本物銀行アプリで偽画面、認証情報盗む詐欺、被害は情報窃取にとどまらない

大阪シティ信用金庫や川崎信用金庫など複数の金融機関が、正規のアプリ起動時に偽のログイン画面を重ねて認証情報を盗む手口について注意を呼びかけた。メールから不正アプリをインストールさせ、本物の画面に偽画面を被せる巧妙な仕組みであり、すでに一部の信用金庫で被害が発生している。

利用者は公式ストア以外からのインストールを避け、不審な動作があれば即座に金融機関へ連絡する必要がある。

正規アプリの画面上に偽ログイン画面を重ねる手口

大阪シティ信用金庫は10月21日、正規の金融機関アプリを装う手口について注意喚起を行った。この攻撃の入口となるのは、国税庁や通販会社などを騙るメールである。受信者がそのリンクを開くと、正規のアプリストアではなく偽のサイトへ誘導され、そこで不正なアプリがインストールされる仕組みだ。

一度端末に侵入した不正アプリは、利用者が普段通りに金融機関のアプリを起動する瞬間を狙う。すると、本物の画面の上に偽ログイン画面を重ねて表示し、入力されたIDやパスワードなどの認証情報を盗み取る。

筆者は、この手口が技術的な脆弱性というよりも、正規アプリと見分けがつかないほど精巧なUIの模倣によって成立している点にこそ危険性があると考える。ユーザー側がアプリの起動直後の画面表示を疑うことは現実的に難しいため、メール経由でのインストール自体を断つことが最も有効な防御策だと筆者は主張する。

正規アプリの画面上に偽ログイン画面を重ねる手口では、認証情報の入力そのものが攻撃のトリガーとなる。

正規アプリの画面上に偽ログイン画面を重ねる手口では、認証情報の入力そのものが攻撃のトリガーとなる。

遠隔操作への発展と複数機関での同時警戒

攻撃の危険性は、単なる画面の偽装にとどまらず、端末の遠隔操作へと発展している点にある。川崎信用金庫は10月14日、国税庁やインターネット通販会社を装ったメールから偽アプリをインストールさせ、金融機関のログイン情報を盗むフィッシング詐欺が一部の信用金庫で発生していると注意を呼びかけた。

同金庫は、正規アプリに偽画面を重ねる手口に加え、端末の遠隔操作被害も報告されていると説明している。

この手口は特定の機関に限局されたものではない。肥後銀行も9月18日、同様の手口について警告を発している。大阪シティ信用金庫アプリではこうした事象は確認されていないものの、すでに一部の信用金庫で同様の詐欺が発生しており、複数の金融機関が警戒を呼びかけている状況だ。

筆者は、遠隔操作が可能になった時点で、被害の性質が単なる情報の窃取から、資産の直接移動やさらなるマルウェアの配布といった制御権の奪取へと質的に変化したと考える。

正規アプリの起動直後の画面表示を疑うことが現実的に難しい以上、メール経由でのインストール自体を断つ防御策に加え、アプリの権限管理や端末の状態監視といった技術的な対策が不可欠だと筆者は主張する。

遠隔操作への発展を示す事例の存在は、攻撃が広範な金融機関を狙っている背景を裏付けている。

遠隔操作への発展を示す事例の存在は、攻撃が広範な金融機関を狙っている背景を裏付けている。

公式ストア以外からのインストールを拒否する判断基準

被害を未然に防ぐための第一歩は、アプリの入手経路を厳格に管理することである。各金融機関は、アプリを導入する際にGoogle PlayやApp Storeなどの公式ストアを利用し、提供元が不明なアプリをインストールしないよう呼びかけている。

これは、正規の配布チャネル以外からの導入が、偽ログイン画面を重ねる攻撃の入口となり得るためだ。また、メールやSMSに記載されたリンクから安易にアプリをインストールすることも避けるべきである。これらの経路は、正規ストアでの審査を回避して不正なアプリを端末へ侵入させる主要な手段として機能している。

不審なアプリを入れた場合や、偽画面にログイン情報を入力した可能性がある場合は、速やかに金融機関へ連絡し対応を確認すべきだ。筆者は、公式ストア以外からのインストールを拒否することがオーバーレイ攻撃への最も確実な防御だと考える。

正規アプリの起動直後の画面変化をユーザーが検知するのは困難であるため、そもそも不正なアプリが端末に存在しない状態を作ることが不可欠だからだ。

提供元不明のアプリやメールリンクからのインストールを断つことが、正規アプリの信頼性を保つ前提条件となる。

これらの経路は、正規ストアでの審査を回避して不正なアプリを端末へ侵入させる主要な手段として機能している。

出典: https://otakuma.net/archives/2026102604.html

画像はAI生成のイメージです。