日本サイバー犯罪対策センター(JC3)は2026年10月15日、偽のスマホアプリを入れさせてお金を盗む手口に注意を呼びかけました。犯罪者は偽アプリでスマホを遠隔から操作し、ネットバンキングの不正送金やキャッシュレス決済の不正使用でお金を盗みます。JC3と警察庁の公式の資料で手口と対策を確かめ、情シスが社員に伝えることをまとめます。
入口は「ポイント」「還付金」のメールと、成人向けを装う広告
JC3によると、誘導の入口は大きく2つです。1つは、ポイントの獲得や失効の回避、還付金や払い戻しをうたうメールのリンクです。もう1つは、正規のアプリ名に「大人の」や「18+」などの言葉を付け、成人向けの動画などを思わせるSNSの広告です。
誘導先のサイトは、正規の企業やサービスを装った作りです。JC3は、誘導元から続く自然な流れで、関心を保ったままアプリを入れさせると説明しています。注意喚起の副題が「『お得』『見たい』に付け込むアプリ導入に注意」なのは、この2つの入口のためです。
JC3のページには、誘導の例の画面も載っています。税金の還付を名乗るメール、アプリのストアに似せた画面、Android向けのアプリのファイルを直接ダウンロードさせるボタンのある画面です。
JC3の注意喚起にある「攻撃手口と被害の概要」の図出典: 日本サイバー犯罪対策センター(JC3)(引用)
入れた後に起きること: ユーザー補助の権限で遠隔操作
偽アプリは、正規の企業やサービスを装った見た目で、違和感を持ちにくい作りです。JC3によると、偽アプリはアクセシビリティ機能(ユーザー補助)の権限など、スマホの中の高い権限を求める傾向があります。
ユーザー補助は、本来は画面の読み上げなど、操作を助けるための機能です。この許可を与えると、犯罪者はスマホを遠隔から高い権限で操れます。JC3は、スマホが事実上、犯罪者の制御下に置かれると書いています。
JC3が確認している被害は、次のとおりです。
- オンラインバンキング(ネットバンキング)の不正送金
- QRコード決済の不正使用
- キャリア決済(携帯電話の料金と一緒に払う仕組み)の不正使用
制御を奪われた結果、スマホが操作できなくなる事例も確認されています。ページの図は、偽アプリの動作の特徴として、正規アプリと誤認させる動作や、偽アプリの削除を拒む動作も挙げています。
警察庁も9月に同じ型の被害を知らせていた
警察庁は2026年9月の「サイバー警察局便り」Vol.18で、「不正アプリによる不正送金被害が発生」と知らせています。不正アプリを入れたことで、キャッシュレス決済のサービスが遠隔操作され、不正に送金される被害です。
警察庁の資料は、入口を3つに分けています。SNSに載った広告、メールやSMSのリンク、SNSで知り合った相手です。有名なSNSやアプリを装っている、とも書いています。
警察庁「サイバー警察局便り」Vol.18の手口と対策の部分(切り出し)出典: 警察庁ウェブサイト(公共データ利用規約(第1.0版)。「サイバー警察局便り R8 Vol.18」(警察庁)を加工して作成(上の題字と下の紋章を除いて切り出し)・確認 2026-10-18)
警察庁が挙げる「被害にあわないために」は4つです。誘導されたアプリを安易に入れない、公式のアプリストアでも提供元や内容をよく確かめる、不正アプリは直ちに消す、スマホにもウイルス対策ソフトを入れてOSを最新にする、です。
JC3が挙げる対策は3つの場面に分かれる
| 場面 |
JC3が挙げる対策 |
| 入れる前 |
正規のアプリを装った偽アプリがあると知っておく。提供元や内容を確かめ、不審な点があれば入れない |
| 入れた後 |
アプリが求める権限を確かめてから許可する。怪しい動作があれば直ちに消す |
| 被害に気づいたとき |
警察に通報・相談する。できれば直ちに偽アプリを消す |
JC3は、書いた手口は今の時点で確認されたもので、今後変わる可能性があると断っています。アプリの名前や見た目を覚えるより、「お得」「見たい」でアプリを入れる場面そのものを疑うことが、対策の軸になります。
影響する会社・しない会社
- 影響する: 社員に社用スマホを配り、ネットバンキングや決済のアプリ、キャリア決済を使える状態にしている会社
- 影響する: 経理や総務が、スマホのアプリで会社の口座や決済を操作している会社
- 影響する: 私物スマホで会社のメールやチャットを見てよい(BYOD)会社。被害はまず社員個人のお金ですが、同じスマホの業務のアプリにも他人の手が届く恐れがあります(編集部の整理)
- 影響しない: 社用スマホを配っておらず、私物スマホの業務での利用も認めていない会社。ただ、社員個人の被害を防ぐ周知は、どの会社でも役に立ちます
情シスが今日やること
- 社員に周知を送ります。 下の文面の例を使い、今週中に全社員へメールかチャットで送ります。JC3と警察庁のページへのリンクを付けます。
- 社用スマホの設定を管理画面で確かめます。 MDM(端末をまとめて管理する仕組み)で、ストア以外からアプリを入れられるか、利用者が自分でアプリを入れられるかを見ます。項目の名前は製品ごとに違うため、製品の説明書で確かめます(編集部の補足)。
- 社用スマホで使える決済を洗い出します。 ネットバンキング、QRコード決済、キャリア決済が使える端末を台帳にまとめます。業務にキャリア決済が要らない端末は、止められるかを携帯電話会社の法人の窓口に確かめます(編集部の補足)。
- 被害に気づいたときの連絡先を決めます。 社用スマホは情シスと経理へ、私物スマホは本人が警察と金融機関へ、という分担を決めて周知に書きます。
- 入口のメールにも目を配ります。 「ポイント」「還付金」をうたうメールは会社のメールにも届きます。怪しいメールを報告する窓口も周知に書きます。
社員に送る周知の文面の例
そのまま使える形にしています。〇〇の所は社内の窓口に置き換えてください。
件名: スマホの偽アプリに注意してください(「お得」「見たい」でアプリを入れない)
社員のみなさん
日本サイバー犯罪対策センター(JC3)と警察庁が、偽アプリによるお金の被害に注意を呼びかけています。偽アプリを入れると、スマホを遠隔から操られ、ネットバンキングや決済でお金を盗まれることがあります。社用スマホでも私物スマホでも、次の点に気をつけてください。
- ポイントの失効、還付金、払い戻しをうたうメールやSMSのリンクから、アプリを入れない
- 「大人の」「18+」など、成人向けを思わせるSNSの広告から、アプリを入れない
- 公式のアプリストアのアプリでも、提供元(会社名)と内容を確かめる
- アプリが「ユーザー補助(アクセシビリティ)」の許可を求め、理由が分からないときは、許可せずに相談する
- 身に覚えのない送金や決済がある、スマホが操作できない、アプリが消せない、などに気づいたら、すぐに連絡する
連絡先は、社用スマホなら情シス(〇〇)、私物スマホなら警察の相談窓口と、使っている銀行や決済サービスです。私物スマホに業務のアプリを入れている人は、情シスにも知らせてください。
被害に気づいたときの動き方
| 誰が |
何をするか |
根拠 |
| 本人 |
警察に通報・相談する。可能なら偽アプリを消す |
JC3・警察庁 |
| 本人(社用スマホ) |
情シスに連絡する |
社内の決まり(編集部の提案) |
| 情シス |
端末の利用を止め、その端末で使っていた業務のアカウントのパスワードを変える |
編集部の提案 |
| 経理 |
社用の決済や口座に身に覚えのない動きがないかを確かめる |
編集部の提案 |
警察への相談は、警察庁の「サイバー事案に関する相談窓口」のページから、都道府県警察の窓口やオンラインの受付を探せます。
偽のサイトやメールの手口は、警察庁・Microsoft・JC3が日本標的の詐欺基盤をテイクダウンでも扱っています。Androidの社用端末の詐欺対策の設定は、Google、Android詐欺対策を強化 社用端末の設定とデータ処理を確認も参考になります。
