本物の銀行アプリを開いたのに偽画面？　不正アプリで認証情報を盗む手口と今やること

「本物の銀行アプリを開いたから大丈夫」とは限らない

金融機関が、スマートフォンに入れさせた不正アプリを使って銀行の認証情報を盗む手口への注意を相次いで呼びかけています。

肥後銀行は、不正アプリが入った端末で利用者が銀行アプリを起動すると、その動きを犯罪者側が検知し、正規の画面の上に偽の入力画面を重ねて表示する場合があると説明しています。大阪シティ信用金庫も同様の手口を案内しており、一部の信用金庫では被害が発生しているとしています。

ここで重要なのは、銀行の公式アプリそのものが偽物に置き換わったという話ではないことです。先に別の不正アプリを端末へ入れさせ、そのアプリが後から銀行アプリの画面に割り込むため、『いつものアプリを自分で開いた』という確認だけでは見抜けない場合があります。

入口は銀行を名乗るメールとは限らない

この手口では、最初から銀行を名乗ってくるとは限りません。肥後銀行は、ポイントサイト、航空会社、カード会社、国税庁、SNS広告などを装い、偽のアプリストアや不正アプリへ誘導する事例を挙げています。

例えば『税金の還付を受けるにはアプリが必要』『ポイントの期限が切れるので手続きが必要』など、銀行とは別の用件を入口にしてアプリをインストールさせます。その後、利用者が普段どおり銀行アプリを開いたタイミングで偽の入力画面を重ね、暗証番号やパスワードなどを入力させる仕組みです。

さらに、認証情報を盗むだけでなく、端末を外部から操作し、利用者が意図していない送金につながる被害も報告されています。

10月27日に公開された解説報道でも、9月から10月にかけて肥後銀行、川崎信用金庫、大阪シティ信用金庫など複数の金融機関がこの種の手口を注意喚起していることが整理されています。

なぜ見抜きにくい？　確認する場所を「銀行アプリ」より前に戻す

従来のフィッシング対策では、『URLを確認する』『偽サイトに注意する』という説明が中心でした。しかし今回のような手口では、利用者が正規の銀行アプリを起動した後に偽画面が重なる可能性があります。画面の見た目だけで本物か偽物かを判断しようとすると難しくなります。

そこで確認する場所を一段前に戻す必要があります。最も重要なのは、そもそも不審なアプリを端末へ入れないことです。

アプリを追加するときは、メール、SMS、SNS広告、Webサイトに表示された『ダウンロード』ボタンをそのまま使わず、自分でGoogle PlayやApp Storeなどの公式ストアを開いて探してください。『還付金を受け取るため』『ポイントを受け取るため』『セキュリティを強化するため』などの理由で、リンク先からアプリのインストールを求められた場合は特に注意が必要です。

また、心当たりのないアプリが端末操作に関する広い権限を要求してきた場合も、その場で許可せず止めてください。金融機関は、不正アプリによってスマートフォン上の操作が監視・制御される可能性を指摘しています。

すでに怪しいアプリを入れたかもしれない場合は？

『メールのリンクからアプリを入れてしまった』『公式ストア以外からAPKなどをインストールした』『よく分からないまま端末操作に関する権限を許可した』という心当たりがある場合は、通常どおり銀行アプリを操作し続けるより、まず被害拡大を止めることを優先してください。

不審なアプリは使用を中止し、可能なら削除します。そのうえで、利用している銀行や決済サービスの公式サイトに自分でアクセスするか、カードや通帳などに記載された公式窓口から連絡し、不審な取引がないか確認してください。すでに銀行の暗証番号やパスワードなどを入力してしまった場合は、その情報が第三者に渡った可能性を前提に金融機関へ相談した方が安全です。

端末が勝手に操作される、アプリを削除できないなど異常が続く場合は、その端末で重要な認証情報を入力し続けないことも重要です。別の安全な端末から公式窓口を調べて連絡する方法があります。

なお、今回の注意喚起は『すべての銀行アプリで偽画面が出る』という意味ではありません。例えば大阪シティ信用金庫は、自行のアプリではこの事象を確認していないと明記しています。必要以上に銀行アプリ自体を怖がるのではなく、不正アプリを端末へ入れないことが対策の中心です。

今覚えておきたいのは「アプリを入れる入口」

今回の手口で厄介なのは、『銀行アプリは公式ストアから入れた本物だから大丈夫』という判断が、その前に不正アプリを入れてしまっている場合には十分ではないことです。

対策を3つに絞ると、メール・SMS・SNS広告のリンクからアプリを入れない、アプリは自分で公式ストアを開いて探す、よく分からない端末操作の権限を安易に許可しない、となります。

特に『還付金』『ポイント失効』『セキュリティ対策』のように、急いで手続きしたくなる理由とアプリのインストールがセットになっていたら、一度そこで止まってください。銀行と無関係に見える案内が、後の銀行口座への攻撃の入口になる場合があります。

もしすでに入れてしまったとしても、焦ってメールに書かれた問い合わせ先へ連絡するのではなく、金融機関の公式サイトや手元のカード・通帳などから正規の窓口を確認し、取引状況と認証情報の扱いを相談してください。『本物の銀行アプリを開けば安全』だけではなく、『その前に何をスマホへ入れたか』まで確認することが、今回の手口への重要な防御になります。

スマホを重要な本人確認にも使うなら、アプリの入れ方だけでなく、画面ロック・権限・更新・紛失対策までまとめて確認できます。スマホにマイナンバーカードを入れて大丈夫？で、今の端末が本人確認端末として使いやすい状態かチェックできます。