「【国税庁】ご確認が必要な文書」のSMS — リンクは t.co から duckdns.org へ転送される

国税庁をかたるSMSが届いた（2026年3月に受信）。

この手のSMSは以前から数多く報告されている。今回、気になったのはリンクの形だった。 本文に貼られていたのは https://t.co/… という短縮リンクで、これは X（旧Twitter）が使う URLラッパーである。SMSにこの形のリンクがあるのは何を意味するのか、どこへ飛ぶのかを、 受信から数か月後に自分で確認した。掲載する画像は、受信したSMSを報告・検証する目的での引用として示す。

事例紹介

受信したSMS

• 送信元：個人の携帯電話番号の形式（+81 80-XXXX-XXXX）。国の機関の番号でも、企業がよく使う共通の番号でもない。
• 受信時刻：深夜1時台。
• 「未払い」「差押え」といった強い言葉はなく、「ご確認が必要な文書」という曖昧な言い回しになっている。

本文は次のとおり。

【国税庁】ご確認が必要な文書についての通知です。内容をご覧ください。 https://t.co/JIis3ITgY0

リンクの転送先

本文のリンク https://t.co/JIis3ITgY0 を、2026年8月29日にリクエストして応答だけを確認した （ページは開いていない）。

$ curl -I https://t.co/JIis3ITgY0
HTTP/2 301
location: https://1kwhk1x8.duckdns.org/

t.co から、1kwhk1x8.duckdns.org へ301（恒久的な転送）でリダイレクトされた。

• t.co は X（旧Twitter）の短縮URLラッパー。X 上に URL を投稿すると、本文の見た目に関わらず リンクは自動的に t.co/… に置き換わる。逆に言えば、SMSに t.co のリンクが入っているのは、 誰かが X 上（ポスト・DM・プロフィール等）にこの偽サイトのURLを一度載せて t.co 化し、 その短縮形を SMS に転記したことを示す。SMSの文面だけを見ても、t.co の先がどこかは分からない。
• 1kwhk1x8.duckdns.org の duckdns.org は、無料のダイナミックDNSサービス。 誰でも即座に、無料で、任意の文字列.duckdns.org というサブドメインを取得できる。 ランダムな8文字のサブドメインは使い捨て前提で、ドメインの登録料もかからない。

この転送先 1kwhk1x8.duckdns.org は、確認した時点ではDNSのAレコード（海外のホスティング事業者の IP範囲）は残っていたが、サーバーは接続タイムアウトで応答せず、最終的な偽サイト本体の内容は 確認できなかった。

確認できること・できないこと

• 確認できること（一次証拠） — このSMSを受信したこと。送信元が個人の携帯電話番号の形式だったこと。 本文のリンクが t.co の短縮リンクだったこと。そのリンクが2026年8月時点で 1kwhk1x8.duckdns.org へ301リダイレクトされること（自分でリクエストして確認）。
• 確認できないこと — 転送先の偽サイト本体の内容（サーバーが停止していたため）。 送信元番号が実在の契約者のものなのか、詐称または使い捨ての番号なのか。 誰がこのSMSを送ったか。X 上のどこにURLが載っていたか。

国税庁の案内との違い

国税庁は、次のように明記している¹。

• ショートメッセージ（SMS）やメールにURLを記載して送ることはない。
• LINE でメッセージを送ることもない。

e-Tax に関する正式なお知らせは、e-Tax のメッセージボックスやマイナポータルなど、 決まった経路で届く。SMS で「文書を確認してください」とURLを送ってくることはない。 つまり、このSMSはリンクを開くまでもなく、受信した時点で詐欺と判断できる。

手口の類型

• 行政・公的機関の告知を装う — 「【国税庁】」という差出人表記と「ご確認が必要な文書」という 役所風の言い回し。リンク先は国の機関のドメイン（*.go.jp）ではない²。
• スミッシング（SMSフィッシング） — 実在の組織をかたるSMSで偽サイトへ誘導し、 氏名・住所・電話番号・クレジットカード番号・セキュリティコードなどを入力させる手口が 報告されている³。Android 端末では不正アプリのインストールに誘導する例もある⁴。
• 遷移先を隠す多層リダイレクト — 「正規サービスの短縮ラッパー（t.co）」＋ 「無料のダイナミックDNS（duckdns.org）」という組み合わせ。どちらも、 URLを見ても最終的な行き先が分からず、かつドメイン単位のブロックリストに載りにくい。 海外では、正規サービスを隠れ蓑にするこの手口を “Living Off Trusted Sites（LOTS）” と呼ぶ⁵。 無料の短縮URLサービスに確認手順が増えたり早めに遮断されたりする一方で、 プラットフォームに元から備わるラッパーやダイナミックDNSは今も使われている。 IPA も「偽SMSでは短縮URLが多用され、遷移先が判別できない」と2022年時点で指摘している⁴。

見分け方（今回の事例から）

• 国税庁・税務署は、SMSやメールにURLを付けて納付や書類確認の案内を送らない（公式が明言）。 税に関する連絡は、e-Tax のメッセージボックスやマイナポータルの正規アプリで確認する。
• リンクの形を見る — t.co/…、bit.ly/… などの短縮リンクや、◯◯.duckdns.org、 ◯◯.no-ip.* のようなダイナミックDNSのURLは、遷移先が隠されている。 正規の役所・企業の通知が、遷移先の分からない短縮リンクを使うことはまずない。
• 送信元 — 個人の携帯電話番号の形式（090 / 080 / 070）。
• 本文の曖昧さと時刻 — 「ご確認が必要な文書」のように内容を特定しない言い回し、深夜の送信。
• 開いてしまった場合でも、個人情報・カード番号・認証コードを入力しなければ被害には直結しにくい。 入力を求められた時点で離脱する。

補足

フィッシングのSMSやサイトは、フィッシング対策協議会（[email protected]）に情報提供できる³。 国税庁をかたるものは国税庁の「不審なメール等の情報提供」窓口にも報告できる¹。 迷惑SMS自体は、契約している携帯電話会社の窓口や、端末の「迷惑メッセージを報告」機能から報告できる。