「パスコードも見破られる」TikTok偽アプリでスマホ乗っ取り…PayPay不正送金急増に専門家が鳴らす警鐘

動画アプリ「TikTok」を装う不正なアプリでスマホが乗っ取られ、決済サービス「PayPay」で不正送金される被害が相次いでいる。

『読売新聞』（9月19日付）によると、同サービスを提供するPayPay社に対して利用者から《身に覚えのない送金があるとの被害報告》が8月から急増しており、同社は利用者に対し《身に覚えのない取引履歴や不審なアプリがないかを確認するよう呼びかけている》という。

ITジャーナリストの鈴木朋子さんが言う。

「SNS広告などから偽アプリをインストールさせる手口自体は、以前からあるポピュラーなものです。

しかし今回は、誰もが知っている『TikTok』というメジャーな動画アプリを騙っています。つい『安全』と思い込んで、油断した隙をつく悪質な行為です」

では、どのような手口で送金されてしまうというのか？

「被害に遭われた方は『成人向け動画を視聴できる』と謳う『TikTok18＋』などと勝手に名付けた不正アプリをインストールすることで、マルウェア（悪意のあるプログラム）に感染し、スマホが乗っ取られてしまいます」

この「TikTok18＋」という広告をクリックすると、アプリのインストール画面が表示されるという。

「しかしこのアプリ自体が、Googleやアップルなどの公式ストアではなく、公式外のウェブサイトから直接ダウンロードさせる導線となっています」

このアプリをインストールしてしまうと、次の段階で重大な権限を与えてしまうことになるという。

「アプリを起動すると、よく『カメラの使用を許可しますか？』などの権限の許可画面が出ると思います。

よく確認せず『許可する』を押してしまう方もいると思いますが、この不正アプリ（マルウェア）では、本来は、身体が不自由な方などのスマホ操作を遠隔でサポートするための『アクセシビリティ機能』や、画面の上に別の画面を重ねる『画面オーバーレイ機能』などの権限を要求してきます。

これをユーザー自身の手で許可してしまうと、犯罪者側がスマホの画面をリアルタイムで遠隔で見たり、遠隔での操作（リモート操作）が、可能になってしまうんです」

つまり「画面共有されているのと同じ状態」であると鈴木さん。

「恐ろしいことに、多くのユーザーは、インストールが終わった時点で乗っ取られた自覚がありません。

その裏で、犯罪者側が勝手にPayPayなどの決済アプリを起動し、裏でこっそり不正送金してしまいます」

決済アプリなどは、2段階認証のパスコードで守られていると思うのだが？

「よくSMSなどで、2段階認証のパスコードが送られてきて、それを入力することで本人確認する手段がありますよね。これは、リモートで見られてしまっているので、簡単に突破されてしまいます。

たとえばPayPayを『一定額以下になったら自動チャージする』設定にしている人は、残額が減っていることに長期間気づかないケースもありますので、本当に恐ろしいんです」

これらは、遠隔で行われ、しかもスマホの所有者には、なにが遠隔操作されているのかわからないように「画面オーバーレイ機能」を使われることで、見た目では、真っ暗な画面（スリープ状態）だと思わせているのだという。

「パスコードと同じく、画面を指でなぞるパターンロックも、この不正アプリでは見破られてしまいます」

このような怖い不正送金をブロックできる方法は？

「現状、確実にブロックできるのは、顔認証や指紋認証といった生体認証です。これは対象者の身体が認証に必要になるので、犯罪者側も遠隔では盗むことができません」

では、「TikTok偽アプリ」をはじめ不正アプリ被害に遭わないための対策は？

「まず、アプリは必ず公式ストア（App StoreおよびGoogle Play）からのみインストールすることです。

SNS広告で面白そうなものを見つけても、直リンクを踏まず、一度公式ストアを開いて、検索窓にその名前を打ち込んでみること。当然、詐欺アプリであれば検索結果には出ません。

次に、インストール時には必ず、『権限の許可画面』を確認すること。

たとえば楽天市場のような買い物アプリのはずなのに、許可項目に『アクセシビリティ』などという文言が入っていれば、『100パーセント怪しい』と判断して、すぐインストールを中断してください。

そのアプリの本来の目的と関係ない過剰な権限を求めてくるものは、すべて不正アプリと警戒してください」

ピックアップ