スミッシング阻止に向け、法の包囲網が狭まる

2026.02.25

2025年11月26日、Mike Vizard

世界的なSMSフィッシング詐欺を法的措置とテクノロジーで封じ込めるための取り組み

主なポイント

Googleは、RICO法、ランハム法、コンピュータ詐欺・不正利用防止法に基づき、PhaaS（サービスとしてのフィッシング）プラットフォームのLighthouseを標的として、サイバー犯罪グループ「Smishing Triad」を提訴しました。
Lighthouseは2023年から活動し、膨大なクレジットカード情報を収集しています。攻撃は2020年以降で5倍に増加し、120か国以上で被害が発生しています。
Googleは、金融詐欺の捜査、海外から発信されるロボコールの阻止、大規模な詐欺拠点への対策など、州や関係機関がより効果的に詐欺に対処できるようにすることを目的とし、審議中の法案の可決に向けて連邦議会議員と協力しています。
Googleは、通行料金や荷物の配達に関するものなど、一般的な詐欺メッセージを予防的に検知して警告するため、AIツールを導入してプラットフォームを強化しました。

サイバー攻撃はほぼどこからでも発生する可能性があるという単純な事実を踏まえ、法制度の下で取り得る手段が限られていることについて、長年にわたって多くの不満が上がってきました。多くの場合、攻撃元の国が他国への影響を特に問題視していないことから、こうした攻撃を阻止する手段はほとんどありませんでした。

しかし、法制度への信頼が回復する出来事もまれに起こります。100万人以上を標的にして、未配達の荷物や未払いのE-ZPass通行料金の警告を装ったテキストメッセージを使い、個人情報やクレジットカード番号を収集しようとする世界的なスミッシング攻撃を阻止するための多面的な取り組みの一環として、Googleが訴えを起こしました。この訴訟は、Smishing Triadと呼ばれるサイバー犯罪グループがキャンペーンに利用していた、LighthouseというPhaaS（サービスとしてのフィッシング）プラットフォームの解体を目的とするものです。

Smishing Triadに対するGoogleの訴訟の影響

具体的には、Googleは威力脅迫および腐敗組織に関する連邦法（Racketeer Influenced and Corrupt Organizations Act、RICO法）、ランハム法（Lanham Act）、コンピュータ詐欺・不正利用防止法（Computer Fraud and Abuse Act）に基づく請求を行い、Lighthouseの運営停止を求めています。

さらに、この取り組みの一環として、Lighthouseをホストしていた運営主体が中国語で投稿した、「悪意ある苦情によりクラウドサーバーがブロックされた」というメッセージも公開しました。Lighthouseや同様のPhaaSプラットフォームの提供者は、複数のクラウドサービスプロバイダーを利用しているため、この中断がどのようにもたらされたのかは明らかではありません。しかし、こうした攻撃を仕掛けるために利用されたクラウドサービスのプロバイダーは、訴訟で名指しされることを好まないと推測されます。その結果、クラウドサービスプロバイダーは、自ら提供しているインフラストラクチャが、これらの犯罪組織にどのように利用されているかに注意を払うようになり、また同様に重要なこととして、こうしたトラフィックを遮断する方向に動いているように見受けられます。

しかし、残念ながら、すでに多くの被害が発生しています。Lighthouseは2023年から活動しており、過去2年間で、米国だけでも1,270万～1億1,500万件のクレジットカード情報を収集しました。全体として、このような攻撃は2020年以降で5倍に増加し、120か国以上で被害が発生しています。

立法措置とAIによる革新が詐欺対策を強化

Googleは、こうした詐欺の加害者に法的責任を問うために既存の法律を利用するだけでなく、米国民を詐欺から守ることを目的とした審議中の3つの法案の可決に向けて、連邦議会議員と協力していることも明らかにしています。

1つ目の法案は、退職者を狙った金融詐欺などの詐欺行為を捜査するために、州が連邦補助金を利用できるようにするものです。2つ目は、海外から発信されるロボコールを米国民に到達する前に遮断する方法を調査するタスクフォースを設置する法案です。3つ目は、ロマンス詐欺や投資詐欺など、さまざまなオンライン詐欺に人々を誘導する大規模な詐欺拠点への対策として国家戦略を策定するものです。

最後に、Googleは、人工知能（AI）を活用して、通行料金や荷物の配達に関連する一般的な詐欺メッセージを検知し、警告する機能もプラットフォームに追加しました。

ネット詐欺撲滅への圧力の高まり

無防備な一般市民にとってインターネットをより安全なものにするために、これらの取り組みが与える影響については、現時点では未知数です。しかし、少なくとも明確な警告は出されています。特に、インターネットやクラウドサービスのプロバイダーは、自らのサービスが悪意ある攻撃者によってどのように利用されているかを認識しながら放置していたと証明されれば、RICO法違反で訴えられる可能性があります。

単純かつ残念な現実は、詐欺に使われるITインフラストラクチャを誰が所有しているのかを突き止めるには多少の労力がかかる一方で、突き止めること自体は不可能ではないという点です。問題は、こうしたサービスのプロバイダーに自社サービスが悪用されていることを知らせるだけでなく、対応を怠れば責任を問われることを明確に示す意思を持てるかどうかです。

原文はこちら：
Long arm of the law finally starts to thwart smishing
Nov. 26, 2025 Mike Vizard
https://blog.barracuda.com/2025/11/26/law-starts-thwart-smishing