宅配業者を名乗るSMS、開いて大丈夫？宅配SMS詐欺の見分け方と、押した・アプリを入れた後の対処、迷惑SMSの止め方

01この記事でわかること（3行まとめ）

• URLは押さないでください。ヤマト運輸と佐川急便は、SMSによる連絡は行っていないと公式に案内しています。日本郵便も、不審なSMSはリンクを押さず削除するよう案内しています（例外は本文で説明します）。
• 荷物は、公式アプリか公式サイトで確かめます。SMSの中のリンクや電話番号は使いません。
• 押した後は「どこまで進んだか」で対処が変わります。見ただけなら被害につながらないとIPAは説明しています。アプリを入れた、入力した場合はすぐ動きます。

02結論：SMSは読んでも、URLは押さない

IPAが解説している手口の流れは、偽のSMSを受信し、記載のURLをタップして偽サイトへ進むところから始まります。つまり、気をつける場所はURLです。迷ったら押さずに削除してかまいません。本当に荷物があるなら、公式の画面でも確かめられます。

押してしまっても、すぐに被害が決まるわけではありません。IPAの案内では、偽サイトにアクセスしただけで、操作も入力もせずに閉じたなら被害にはつながらないとされています。次の表で、自分がどこにいるかを確かめてください。

03宅配SMS詐欺の手口

JC3によると、SMSは電話番号さえ分かれば送れるので、番号を機械的に組み合わせて無作為にばらまけます。あなたが狙われて届いたとは限りません。こうしたSMSを使う手口をスミッシングと呼びます。

フィッシング対策協議会の2026年9月の報告でも、SMSから誘導するフィッシングの報告数は減少しているものの、宅配業者をかたる文面の報告は続いています。東京電力、水道局、Apple、クレジットカード会社をかたるものもあります。

届く文面の例

IPAは、この手口は細かい部分で内容が変化し続けていると注意しています。上の文面と違うから本物、とは考えないでください。

スマホの種類で、誘われる先が違います

入れてしまうと何が起きるか

警察庁の相談事例では、荷物追跡のアプリを入れたところ、知らない間に携帯電話に登録された電話番号へ、荷物追跡の内容のSMSが大量に送信されていました。IPAに寄せられた相談にも、キャリア決済で身に覚えのない請求があった、フリマや後払いのサービスに勝手にアカウントを作られた、というものがあります。

JC3も、不正アプリが届いたメッセージを盗み見ることで、キャッシュレスサービスなどのアカウントを作られ、犯罪に使われる可能性を指摘しています。認証コードが盗まれると、被害は入力した相手先だけで終わらないことがあります。

04この手口はいつから？ IPAに届いた相談の流れ

「最近増えた」ように感じますが、IPAの資料によると、少なくとも2018年から続いています。名乗る会社や誘い方を変えながら、形を保っているのが特徴です。

1. 2018年7月

   Androidを狙った、佐川急便をかたる偽SMSの相談が110件

2. 2018年8月

   iPhoneも標的になる

3. 2020年2月

   ヤマト運輸、日本郵便をかたる偽SMSの相談が増える

4. 2020年6月

   GoogleサービスやChromeの更新と称してアプリを入れさせる手口が出始める

5. 2021年10月

   au、ドコモをかたる偽SMSの相談が増える

2026年に入ってからも、協議会は、Android向けに限ったログインやアプリのインストールを促すメールやSMSについて注意を出しています。名前が宅配業者でなくても、手口の組み立ては同じです。

053社の公式案内：SMSで何を送る？送らない？

次の表は、各社の公式ページに書かれていることです。「公式の連絡方法」と「偽物に多い内容」を分けて読んでください。

日本郵便を名乗るSMSだけ、少し注意が要ります

日本郵便のページには、郵便局物販サービス社が不在時に送るSMSという例外が書かれています。郵便局の通販などに心当たりがあっても、そのSMSのリンクから進む必要はありません。迷うときは本文中のリンクを押さず、日本郵便のお客様サービス相談センターへ尋ねます。

日本郵便は、WebサイトなどのURLに「.net」と「.top」を使っていないとも案内しています。このほか、「○○時間以内に支払わない場合は配送がキャンセルされる」のように不安をあおる文言や、不自然な日本語、再配達手数料や通関料の支払いを求める内容にも注意を呼びかけています。

例外はほかにもあるので、最後は窓口へ

自分で申し込んだサービスや、ログインのときの認証の連絡は、話が別です。たとえば佐川急便のよくある質問には、2段階認証の認証コードをメールやSMSで受け取る案内があります。自分が操作していないのに認証コードが届いたら、誰にも伝えず、入力もしないでください。

各社の案内は更新されることがあります。判断に迷ったら、SMSに書かれた番号ではなく、公式サイトに載っている窓口に尋ねてください。

佐川急便の情報流出との関係

佐川急便の「お荷物問い合わせサービス」への不正アクセスについては、佐川急便の不正アクセスの記事にまとめています。この記事では詳しく扱いません。流出の話題に便乗した連絡が来ても、対処はここに書いた内容と同じです。

06本物か確認する手順

1. SMSのURLは押さない。書かれた電話番号にもかけない。
2. 通販の注文履歴や、送り主からの連絡で、荷物の心当たりと送り状番号を見る。
3. ブックマークか公式アプリから、配送会社の荷物検索を開いて番号を入れる。
4. それでも不明なら、公式サイトの窓口か営業所へ尋ねる。

警察庁は、公式サイトをブックマークに登録するか、公式アプリを使うよう案内しています。アプリは、スマホのストアから入れます。フィッシング対策協議会も、アプリのインストールは正規サイトのリンクやアプリストアから行うよう呼びかけています。

ヤマト運輸の案内には、もう1つ手がかりがあります。荷物情報を検索して「依頼受付」としか出ない場合は、実際に発送された荷物ではないとしています。

送り状番号が分からないなら、まず買った店の注文画面を見てください。買った覚えがなければ、SMSの荷物を気にする必要はありません。家族あての荷物が気になるときは、家族に聞けば済みます。

07宅配SMSの見分け方チェック表

当てはまるものが1つでもあれば、押さないでください。全部当てはまらなくても、本物とは限りません。

JC3は、送信元に有名な配送事業者などの見慣れた社名が表示されたメッセージもあると紹介しています。社名の表示は、本物の証拠になりません。

08メールで届く配送の連絡はどう考える？

SMSと違い、メールは本物の連絡もあります。ヤマト運輸は、お届け予定通知やご不在通知のサービスを提供していると案内しつつ、迷惑メールと見分けがつかないほど似ている場合があるとしています。公式のメールには受取人の名前が書かれ、「お届け先情報が不完全です」「配達失敗通知」といった文言は使っていないとのことです。

同社は、使っているドメインとして kuronekoyamato.co.jp などを挙げていますが、送信元がこのドメインになっている迷惑メールも発生していると注意しています。2025年8月26日からは、正規のメールにロゴを表示するBIMIも導入しました。ただし受信環境によっては本物でも表示されません。結局、メールでも「リンクを使わず公式から確かめる」のが基本です。

09押した・入れた・入力した後にやること

• 何も入力せず閉じた：そのまま閉じます。IPAは被害につながらないと説明しています。
• Androidでアプリを入れた：機内モードにしてアプリを消し、初期化を考えます。
• iPhoneで構成プロファイルを入れた：機内モードにし、初期化します。
• パスワードを入力した：本物のサイトからすぐ変更します。
• カード番号を入力した：カード会社へすぐ連絡します。
• 認証コードや電話番号を入力した：携帯会社にキャリア決済の請求を確かめます。

Androidで不正アプリを入れたとき（要点）

IPAの案内では、順番は次のとおりです。手順の細かい確かめ方はスマホがウイルスに感染してるか確認する方法にまとめています。

1. 機内モードにして、Wi-Fiもオフにする。これでSMSの送信と情報の送信を止めます。
2. 設定アプリのアプリ一覧から、不正なアプリを探して消す。ホーム画面に出ないことがあります。
3. 初期化する前に、携帯会社やフリマ、後払いサービスから届いた登録や変更の連絡を見る。SMSは初期化で消えるためです。
4. より安全な対処として初期化する。データを戻すときは、アプリを入れる前のバックアップを使います。
5. 初期化の後に、Googleアカウントと使っているサービスのパスワードを変える。
6. 身に覚えのないキャリア決済がないか、携帯会社に確かめる。

IPAは、買い替えは必要なく、初期化で不正アプリの影響を取り除けると説明しています。電話番号を変えても対処にはなりません。セキュリティアプリを消された場合は、入れ直しが必要なことがあります。

iPhoneで構成プロファイルを入れたとき

構成プロファイルは、iPhoneの設定を自動で行うファイルです。インストールの画面が出ただけなら、「無視」か「キャンセル」で閉じれば被害につながりません。入れてしまった場合、IPAは安全を期して、機内モード（Wi-Fiもオフ）にしてから初期化することを勧めています。そのあと、Apple IDやキャリアのアカウント、SNSに不正な使用がないかを確かめて、パスワードを変えます。見つけ方はスマホの確認方法の記事にあります。

入力してしまったとき

認証コードがなぜ危ないかは、二段階認証を突破される手口で説明しています。被害が出ていれば、最寄りの警察署かサイバー事案のオンライン受付窓口に相談します。

10知らない人から電話やSMSの返信が来たら

IPAによると、不正アプリを入れたスマホからは、同じ内容の偽SMSが知らない宛先へ多数送られます。発信者の電話番号が相手に伝わるので、折り返しの電話や返信が来る場合があります。送信の料金がかかって電話料金が増えることもあります。

「あなたからSMSが来た」と言われたら、自分のスマホにアプリが入っていないか確かめてください。入っていれば、この記事の手順で機内モードにします。使っている携帯会社にも相談してください。

反対に、知り合いの番号から宅配のSMSが届いたときは、その人のスマホが被害にあっている可能性があります。IPAも、SMSの送り主が被害者である可能性を挙げています。URLは押さず、電話など別の手段で本人に知らせてください。

11迷惑SMSを止める：携帯各社の公式の機能

警察庁も、携帯電話会社の迷惑メッセージブロック機能を活用するよう案内しています。まず自分の回線の状態を見てください。多くは自動で有効になっています。

格安スマホなど、ほかの会社の回線を使っている人は、契約先の案内を見てください。

強くする前に知っておくこと

• すべては防げません：ドコモと楽天モバイルは、すべてのフィッシングSMSの拒否を保証するものではないと明記しています。
• 拒否されたSMSは戻せません：ドコモも楽天モバイルも、復旧や閲覧はできないとしています。
• 必要なSMSも止まることがあります：auは、ごくまれに迷惑ではないSMSが規制される場合があるとしています。ソフトバンクの迷惑SMSフィルターは、「強」にすると大量送信されたSMSなども受信できなくなることがあります。
• URL付きの拒否は特に効きますが、影響も大きい設定です：ソフトバンクは、迷惑SMSの大半は本文にURLが含まれると説明しています。受け取りたいものは「受信許可リスト」に登録します。

iPhoneとAndroidの標準の機能

iPhone：メッセージアプリのチャットリストから「フィルタリングを管理」を開き、「不明な差出人をスクリーニング」をオンにできます。不明な差出人のメッセージは別のフォルダへ分けられます。

Android（Google メッセージ）：報告する会話を長押しし、ブロックのアイコンから[スパムとして報告]、[OK]の順にタップします。会話は[スパム / ブロック中]フォルダに移ります。

12偽SMSの報告先

報告は義務ではありません。協力する場合は次の方法があります。

• フィッシング対策協議会：SMSは直接転送できないので、スクリーンショットを撮り、メールに添付して送ります（報告ページ）。
• 携帯会社：ドコモやauには、迷惑SMSの情報提供の案内があります。
• フィッシング110番：警察庁は、偽サイトを見つけたときの通報先として案内しています。

13家族や高齢の親に伝えること

宅配の連絡は誰にでも身近なので、普段メールを使わない人でも引っかかることがあります。次の3つだけ伝えてください。

• 宅配のSMSのリンクは押さない。荷物のことは、いつものアプリか、家族に聞けば分かる。
• SMSに言われてアプリを入れない。
• 押してしまっても怒らないので、すぐ教えてほしい。

親のスマホでは、携帯会社の迷惑SMSの機能が有効か、一緒に見ておくと安心です。会社のスマホに届いたときは、押した場合に限らず担当者のルールに従ってください。

14困ったときの相談先

15よくある質問