偽アプリでスマホを遠隔操作し不正送金 JC3と広島県警が注意

何が起きたのか

日本サイバー犯罪対策センター（JC3）は2026年10月15日、偽アプリによる金銭被害の解説を公開し、11月2日に更新しました。更新の内容はページに書かれていません。スマートフォンに入れさせたアプリで端末を外から操作し、お金を動かす手口です。被害の件数や金額は示されていません。

JC3は、犯罪者が「お金が得られる」という期待や性的な関心につけ込むと説明しています。誘導元から続く自然な流れの中で、利用者の関心を保ったままアプリを入れさせます。

手口の流れ

JC3は被害までを5つの段階で示しています。

1. 誘導：メールやSNS広告から、偽アプリの入手先へ進ませます
2. 導入：正規の企業やサービスを装ったサイトで、アプリを入れさせます
3. 権限の許可：アプリがユーザー補助などの強い権限を求め、利用者が許可します
4. 遠隔操作：その権限を使い、犯罪者が端末を外から操作します
5. 金銭被害：不正送金や不正な決済が行われます

入口は主に、ポイントの獲得や失効の回避、還付金や払い戻しをうたうメールと、正規アプリの名前に「大人の」「18+」などを付けたSNS広告の2つです。偽アプリは本物に似せた見た目で、違和感を持たれにくく作られています。

ユーザー補助とは画面の読み上げや操作の補助のための機能です。端末を操作できる強い権限を持つため、悪用されやすいとJC3は指摘しています。許可した時点で、端末は事実上、犯罪者の管理下に置かれます。

起きる被害

被害は次の4種類が挙げられています。

• ネットバンキングの不正送金
• QRコード決済の不正利用
• 携帯料金と合わせて払うキャリア決済の不正利用
• 犯罪者に制御を奪われ、端末が操作できなくなる被害

広島県警が示す確かめ方

広島県警は10月の続報で、Android端末を遠隔操作され、銀行口座から不正送金される被害が発生していると伝えました。不正アプリには入力した文字を盗む機能を持つものもあるとしています。偽装の例は、有名なSNSに似せた名前の成人向け動画アプリ、生成AIでペットと会話できると称するアプリ、「〇〇ポイント」などを名乗るポイ活アプリ、「〇〇フリマ」などを名乗るフリマアプリの4つです。

疑わしいときは、まず機内モードにしてWi-Fiも切ります。犯罪者との通信を断ち、被害の拡大を防ぐためです。そのうえで、次の3点を設定画面で確かめます。

• 「設定」の「ネットワークとインターネット」にある「VPN」で、心当たりのVPN設定がないか。不正アプリは独自のVPNを設定する場合があります
• 「設定」の「ユーザー補助」で、「ダウンロードしたアプリ」がオンになっていないか。通常はオフです
• 2点目で見つけたアプリを開き、画面の最下部にあるストア情報がGoogle Play以外になっていないか。「アプリ」の「〇個のアプリを全て表示」から探せます

画面の名前は端末の機種で違う場合があります。

JC3が示す対策

アプリを入れる前は、正規アプリを装った偽アプリがあることを前提に、提供元や内容を確かめ、不審な点があれば入れません。入れた後は、アプリが求める権限の中身を見てから許可し、怪しい動きがあればすぐ削除します。被害に気づいたら、警察に通報または相談し、できればすぐ偽アプリを消します。相談先は警察のサイバー犯罪相談窓口です。

JC3は、記載の手口は現時点で確認されたもので、今後変わる可能性があると断っています。関連する注意喚起として、KDDIとNTTドコモの公表も紹介されています。

社用スマートフォンで見直すこと

この手口は、利用者が自分でアプリを入れ、権限を許可することで成り立ちます。そこで、手を動かす場所は次の3つです。

• 社用のAndroid端末で、公式ストア以外からのアプリの導入を止める設定になっているかを見る
• 業務で使う端末に、ゲームやポイ活など業務と関係のないアプリが入っていないかを確かめる
• ネットバンキングやQRコード決済のアプリを入れた端末は、上の3点の確認手順を紙や社内の掲示にまとめておく

端末に異常が出たとき、機内モードにしたあと誰が銀行と警察へ連絡するかも、決めておきます。還付金を名目にアプリを入れさせる同じ型の手口は、還付金をかたるe-Taxの偽メール、国税庁が新しい例を追加でも取り上げています。