「SMS of Death」は、Android端末に対して細工された特定のSMS（WAP Pushメッセージ）を送信するだけで、通話およびセルラー通信のコアプロセス（com.android.phone）を強制クラッシュさせ、電話機能や緊急通報（110/119等）、モバイルデータ通信を一時的に遮断するサービス妨害（DoS）の脆弱性です。
ユーザによるメッセージの開封やリンクのタップといった操作を一切必要としない「ゼロクリック（Zero-Click）」で成立し、メッセージ履歴や受信トレイにも表示されない不可視性を持つため、標的が攻撃を検知することは極めて困難です。
Googleは2026年10月のセキュリティパッチで修正を提供していますが、未適用の端末では電話番号を知られているだけで通信インフラを無力化される危険性があります。
特徴的な部分をみてみましょう。
- ゼロクリック（Zero-Click）による発火
一般的なフィッシングやマルウェア配信とは異なり、攻撃のトリガーにユーザのアクション（通知のタップ、URLの展開、ファイルのダウンロードなど）を必要としません。
キャリア網経由でSMSを受信した瞬間、バックグラウンドでの構文解析（パース処理）時に脆弱性が発火します。 - UI上に痕跡が残らない「不可視性（Invisibility）」
攻撃に用いられるデータペイロードは通常のユーザ向けテキストSMSではなく、システム処理用のWAP Pushメッセージ形式で配送されます。
そのため、標準のメッセージアプリの受信履歴に記録されず、通知バナーや着信音も鳴りません。被害者は攻撃を受けている事実に気づかないまま機能不全に陥ります。 - 基幹プロセス（com.android.phone）のクラッシュと通話遮断
受信処理時にAndroidのテレフォニーコアを担う特権プロセス（com.android.phone）が未処理の例外やクラッシュを起こします。
これにより、進行中の音声通話が切断されるだけでなく、プロセスの再起動が完了するまで新規の発着信やモバイルデータ通信が一時的に完全な圏外状態となります。 - 緊急通報（Life-Safety）機能への影響
最も深刻な懸念点として、110番や119番といった人命に関わる緊急通報の発信すら阻害される点が挙げられます。
特定の個人や組織に対する物理的な危害・インシデント発生時に並行して実行されることで、外部への救援要請を封殺する凶悪な手段として悪用されるリスクがあります。 - 標的型妨害から広域DoSへの発展可能性
攻撃実行に必要な前提条件は「対象端末の電話番号」のみです。
スクリプトを用いた一斉送信や連打送信が行われた場合、特定個人の通信妨害にとどまらず、重要インフラ従事者やコールセンター、あるいは一定の番号帯を狙った広域的なテレフォニーDoS攻撃に拡大する恐れがあります。
本脆弱性は、端末の電話番号さえ把握していれば遠隔・不可視・ゼロクリックで通話機能を無力化できる、極めて実効性と悪質性の高いDoS脅威です。
特に緊急通報の妨害につながる点は、サイバー空間にとどまらず物理的な人命安全（Safety）に直結する重大なリスクを孕んでいます。
根本的な対策はOSレベルのセキュリティパッチ適用のみであるため、組織・個人を問わず、対象のAndroid端末を2026年10月以降のセキュリティ更新プログラムが適用された状態へ速やかに更新することが最重要の対応事項となります。
今回この問題に対応するために提供されている修正パッチは、Android 14 〜 Android 17 を対象としたものです。
この範囲のAndroidデバイスを使っている場合は、速やかに更新を適用しましょう。
そして、この範囲に入らない古いデバイス（Android 12/13以前など）もこの脆弱性の対象になっています。
更新の提供されない古いシステムの利用を継続することは非常に危険であり、安全な通信環境を維持するためにはサポート対象端末への速やかなリプレイスが強く推奨されます。
SMS of Death Zero-Click Android Telephony DoS
https://smsofdeath.com/
| この記事をシェア |
|
|---|
