PayPayが警告する「身に覚えのない送金」はなぜ起きるのか。マルウェア感染の手口と対処法を整理する

まず初めに

*「怪しいアプリはインストールするな」と言われて、はいそうですかと素直に聞く人がどれだけいるだろうか。*SMSやSNS広告で「今すぐ使える」を謳われると、つい指が動いてしまうのが人間だ。だが、そのワンタップの先にあるのが、自分のスマホを乗っ取られて知らないうちに送金される仕組みだとしたら、話は別だ。便利な決済アプリほど、こういう脇の甘さが一番効いてくる。※個人の感想です

何が起きているのか

PayPayは2026年9月7日、公式サイトのお知らせで、公式アプリストア(App Store・Google Play)以外からダウンロードした不審なアプリケーションに注意するよう呼びかけました。同社によると、不審なSMS(ショートメッセージサービス)やメール、SNS上の広告に記載されたリンクから、公式ストアを経由せずにアプリをインストールしたことで、スマートフォンがマルウェア(悪意のあるソフトウェア)に感染する事例を確認しているとしています。

マルウェアに感染した端末は、第三者によって遠隔操作される状態になり、利用者本人が把握しないうちに、PayPayを通じた送金や決済が行われてしまう恐れがあります。PayPayはこうした被害を「身に覚えのない送金・決済」として説明しており、利用者が気づいたときにはすでに取引が完了しているケースを想定した注意喚起となっています。

なぜ重要なのか

PayPayは日本国内で広く使われているスマートフォン決済サービスの一つで、銀行口座や資金移動業者の残高と連携して送金・決済ができる仕組みを持っています。マルウェア感染によって端末そのものが遠隔操作されてしまうと、通常のフィッシング詐欺(偽サイトへ誘導してID・パスワードを盗む手口)とは異なり、利用者が正規のアプリを普段どおりに使っているつもりでも、裏側で不正な操作が行われる可能性があります。

これまでもSMS経由で偽サイトへ誘導するスミッシングすみっしんぐ(SMSを使ったフィッシング)は広く注意喚起されてきましたが、今回PayPayが警告しているのは、偽サイトでの情報入力だけでなく、端末そのものへの不正アプリのインストールという、より一段深いところで起きる被害です。感染経路が公式ストア外からのアプリインストールに限られる点は対策の的を絞りやすい一方、一度感染すると被害に気づきにくいという性質があります。

私たちへの影響

PayPayを利用している人はもちろん、他のスマートフォン決済サービスやネットバンキングを利用している人にとっても、同種の手口が使われる可能性がある点で無関係ではありません。PayPayは、公式アプリストア以外からアプリをダウンロード・インストールしないこと、不審なSMS・メール・SNS広告に記載されたリンクを不用意に開かないことを呼びかけています。

万が一、不審なアプリをインストールしてしまった心当たりがある場合は、PayPayアプリ内の「取引履歴」を確認し、身に覚えのない送金・決済がないかを確かめることが推奨されています。不審な取引が見つかった場合は、補償制度の案内ページを確認したうえで手続きを行うよう案内されています。

初心者が知っておくべきこと

スマートフォンのアプリは通常、Androidなら「Google Play」、iPhoneなら「App Store」という公式のアプリストアからインストールします。これらの公式ストアは、掲載前に一定の審査を経ているため、悪意のあるアプリが紛れ込む可能性は相対的に低くなっています。一方、ウェブサイトのリンクやSMS・メールに直接貼られたリンクから「アプリのファイルそのもの」をダウンロードしてインストールする方法は、この審査を経ていないため、マルウェアが仕込まれていても気づきにくいという違いがあります。

よくある質問

Q. 自分の端末が感染しているかどうか、どうやって確認すればいい？ A. 出典であるPayPayの発表では、感染有無を利用者自身が簡単に判定できる具体的な方法までは示されていません。編集部からの一般的な補足としては、身に覚えのないアプリがインストールされていないか、PayPayの取引履歴に不審な送金・決済がないかを確認し、少しでも異変があれば早めにPayPayのサポート窓口へ相談することをおすすめします。

Q. 公式ストア以外からアプリを入れた覚えがなければ安心か？ A. PayPayが今回注意喚起しているのは、公式ストア外からのインストールを感染経路とする事例です。心当たりがなければ今回の注意喚起が示す経路での感染リスクは低いと考えられますが、日頃からリンク元の確認や、身に覚えのない請求・送金がないかの定期的なチェックを続けることに変わりはありません。

IT Postの見方――「タダより高いものはない」を、令和のスマホで学び直す

IT Postでは、便利な決済アプリが狙われるのは、ある意味で当然の帰結だと考える。

*ポイントやクーポンの誘い文句につられて、公式ストア以外のリンクからアプリを入れてしまう。その一瞬の判断が、財布そのものを他人に手渡すのと同じ意味を持つとしたら、なかなかに割に合わない取引だ。*キャッシュレス決済が生活の隅々まで浸透した今、便利さの裏側にある「乗っ取られたら即・実害」という緊張感は、案外忘れられがちだ。IT Postでは、PayPayのような事業者側の注意喚起はもちろん重要だが、利用者の側にも「公式ストア以外は基本的に踏み込まない」という一線を、当たり前の習慣として持ってほしいと考える。※個人の感想です

今後どうなりそうか

PayPayは、被害の具体的な件数や金額、いつから確認されている事例なのかといった詳細を公表していません。同社は引き続き、公式ストア以外からのアプリインストールへの注意と、取引履歴の定期的な確認を呼びかけています。IT Postでは、被害の規模や新たな手口についての続報があれば、あらためて取り上げます。