを受け取った人のうち、URLをタップしてサイトを開いたことがある人（5,338人の調査、2024年12月〜2025年11月）

Bursztein, Benko, Margolis ほか（2014）[1]

研究者が、Googleのアカウントを狙う偽サイト200件に、おとりのログイン情報を1件ずつ入れました。すると20%が30分以内に、50%が7時間以内にログインを試されました。乗っ取った人は、ログインしてから平均3分でアカウントの中身を調べ、連絡先に詐欺の連絡を送ることもありました。

対象: Googleで2011〜2014年に起きた乗っ取りの事例と、おとりの実験／限界: メールのアカウントを狙う偽サイトの実験です。日本の偽SMSやカード番号で同じ速さかは調べていません。

Thomas, Li, Zand ほか（2017）[2]

2016年3月〜2017年3月に盗まれたログイン情報を調べた研究です。偽サイトの道具に情報を盗まれた人は、一般の利用者に比べて、乗っ取られるオッズ（起きやすさの比）が400倍を超えていました。偽サイトは、パスワードだけでなく、住んでいる場所や電話番号も一緒に盗むためだと著者は説明しています。対策として、偽サイトでは盗めない方式の二段階認証を挙げています。

対象: Googleのアカウント／限界: 乗っ取りの見逃しがあるため、割合ではなくオッズ比で比べています。ほかのサービスで同じ倍率になるとは限りません。

警察庁（2026年3月公表）[4]

2025年のネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円で、フィッシングが手口の約9割でした。2019年ごろから、入力させたワンタイムパスワードをその場で使い、二段階認証を突破する手口も広がっています。生成AIで偽サイトを手直ししていた人の逮捕事例も載っています。

対象: 全国の警察が把握した件数／限界: AIで作られた文面のSMSが何件あったかの区分はありません。

このため、SMSで届いた認証コードまで入れてしまったときは、二段階認証を設定していても安心できません。すぐにパスワードを変え、サービスの会社にも連絡します。

03 まだわかっていないことAIが書いた詐欺SMSは、被害を増やしている？

AIが書いた文面で日本の被害がどれだけ増えたかは、公的な数字ではまだわかりません。メールの実験では、AIが作った詐欺メールのクリック率は専門家が作ったものと同じ54%でした。

Heidingらの実験（101人）では、AIが自動で作った「狙い撃ち」の詐欺メールのクリック率は54%で、専門家が作ったものと同じでした。特に狙いを定めない詐欺メールを送った比較のグループは12%でした。ただしメールの実験で、日本語のSMSではありません[3]。
フィッシング対策協議会は「生成AIを活用した巧妙な攻撃の増加」を挙げ、警察庁も生成AIで偽サイトを手直しした事例を載せています。ただし、AIで書かれた文面のSMSが何件あったかは、どちらの資料も区分していません。
入力したあと、何分以内に連絡すれば被害を防げるかを日本で調べた研究は、今回の調査では見つかりませんでした。

04 今日からできること入力してしまった今日、何をする？

止める連絡、パスワードの変更、明細とSMSの確認、相談の4つを、気づいたその日に進めます。どれもお金はかかりません。連絡はSMSのリンクや番号ではなく、公式の窓口から行います。

カード番号を入れたら、カード会社に止めてもらう

カードの裏面などに書かれたカード会社の番号に電話し、偽サイトに入力したことを伝えて利用を止めてもらいます。必要ならカードを作り直します。

目安気づいたらすぐ、電話1本10分

IDとパスワードを入れたら、公式アプリから変える

ネットバンキングやメールなど、入れたサービスのパスワードを公式アプリか公式サイトから変えます。同じパスワードを使っているサービスもすべて変え、二段階認証を設定します。ログインできなければ、パスワードをリセットしてサポートに連絡します。

目安 1サービス5分

明細と、届いたSMSを確かめる

カード・ネットバンキング・キャリア決済の明細に、覚えのない利用がないか見ます。覚えのない認証コードのSMSが届いていたら、送り主の会社に認証を止めてもらいます。アプリを入れてしまったときは、そのアプリを消します。

目安 15分

警察か消費生活センターに相談する

お金が使われた、または不安なときは、最寄りの警察署か#9110、消費者ホットライン188に相談します。偽のSMSや入力した画面は消さずに、画面の写真を残しておくと説明しやすくなります。

目安当日中に

困ったときの相談先
警察相談専用電話 #9110: 急ぎではないが警察に相談したいときに。受付時間は都道府県警察ごとに異なります（愛知県警は平日9時〜17時）。不正送金が進んでいるなど緊急のときは110番。
消費者ホットライン 188: フィッシングなどの消費生活のトラブルに。近くの消費生活センターにつながります。

偽の求人に身分証まで送ってしまったときは偽の求人に身分証を送ったあとにすることで、だまされた自分を責めてしまうときはAIを使った詐欺のあと、自分を責めてしまうで整理しています。二段階認証のしくみは二段階認証とパスキーの研究にまとめています。

05よくある質問

リンクを開いただけで、何も入力していなければ大丈夫？

フィッシング対策協議会や警察の案内は、入力したパスワードやカード番号が悪用されることへの対処が中心です。何も入力せず、アプリも入れていなければ、入力後の手続きは要りません。念のため、覚えのない認証コードのSMSやキャリア決済の請求がないかを見ておくと安心です。

SMSに書いてある番号に電話して、取り消しを頼んでもいい？

やめておきます。愛知県警察は、SMSの送信元にかけ直したり返信したりしないよう呼びかけています。カード会社ならカードの裏面、銀行やサービスなら公式アプリや自分でブックマークした公式サイトの窓口を使います。

二段階認証を設定していれば、乗っ取られない？

安心はできません。警察庁によると、偽サイトに入力させたワンタイムパスワードをその場で使い、二段階認証を突破する手口が2019年ごろから広がっています。認証コードまで入れてしまったときは、すぐパスワードを変え、サービスの会社に連絡します。

自分の番号から、知り合いに偽のSMSが送られたら？

偽のアプリを入れると、自分の番号から偽のSMSが送られることがあります。愛知県警察は、不審なアプリを消し、問い合わせてきた人には事情を伝えて「不在通知は送っていない」と説明するよう案内しています。最寄りの警察署への相談も勧めています。

AIで作られた自然な文だったから、見抜けなくても仕方ない？

見抜けなかったのは、あなたの落ち度ではありません。メールの実験では、AIが作った詐欺メールを54%の人がクリックし、専門家が作ったものと同じ割合でした。見抜く力より、入力したあとに早く止めることのほうが、被害を小さくするうえで確かな手段です。

出典

Bursztein, E., Benko, B., Margolis, D., Pietraszek, T., Archer, A., Aquino, A., Pitsillidis, A., & Savage, S. (2014). Handcrafted Fraud and Extortion: Manual Account Hijacking in the Wild. Proceedings of the 2014 Internet Measurement Conference (IMC '14), 347-358. https://doi.org/10.1145/2663716.2663749
Thomas, K., Li, F., Zand, A., Barrett, J., Ranieri, J., Invernizzi, L., Markov, Y., Comanescu, O., Eranti, V., Moscicki, A., Margolis, D., Paxson, V., & Bursztein, E. (2017). Data Breaches, Phishing, or Malware? Understanding the Risks of Stolen Credentials. Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security (CCS '17). https://doi.org/10.1145/3133956.3134067
Heiding, F., Lermen, S., Kao, A., Mayrink Verdun, C., Schneier, B., & Vishwanath, A. (2026). Evaluating large language models' ability to automate spear phishing. Expert Systems with Applications, 314, 131546. https://doi.org/10.1016/j.eswa.2026.131546
警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
警察庁「フィッシング対策」 https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
フィッシング対策協議会「消費者の皆様へ今すぐできるフィッシング対策」 https://www.antiphishing.jp/consumer/antiphishing-for-users.html
フィッシング対策協議会「フィッシングレポート2026」（2026年6月1日） https://www.antiphishing.jp/report/report/phishing_report2026.html
国民生活センター「見守り新鮮情報第479号 SMSやメールでのフィッシング詐欺に注意」（2024年4月11日） https://www.kokusen.go.jp/mimamori/mj_mailmag/mj-shinsen479.html
愛知県警察「警察相談専用電話 #9110」 https://www.pref.aichi.jp/police/soudan/dial/jumin/soudan.html
愛知県警察「宅配業者の不在通知を装ったメールが来た」 https://www.pref.aichi.jp/police/anzen/cyber/soudan/nisetakuhai.html