不正アプリでスマホ遠隔操作、全国初の逮捕 届いた偽アプリ誘導メールも同じ手口でした
朝刊をひらいたら、気になる見出しが目に入りました。「不正アプリでスマホ操作」「全国で被害 初の逮捕」。読んだ瞬間に、ここ数日このブログで調べてきた詐欺メールの画面が頭に浮かびました。今回は、その報道と、実際に届いたメールを見比べてみます。
1. 何が起きたのか（報道の要点）
福岡県警などの合同捜査本部が、11月10日までに中国籍の男2人を詐欺などの疑いで逮捕しました。共同通信や時事通信によると、疑いの内容は次のとおりです。
- 9月、指示役とみられる人物と共謀し、不正アプリを入れさせた兵庫県の60代男性のスマホを遠隔操作した疑い。
- 電子決済サービスを使い、福岡市内の店で約57万円分のトレーディングカードをだまし取った疑い。
- 同じ手口の被害は8月から各地で相次いでおり、逮捕は全国で初めて。警察庁によると、9月末時点で全国から約1600件の相談が寄せられています。
朝日新聞は、使われた偽アプリがTikTokのアダルト版をうたう「TikTok18＋」で、SNS内の広告などを通じて被害者に入れさせたとみられると伝えています。品物は転売されたとみられ、2人は同じ手口で2度逮捕されており、被害総額は約200万円とのことです。
※逮捕された2人は容疑段階で、認否などの報道内容は社によって異なります。この記事では、各社が一致して伝えている事実だけを紹介しています。
2. 「遠隔操作」されるとは、どういうこと？
💡ここで！ 言葉の解説
APK（エーピーケー）：Androidスマホ用のアプリを、1つのファイルにまとめたものです。本来はGoogle Playなどの公式ストアから入れますが、ウェブサイトから直接入れることもできてしまいます。
提供元不明のアプリ：公式ストア以外から入れるアプリのことです。許可の設定を入れないと、通常は入れられません。
ユーザー補助（アクセシビリティ）：目や手が不自由な方のために、画面を読み上げたり、代わりに操作したりする機能です。悪いアプリがこの権限をもらうと、画面の中身を読み取り、持ち主の代わりにタップできてしまいます。
つまり、「提供元不明のアプリ」の許可と「ユーザー補助」の許可をそろって渡してしまうと、スマホの操作権限そのものを他人に渡すことになります。その結果、決済アプリを勝手に開かれ、買い物や送金をされてしまうのです。
3. 被害の流れ
- 入口：SNS広告、メール、SMSなどで「アプリを入れてください」と誘われる。
- 偽アプリを入れる：公式ストアそっくりの偽ページから、アプリ本体（APK）を入れさせられる。
- 権限を渡す：「許可してください」の案内どおりに操作すると、操作権限が相手に移る。
- 遠隔操作：持ち主が気づかないうちに、決済アプリなどを操作される。
- 換金：電子決済でカードやゲーム機などを買い、転売する（朝日新聞の報道による）。
入口については、警察庁の注意喚起（Cyber Police Agency Letter 2026 Vol.18）が、「SNS広告」「メールやSMSのリンク」「SNSで知り合った相手」の3つを挙げています。日本サイバー犯罪対策センター（JC3）の10月15日付の注意喚起では、国税庁など公的機関を装ったメールからの誘導も確認されたと報告されています。
4. 実は届いています：当ブログで調べた6本の実例
今回の事件で、メールが入口だったという報道はありません。ただ、当ブログのメールボックスには、偽アプリを入れさせようとするメールが、ブランドを変えながら毎日のように届いています。ここ10日ほどで記事にした6本を、表にまとめました。
| 装われた相手 | 公開日 | パソコンで開くと | スマホで開くと | 偽アプリの案内 |
| 補助金ポータル① 補助金ポータル② | 11/1 11/2 | スマホ用のQRコードを表示 | Google Play風の偽ページ | あり（apkの案内） |
| 日本年金機構 | 11/4 | 本物のサイトや404エラーを表示 | 偽アプリの配布ページへ転送 | あり（提供元不明の許可手順つき） |
| Amazon | 11/6 | 「システムメンテナンス」とQRコード | 「Amazon追跡」アプリのストア風ページ | あり（許可手順を図解） |
| 中央調査社（内閣府の世論調査） | 11/10 | 本物の内閣府ページを表示 | Google Play風の偽アプリ配布ページ | あり（許可手順を図解） |
| 三井住友カード | 11/10 | 「システムメンテナンス」とQRコード | 「アプリの更新が必要」という画面 | ボタンの先は未確認 |
ブランドはばらばらでも、パソコンでは無害な画面、スマホでは偽アプリの案内、という出し分けが共通しています。パソコンで確認した人や、セキュリティソフトの検査では、危険な部分が見えにくくなる仕掛けです。年金機構や内閣府の例では、わざわざ本物のページまで見せて安心させていました。その手間を別のところに回せば、もっとまっとうな仕事ができそうなものですが。
※三井住友カードの記事は、アプリの案内ボタンの先まで確認できていません。偽アプリへの誘導が確認できたのは、表のうち5行です。
5. サーバーを調べると見えたこと
記事ごとに調べたサーバーの情報を並べると、いくつかの共通点がありました。
- 送信元は海外のクラウド：メールの送信に使われたのは、いずれも海外のクラウドサービス上のサーバーです。確認できた中では、6本のうち4本がMicrosoft系のクラウドでした。クラウドは誰でも借りられるため、使っているのが誰かまでは分かりません。
- 偽アプリの配布先は「〜-jp.com」型：
kuaiyinfen-jp[.]com（年金機構）、xinyaojiancai-jp[.]com（中央調査社）、findmycollege-jp[.]com（Amazon）、cachedpage-jp[.]com（補助金）のように、名前の最後に「-jp」を付けたドメインが並びます。多くは、メールが届く直前に登録されたばかりです。「jp」と付ければ日本のサイトに見えると考えているようですが、名前の工夫はあまり感じられません。 - 同じサーバーの使い回し：年金機構と補助金①の偽アプリ配布ページは、同じIPアドレス（
34.97.104.133）に置かれていました。中央調査社とAmazonも、同じIPアドレス（34.97.138.65）です。どれもGoogleのクラウド上のIPで、ブランドが違っても同じ基盤が使われています。
※クラウドのIPアドレスが同じでも、同じ犯人だと断定できるわけではありません。「同じ基盤が使い回されている」という事実までが、確認できた範囲です。
6. 見分け方と、入れてしまったときの対処法
■ こんなときは要注意
- 「アプリを入れてください」と案内された：国や年金機構、カード会社が、メールのボタンでアプリを入れさせることはありません。公式アプリは、Google Playなどの公式ストアで自分で探してください。
- 「提供元不明のアプリを許可」の案内が出た：ここが分かれ道です。案内に従わず、その場で画面を閉じてください。
- 「ユーザー補助」の許可を求められた：見知らぬアプリには許可しないでください。
- SNS広告の「18+」「ポイントがもらえる」といったアプリ：JC3は、「得したい」「見たい」という気持ちにつけ込む偽アプリを注意喚起しています。
■ もし入れてしまったら
広島県警の注意喚起（PDF）などをもとにまとめた手順です。
- 機内モードにして、Wi-Fiも切る：犯人との通信を止めて、被害の広がりを防ぎます。
- 「設定」→「ユーザー補助」を開く：ダウンロードしたアプリがオンになっていたら、不正アプリの疑いがあります。
- 心当たりのないVPN設定がないか確認する：不正アプリが独自に作る場合があります。
- 不正アプリを削除する：アプリの詳細で、入手元がGoogle Play以外なら疑わしいアプリです。
- 別の端末から、パスワードを変える：感染したスマホで変えても、入力した内容を盗まれるおそれがあります。パスワードを変えるだけでは済まないため、決済サービスや銀行の利用履歴も必ず確認してください。
- 相談する：警察の相談窓口（#9110）、消費者ホットライン「188」、警察庁のサイバー事案に関する相談窓口があります。
予防の設定として、Androidでは「提供元不明のアプリは許可しない」状態にしておくことが大切です（大阪府警の注意喚起）。偽アプリへの注意は、福岡県警の資料でも案内されています。
本レポートの結論
今回の逮捕は、「メールやSNSの案内で偽アプリを入れさせ、スマホを遠隔操作する」という手口が、すでに現実の被害になっていることを示しています。当ブログに届くメールも、ブランドを変えながら同じ系統の手口を続けています。身近な人が被害に遭ってからでは手遅れです。この記事のURLをコピーして、家族のLINEグループで「これ気をつけて！」と共有してあげてください。
■ 出典
Data Provided by Heartland-Lab Security Research Unit
根拠データ参照元：ip-sc.net