Ing. Calogero Bono
2026年11月6日、CSIRT Italia（イタリアのサイバーセキュリティ機関であるイタリア国家サイバーセキュリティ庁傘下のインシデント対応チーム）は、SENDおよびPagoPAを騙ったスミッシング・キャンペーンの再発を報告しました。SMSはPagoPAのサービスから届いたように見え、行政上の罰金に言及しています。リンク先は公式サイトを模した偽のページで、個人情報や決済情報を盗むことが目的です。罰金への不安につけ込む手口であり、市民にも従業員にも影響が及ぶため注目されています。
本題に入る前に、いくつかの用語を確認しておきましょう。 スミッシングは、SMSを使ったフィッシングのことで、偽のメッセージでリンクをクリックさせる手口です。SENDは、行政文書や公式通知を届けるためのデジタル通知サービス（Servizio Notifiche Digitali）です。PagoPAは、公共機関への支払いを行うためのプラットフォームです。CSIRT Italiaは、サイバー脅威を監視し、注意喚起を発信するチームです。IoC（侵害指標）は、攻撃者が使用したWebアドレスなどの痕跡を指します。
CSIRT Italiaは何を検知したのか？
，アラートAL01/261106/CSIRT-ITAによれば、このキャンペーンは以前に報告された活動の再燃です。新たな手口ではなく、同じパターンの新たな波だと位置づけられています。
目的は、利用者を個人情報、ログイン用の認証情報、決済手段に関する情報を盗むために用意されたWebページへ誘導することだとされています。
偽のSMSはどのような内容か？
送信元はPagoPAのサービスに由来するように見えます。本文では行政上の罰金に関する通知をうたい、メッセージ内のリンクから違反通知を確認するよう求めています。
典型的な仕組みです。罰金は緊急性を生み、緊急性は注意力を弱めます。業務用メールを扱う人なら、このパターンは見慣れたものでしょう。関連する話題はメールによるフィッシングと詐欺、企業での見分け方でも取り上げています。
リンクをクリックするとどうなるか？
CSIRTによると、被害者はSENDおよびPagoPAの公式画面を忠実に再現したページへ転送されます。そのページは、機微な情報や金融データを盗むために攻撃者が作成したものです。
アラートには誤ってクリックされないよう無効化された形式で記載されたアドレスが指標として示されています。ドメインは.eu.ccで、公的機関のアドレスではありません。
被害を防ぐためにどうすればよいか？
CSIRTは、元のアラートで示されている対策を改めて確認しています。元のアラートは公式ページの関連情報欄にあります。今回の通知本文では項目ごとに繰り返されていないため、完全な一覧はそちらの文書で確認する必要があります。
紛らわしいSMSの問題は、電話通信の他の分野にも及んでいます。別の事例としてSMS of Death とCVE-2026-58882の脆弱性もあわせてご覧ください。
知っておくべき制約
このアラートでは、何人が被害を受けたのか、SMSがいつ頃から出回っているのか、キャンペーンの背後に誰がいるのかは明らかにされていません。また、実際のメッセージ文面は図版で示されるのみで、テキストとしての説明はありません。攻撃に使われるアドレスは短期間で変わる可能性があるため、公開された指標が最新とは限りません。
デジタル業務に携わる人にとっての影響
企業にとってリスクは二重です。従業員が私用または業務用の携帯電話でわなにかかる可能性があり、認証情報や決済情報が盗まれれば、会社の口座にも影響が及ぶおそれがあります。SENDやPagoPAが、出所の疑わしいSMS内のリンクから情報を求めることはないと、スタッフに周知することが望ましいでしょう。デジタルID を扱う担当者は、公共のデジタルサービスがどう変わるかを理解するためにIT-Walletの規則1.0も参照するとよいでしょう。
編集部の見解
この事例は、制度を装い、不安を煽るテーマを使うフィッシングが依然として最も効果的であることを示しています。高度な技術は不要で、もっともらしいデザインがあれば十分です。アラートが対策について簡潔にとどめ、以前の文書への参照にとどまっている点も、読者が自ら探す必要が生じるため気がかりです。予防においては、ツールよりも研修と日頃の習慣が重要です。また、行政機関が市民に「どのような場合も連絡しない方法」を明確に伝えることも有効です。
よくある質問
PagoPAを騙ったスミッシングとは何ですか？
PagoPAから届いたように見せかけた偽のSMSによるキャンペーンです。行政上の罰金を伝え、リンクのクリックを促します。リンク先は偽装されたページです。
このアラートを発表したのは誰ですか？
イタリア国家サイバーセキュリティ庁に属するCSIRT Italiaです。アラートの番号はAL01/261106/CSIRT-ITAで、2026年11月6日付です。
攻撃者はどのような情報を盗もうとしていますか？
個人情報、ログイン用の認証情報、決済手段に関する情報です。CSIRTによれば、偽のページは機微な情報や金融データを盗むために使われています。
このキャンペーンは新しいものですか？
いいえ、再発です。CSIRTは、以前にも報告されたキャンペーンが、新たなメッセージの波として再び現れたと説明しています。
対策はどこで確認できますか？
公式ページの関連情報欄に掲載されている、元のアラートで確認できます。CSIRTは同じ指示を改めて書き直すことなく、そのまま再確認しています。
キャンペーンが続く間に注目すべき点
スミッシングのキャンペーンは波のように繰り返し、アドレスや口実を変えて戻ってきます。公式の最新情報をこまめに追うことが大切です。
- CSIRT Italiaのページと元のアラートで、対策の全項目を確認してください。
- 別の侵害指標を含む新しいバージョンのアラートが出ていないか確認してください。
- スタッフが受け取った不審なSMSは社内のIT担当者に報告し、被害の増加を把握できるようにしてください。
