一般財団法人日本サイバー犯罪対策センター（JC3）は10月15日、ポイント獲得などで「得したい」という心理や、アダルトコンテンツを「見たい」という心理につけ込み、利用者を誘導する偽のスマートフォンアプリについて注意喚起を行った。
事案の詳細
JC3が注意を呼びかけたのは、利用者の「得したい」「見たい」といった心理を利用し、偽アプリのインストールを促す手口だ。利用者が偽アプリをインストールすると、攻撃者によってスマートフォンを乗っ取られ、遠隔操作される可能性がある。
確認されている誘導手法の一つは、実在する正規アプリの名前に「大人の」や「18+」などの文言を加え、アダルトコンテンツを想起させるSNS広告を表示するものだ。また、国税庁などの公的機関を装ったメールから、偽アプリの導入へ誘導する手口も確認されている。
誘導先のウェブサイトでは、正規企業や正規サービスを装った導線を用いたり、SNS広告やメールから続く自然なコンテンツの流れを作ったりして、利用者の関心を維持したままアプリの導入を促すという。単にアプリの見た目だけで判断せず、誘導元や提供元も確認する必要がある。
影響と背景
偽アプリによってスマートフォンが遠隔操作されると、オンラインバンキングの不正操作や、不正なキャッシュレス決済につながるおそれがある。スマートフォンが操作できなくなる事例も確認されている。スマートフォンには金融サービスや決済、認証に関する情報が集約されているため、「ポイントがもらえる」「アダルトコンテンツが見られる」といった訴求を見ても、安易にアプリをインストールしないことが求められる。
実在する正規アプリ名や公的機関を悪用することで、利用者が正規の案内だと誤認しやすくなる点も、この手口の特徴だ。個別の攻撃で使われたアプリ名や被害件数など、詳細は現時点で不明。
対策・今後の展望
- うたい文句だけでアプリを入れない：「ポイントがもらえる」「限定コンテンツが見られる」などの案内を見ても、SNS広告やメールのリンクから安易にインストールしない。
- 誘導元と提供元を確認する：実在するアプリ名に「大人の」「18+」などを加えた広告や、公的機関を装ったメールには注意し、公式サイトや正規のアプリ配信元から情報を確認する。
- アプリの権限を慎重に確認する：インストール後に権限を求められた場合は、アプリの目的に照らして必要性を確認してから許可する。JC3によると、偽アプリはアクセシビリティ機能（ユーザー補助）の権限を要求し、遠隔操作に悪用する。ポイントや動画のアプリがこの権限を求めてきたら、許可せずに削除したい。
- 不審なアプリは直ちに削除する：怪しい動作が見られるなど、不正な可能性がある場合はアプリを削除する。被害にあった場合は警察に通報・相談するとともに、金融機関や決済サービスにも連絡し、偽アプリは可能であれば直ちに削除する。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】スマートフォンの個人利用を入口に、業務連絡や各種アカウント、オンラインバンキング、キャッシュレス決済に被害が波及するリスクがあります。多くの中小企業で、業務利用端末に導入するアプリの確認基準が十分にルール化されないまま運用されています。
【観点②：セキュリティ専門家でない人への平易な解説】無料券を配ると言って人を呼び込み、家の合鍵を渡させるようなものです。「お得そう」「見てみたい」と感じる案内からアプリを入れた結果、スマートフォンを他人に遠隔操作され、金融サービスや決済を不正利用される可能性があります。
【観点③：中小企業が今週中にできること】まず、社員に「ポイント獲得」やアダルトコンテンツをうたうアプリ、正規アプリ名や公的機関を装うメールからの導入に注意するよう短文で共有してください。次に、業務で使うスマートフォンでは、アプリ導入時に提供元と権限を確認する運用を徹底し、不審な案内や端末の異常を報告する窓口を決めます。
参照: 日本サイバー犯罪対策センター（JC3）の注意喚起 ／ 「ポイント獲得」やアダルトコンテンツでユーザーを誘い、スマホを乗っ取る偽アプリにJC3が注意喚起