スマートフォンは、確かに自分の手の中にあった。けれど、操作していたのは自分ではなかった。
サイバー犯罪: 日常に侵入する悪意 第 4 回
狙われるのは、特別な誰かではない。
いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。
いつものスマートフォン
ヨシミは、仕事を終えて自宅でくつろいでいた。
夕食を済ませ、ソファに座ってスマートフォンを眺める。SNS を見たり、動画を再生したりするのは、いつもの習慣だった。
その日、何気なく見ていた広告の中に、少し気になるものがあった。
人気の動画サービスの名前を使った、大人向けの特別版アプリだった。
通常のアプリでは見られないコンテンツが楽しめるという。
少し興味を持ったヨシミは、広告のリンクを開いた。
そこにはアプリの紹介ページがあり、ダウンロードするための案内が表示されていた。
公式のアプリストアには見当たらなかったが、特別版だからなのだろうと思った。
画面の案内に従ってアプリをダウンロードし、インストールを進めた。
途中でいくつか設定を求められたが、アプリを利用するために必要なのだろうと考えた。
そして、動画を再生した。
ところが、画面が突然真っ暗になった。
何度か操作してみても、うまく表示されない。
「おかしいな。ちゃんと動かないのかな」
ヨシミはアプリを閉じた。
特に気にすることもなく、別の動画を見たり、家族と連絡を取ったりして、その夜を過ごした。
スマートフォンは、いつもどおり手元にあった。
知らないところで行われた決済
数日後、ヨシミはスマートフォンの決済サービスに関する異変に気づいた。
身に覚えのない取引が発生している。
調べてみると、キャッシュレス決済サービスに紐づけていた銀行口座から、60 万円が勝手にチャージされ、知らないアカウントへ送金されていた。
自分で操作した覚えはない。
誰かにスマートフォンを貸したわけでもない。
銀行のパスワードを誰かに教えたわけでもない。
いったい何が起きたのだろう。
ヨシミが思い返したのは、先日インストールした、あのアプリだった。
そのアプリは、単に動画を再生するためのものではなかった。
スマートフォンに不正なプログラムが入り込み、第三者が遠隔操作できる状態になっていたのである。
ヨシミが知らないところで、スマートフォンの中の情報が読み取られ、決済に必要な操作が行われていた。
自分の財布を盗まれたわけではない。
銀行のカードを盗まれたわけでもない。
自分の手の中にあるスマートフォンが、自分の意思とは無関係に、他人のために使われていた。
国内でも確認された手口
悪意を持って配布され、ユーザーに金銭的損害を含む被害を与えるアプリは、不正アプリ、偽アプリ、マルウェアなどと呼ばれる。
今回のような不正アプリによる遠隔操作は、日本国内でも確認されている。
日本サイバー犯罪対策センター (JC3) は、2026 年 10 月 15 日にこの手口について注意喚起を公表し、11 月 2 日に内容を更新した。SNS 広告やメールなどから偽アプリへ誘導し、スマートフォンを遠隔操作して不正送金や決済を行う手口だ。
11 月 4 日、愛媛県警は、同様の手口による被害が県内で 27 件確認され、被害額が約 730 万円に上ると発表した。その中には、SNS 広告から「TikTok18+」をインストールした 60 代男性の銀行口座から、約 60 万円が不正に送金された事例もあった。
また、11 月 10 日には、福岡・兵庫・北海道の合同捜査本部が、不正アプリでスマートフォンを遠隔操作し、電子決済サービスを不正に使った疑いで 2 人を逮捕したと報じられた。逮捕容疑には、兵庫県の 60 代男性のスマートフォンを遠隔操作し、福岡市内の店舗で約 57 万円相当のトレーディングカードをだまし取った行為が含まれている。
警察庁によると、同様の手口について 9 月末までに全国で約 1,600 件の相談が寄せられていた。これは相談件数であり、被害が確定した件数や被害者数そのものではない。
興味を入口にする
偽アプリへの誘導は、突然現れる不審なプログラムの案内とは限らない。
JC3 が紹介しているのは、ポイントの獲得や還付金をうたうメール、人気動画サービスの特別版を装う SNS 広告などだ。「お得」「見たい」といった関心をきっかけに、広告から紹介ページへ、紹介ページからアプリのダウンロードへと、ひと続きの流れが作られている。
人の興味や期待、信頼を利用して、自分から手順を進めるよう誘導する。これもソーシャルエンジニアリングの一つだ。ヨシミも、見知らぬ相手に突然何かを命じられたわけではなかった。気になった広告を開き、案内に沿って進んだだけだった。
アプリに渡した権限
この手口では、アプリをインストールさせた後に、端末を操作するための強い権限を許可させることがある。
Android のアクセシビリティ機能 (ユーザー補助) は、本来、画面の読み上げや操作の補助など、端末を使いやすくするための仕組みだ。しかし、悪意のあるアプリに利用を許可すると、画面に表示された情報を読み取ったり、利用者に代わって画面を操作したりできる場合がある。
[偽アプリをインストール] | v [ユーザー補助などを許可] | v [端末を遠隔操作] | v [情報の取得・決済の悪用] アプリの見た目だけでは、その背後で何が行われるかは分からない。インストール後に求められる権限も、今回の被害につながる入口になっていた。
Android と iPhone では何が違うのか
今回確認されている偽アプリの手口では、Android 端末に公式ストア以外からアプリを導入させ、アクセシビリティなどの権限を悪用する点が特徴になっている。
一方、iPhone では Android の APK を同じ方法でインストールすることはできず、Android のアクセシビリティ機能を使った遠隔操作も同じ形では成立しない。
ただし、iPhone にも別の種類のリスクはある。Apple Account の認証情報を狙うフィッシングや、VPN・証明書・デバイス管理などの設定を追加する構成プロファイルを悪用する手口だ。
構成プロファイルをインストールしただけで、第三者が自由に iPhone を操作できるわけではない。Android の不正アプリとは仕組みが異なるが、見知らぬ相手から案内されたアプリや設定を、そのまま受け入れてしまうことには注意が必要になる。
手の中にあったスマートフォン
ヨシミは、スマートフォンを誰かに渡したわけではなかった。パスワードを教えたわけでもない。
端末は最後まで、彼女の手元にあった。
自分の手の中にあるものが、いつから自分だけのものではなくなっていたのだろう。
参考資料
日本サイバー犯罪対策センター (JC3), 『偽アプリの導入による金銭被害 ―「お得」「見たい」に付け込むアプリ導入に注意』, 2026 年 10 月 15 日公開、11 月 2 日更新.
https://www.jc3.or.jp/threats/examples/article-719.html愛媛県警察, 『サイバー犯罪対策課』 (偽アプリ「TikTok18+」等による不正送金への注意喚起).
https://www.police.pref.ehime.jp/cyber/index.htm愛媛朝日テレビ, 『不正送金被害が愛媛県内で相次ぐ 700 万円以上の被害』, 2026 年 11 月 4 日.
https://eat.jp/eat/?ehimenews=ehimenews466847673020261104共同通信, 『不正アプリ通じスマホ遠隔操作か 中国籍の男 2 人逮捕、全国初』, 2026 年 11 月 10 日.
https://news.livedoor.com/article/detail/32780270/時事通信, 『不正アプリでスマホ遠隔操作 詐欺容疑で中国人逮捕―福岡県警』, 2026 年 11 月 10 日.
https://news.mixi.jp/view_news.pl?from=pickup_news&id=9022769&media_id=4大阪府警察, 『偽アプリ「TikTok18+ (プラス)」にご注意ください！』
https://www.police.pref.osaka.lg.jp/seikatsu/saiba/cyber_shiryou/cybersecurity_tsushin/8/24774.htmlApple Support, 『iPhone、iPad、Apple Vision Pro で構成プロファイルをインストールする』.
https://support.apple.com/ja-jp/102400
本記事のストーリーは、JC3、愛媛県警の公表内容および報道された被害事例をもとにした再構成です。主人公の人物像や会話などは創作です。特定の被害者の全行動を再現したものではありません。
