番号ブロックでは詐欺は防げない：2026年に本当に必要な対策とは

番号をブロックしました。スパム報告もしました。迷惑電話対策アプリもわざわざ入れました。なのに翌日、まったく同じ内容の詐欺が別の番号から届きました。

正直なところ、こういう経験をしたことがある人は少なくないはずですね。「対策が間違ってるのかな」と思うかもしれませんが、実は違うんです。「番号をブロックする」というアプローチ自体が、現代の詐欺に対して根本的に機能しなくなっているということなんですよ。

使い捨て番号という、見えない敵

10年前のことを思い出してください。詐欺師は少数の電話番号から活動していて、その番号をブロックすれば被害は止まっていました。トビラシステムズの迷惑電話フィルタや各キャリアのブロックサービスは、この前提で開発されたんです。

ぶっちゃけ、それはもう過去の話。今、VoIPサービスや仮想SIM、番号偽装技術のおかげで、1人の詐欺師が1日に数百の番号を使い分けることが可能になってしまいました。ドイツの連邦ネットワーク庁のデータでは、2025年にスパムSMSで1日平均25.8件の番号を停止しています。2024年の3倍ですよ。でも停止した番号の何十倍もの新しい番号が次々と現れる。もう追いつきっこないんです。

ここが大事なんですが、ブラックリストは本質的に「後手に回る」仕組みなんです。すでに報告された番号しかブロックできません。番号がデータベースに登録される頃には、詐欺師はとっくに別の番号に移っています。警察庁やIPAの業界調査によると、番号ベースのブロックツールが捕捉できる脅威は25%から35%にとどまります。

つまり、少なくとも3分の2の詐欺メッセージはすり抜けているということですね。

迷惑電話対策アプリの限界：3つの根本的な問題

トビラシステムズ、Whoscall、Truecallerなどのアプリは、既知の迷惑番号のデータベースと照合する仕組みですね。でもこのアプローチには、実は3つの根本的な問題があるんです。

問題1：データベースは常に遅れている。 番号が使われて、被害者が報告して、検証されて、全ユーザーに配信されるまでには必ずタイムラグがあります。今朝9時に新しい番号から届いた詐欺SMSは、あらゆるブラックリストをすり抜けてしまうんですよ。

問題2：番号偽装に対応できない。 詐欺師は、実在する銀行の番号や政府機関の番号からメッセージが来ているように見せかけることができます。そもそも番号そのものが偽装されている場合、「悪い番号のリスト」なんて何の役にも立たないんです。

問題3：メールにはまるで対応していない。 メール詐欺は電話番号よりもさらに簡単に作成できる使い捨てドメインを使います。「mitsui-sumitomo-card-verify.com」みたいなドメインは数分で登録できて、数千通のフィッシングメールを送信し、誰かが報告する前に消えます。電話番号対策アプリはメールをまったくカバーしていません。

使い捨てメールドメイン：実は番号よりずっと危険

使い捨て番号だけでも厄介なのに、使い捨てメールドメインはもっともっと深刻なんです。詐欺師は正規に見えるドメインを登録して、適切な認証レコード（SPF、DKIM、DMARC）を設定し、クリーンなIPアドレスから送信します。IPA（情報処理推進機構）によると、悪意のあるメールの89%がSPF、DKIM、DMARCの認証チェックを通過しているんですよ。

GmailやOutlookの迷惑メールフィルタは確かに多くを捕捉しますね。でも生成AIで作られた最も巧妙なフィッシングメール、実は銀行からのメッセージと見分けがつかないレベルのものは、フィルタをくぐり抜けてしまいます。そしてそれこそが、最も大きな被害を生むんです。

フィッシング対策協議会の2025年11月報告を見ると、本当に驚くんですが、正規メールの通知や注意喚起メールを精巧に模倣したフィッシングメールが急増しており、利用者が毎日見ている本物のメールに紛れ込む手口が確認されています。もう見分けるのが難しくなってきているんです。

本当に有効な対策：「誰が」じゃなく「何が書かれているか」を見る

使い捨て番号と使い捨てドメインに対抗する唯一のアプローチ、それは「誰が送ったか」ではなく「何が書かれているか」を分析することなんです。

わかりやすく例えると、これは入口で身分証をチェックする警備員と、行動パターンを分析する刑事の違いですね。警備員はリストに載っている人しか止められません。刑事は相手が誰であろうと不審な行動を検知するんです。

コンテンツ分析は、メッセージ内の実際のパターンを詳しく調べるんですよ。

操作的な言語パターン。 緊急性（「24時間以内に」「至急」）、恐怖（「アカウントが停止されます」「不正利用が検出されました」）、権威の主張（「国税庁です」「警察です」）、金銭的圧力（「今すぐ振り込んでください」）。実は、どの番号から送られても、ほぼすべての詐欺に共通して現れる感情的な操作パターンがあるんです。

不審なリンク構造。 URLがブラックリストに載っているかだけじゃなくて、ドメインが最近作成されたものなのか、タイポスクワッティング（「arnazon.co.jp」みたいな偽ドメイン）が使われているのか、複数のドメインを経由してリダイレクトしているのか、こういう細部を分析します。

地理的な矛盾。 日本の銀行を名乗りながら、フィリピンの国番号から送信されたメッセージ。国税庁を装いながら、日本語として不自然なパターンを含む文面。こういう違和感もすぐわかるんです。

言語を超えたパターン認識。 日本語で「お荷物のお届けにあがりましたが不在の為持ち帰りました」と書かれた詐欺は、英語では「your package could not be delivered」、ポルトガル語では「Seu pedido está a caminho」として現れます。言語が違っても、コンテンツ分析なら根底にある詐欺パターンを認識できるんですよ。

既知の詐欺テンプレート。 送信者は絶え間なく変わります。でもコンテンツは予測可能なパターンに従うんです。宅配便詐欺には特有の構造要素がある。銀行フィッシングには認識可能な流れがある。番号やドメインが変わっても、これらのパターンは消えずに存続するんです。

リアルタイム防御でなければ意味がない理由

ブラックリストは事後的に機能するんです。誰かが先に被害に遭って、報告して、データベースが更新されるのを待つ。その間に何百人、何千人が被害に遭ってるんですよ。一方、コンテンツ分析はメッセージが届いた瞬間に機能します。その詐欺がその番号から初めて送信されたものであっても、内容を見れば判別できるんです。

実は現代の詐欺師はこんなやり方をしているんです。絶えず変化する番号から、AIが生成したテキストのバリエーションを使って、小さなバッチで送信する。各メッセージはわずかに異なる。各番号は全く新品。ブラックリストは永遠に追いつけないんですよ。

継続的なアップデートが必須な理由

トビラシステムズのレポートを見ると、2025年後半には1日あたり5,000種以上の詐欺SMS文面が確認されてるんです。生成AIを悪用して大量の文面が作成されているということですね。宅配便詐欺からApple詐欺へ、クレジットカード詐欺から証券会社詐欺へ、ターゲットは本当に常に変化しています。

週単位やアプリアップデートでパターンを更新するシステムなんて、常に後手に回るんですよ。新しい詐欺パターンが世界のどこかで出現した瞬間に、すべてのユーザーに学習結果を反映する必要があるんです。でも従来のブラックリスト方式では、そういうリアルタイム対応ができないんですね。

Rampartが実現すること

Rampartはブラックリストに依存しません。番号をデータベースと照合もしません。代わりに、未知の送信者からのすべてのメッセージの実際のコンテンツを、届いた瞬間にリアルタイムで分析するんです。

言語パターン、リンク構造、感情的操作手法、地理的シグナルを詳しく調べます。SMSとメールの両方に対応しています。日本語、英語、スペイン語、ポルトガル語、ドイツ語、韓国語、アラビア語で機能するんですよ。そして大事なのは、検知パターンが世界のどこかで新しい詐欺タイプが出現するたびに、継続的に更新されるということです。

結果として、新しい番号、新しいドメイン、新しい詐欺バリエーションに対する保護が実現します。誰かが先に報告したものだけじゃなくて、全く新しい詐欺にも対応できるんですね。

正直なところ、番号ブロックは2015年の正しいソリューションでした。でもコンテンツ分析は2026年の正しいソリューションなんです。詐欺は進化し続けているから、対策も進化する必要があるということですね。

詳しくはrmprt.appをご覧ください。

参考資料： トビラシステムズ スミッシングトレンドレポート2025、フィッシング対策協議会 月次報告書2025年11月、Bundesnetzagentur SMS停止統計、Commsrisk、APWG、McAfee。