「ポイント獲得」やアダルトコンテンツでユーザーを誘い、スマホを乗っ取る偽アプリにJC3が注意喚起

注意喚起されている手口の概要

　一般財団法人日本サイバー犯罪対策センター（JC3）は10月15日、ポイント獲得などで「得したい」や、アダルトコンテンツを「見たい」というユーザーの心理に付け込んだ偽のスマートフォンアプリについて注意喚起を行った。

　同センターが公開した情報によると、偽アプリを利用する攻撃者はユーザーの「得したい」「見たい」のような心理を突いてインストールさせようとする。ユーザーが当該の偽アプリをインストールすると、攻撃者からスマートフォンを乗っ取られて遠隔操作可能になってしまい、オンラインバンキングの不正操作や不正なキャッシュレス決済が行われるようになってしまう。

　アプリをインストールさせる誘導の手法としては、実在する正規アプリの名前に「大人の」や「18+」といった文言を追加してアダルトコンテンツを想起させるSNS広告、国税庁など公的機関を装ったメールが確認されている。さらに、そうしたSNSやメールからの誘導先であるウェブサイトでは、「正規企業や正規サービスを装った導線や、誘導元から続く自然なコンテンツの流れにより、ユーザーの関心を維持したままアプリの導入を促します」と説明されている。

偽アプリのインストールに誘導するSNS広告やメール、および誘導先のウェブサイトの例

　偽アプリも違和感や不信感を覚えにくい作りになっており、アクセシビリティ機能（ユーザー補助）の権限を要求するなど、スマートフォン上の高い権限を求める傾向があるという。ユーザーがこの権限を許可すると、スマートフォンは遠隔操作可能になってしまう。

　遠隔操作された結果として、前述したようなオンラインバンキングの不正操作や不正なキャッシュレス決済といった被害のほか、スマートフォンが操作できない状態になってしまう事例も確認されている。

　対策として、同センターでは、正規のアプリを装った偽アプリが存在することを認識したうえで、インストール前には、アプリの提供元や内容を確認し、不審な点がある場合はインストールを控えることを呼び掛けている。また、インストールしたアプリに関しては、権限を要求された際にはよく確認してから許可すること、怪しい動作が見られるなど、不正な可能性がある場合は直ちに削除することをすすめている。

　そのうえで、被害が確認された場合には警察に通報・相談し、可能であれば、直ちに偽アプリを削除するようにとしている。