「お得」「見たい」で偽アプリを入れさせる手口、スマホを遠隔操作される金銭被害に注意

JC3は、偽アプリをインストールさせてスマートフォンを遠隔操作し、不正送金やキャッシュレス決済の悪用につなげる被害を注意喚起しました。アプリ名や見た目だけでなく、どこから入れたか、何の権限を求めているかを見ることが重要です。

出典

JC3は2026年10月、偽のスマートフォンアプリをインストールさせ、犯罪者が端末を遠隔操作して金銭を盗む被害を確認しているとして注意を呼びかけました。

誘い文句は、いかにも危険そうなものだけではありません。「ポイントがもらえる」「払い戻しがある」「期限が切れる前に手続き」といった“お得”を強調するものや、見たいコンテンツがあるという興味につけ込むものが確認されています。

厄介なのは、インストールした偽アプリが正規企業や正規サービスに似た見た目をしていることです。画面を見ただけでは違和感を持ちにくいよう作られている場合があります。

ポイントになるのが、アプリが求める「権限」です。スマートフォンのアプリは、カメラ、位置情報、連絡先などを使うときに利用者へ許可を求めます。

今回JC3が説明している偽アプリでは、アクセシビリティ機能（ユーザー補助）など、高い権限を要求する傾向があるとされています。本来、ユーザー補助は操作を支援するための大切な機能ですが、強い権限を悪用されると、画面の操作などを犯罪者側から行える状態につながります。

権限を許可した結果、オンラインバンキングの不正送金、QRコード決済、キャリア決済などに悪用された例が確認されています。端末を操作できない状態にされるケースもあるとされています。

偽アプリ対策でありがちな誤解は、「変な名前のアプリだけ避ければいい」というものです。実際には、正規企業の名称やロゴをまねたり、誘導してきたWebページと見た目を揃えたりして、自然にインストールさせようとします。

特に注意したいのは、SMSやメール、SNS広告などから「このアプリを入れてください」と誘導された場合です。普段使っている公式ストアで自分から検索して入れる場合より、一段慎重になった方がよいでしょう。

また、インストール後に「この設定をONにしてください」と細かく指示される場合も要注意です。なぜその権限が必要なのか説明できないアプリに、ユーザー補助や端末管理に関わる強い権限を与えないことが大切です。

不審なアプリを入れた直後で、まだ被害が見当たらない場合は、まずアプリを削除し、与えた権限が残っていないか設定画面で確認します。ただし、端末が犯罪者に操作されている疑いがある場合、同じ端末から銀行や重要アカウントのパスワード変更をするのは避けた方が安全なことがあります。

金銭被害や不審な送金があるなら、銀行・決済事業者へ連絡し、警察へ相談します。別の安全な端末が使えるなら、そこから重要アカウントの状態も確認してください。

「自分で入れたアプリだからマルウェアではない」とは限りません。だまされて自分で許可を押してしまうことも、現在の攻撃では想定された手順の一部です。

スマホは銀行、決済、メール、写真、本人確認など多くの機能が一つに集まっています。それだけに、強い操作権限を持つ偽アプリが入ると、被害が一つのサービスに収まらないことがあります。

「お得だから今だけ」「ここでしか見られない」と急かされたときほど、一度止まり、提供元と権限を確認する。その短い確認が、かなり大きな防御になります。