偽の銀行アプリ、遠隔操作を許す権限はどこで見える？
画像出典: 写真: Shixart1985（CC BY 2.0 / Wikimedia Commons）
偽の銀行アプリや遠隔操作アプリによる不正送金は、ほぼすべてがメール・SMS・広告のリンクから公式ストア外のアプリを入れさせる形で始まります。見分ける決め手は「アクセシビリティ機能（ユーザー補助）」など強い権限を求めてくるかどうかで、スマホの設定画面からその権限を持つアプリを一覧で確認できます。正規のサポート窓口が遠隔操作アプリの導入や認証番号の入力を頼むことはありません。
スマホの銀行アプリを入り口にした不正送金は、金額が年々大きくなっています。警察庁の統計では、2025年のインターネットバンキング不正送金被害額は約103億9700万円で過去最悪でした。うち個人が約55%を占めます。
ただ、手口の入口はかなり限られています。不正送金の手口のうち約9割がフィッシング経由、つまりメール・SMS・広告のリンクから偽のサイトやストアへ連れていかれる形です。逆にいえば、入口を家族で一度そろえて確認すれば、かなりの部分は防げます。
難しい知識はいりません。スマホの設定を2〜3画面めくるだけで、費用は0円、今日終わります。
偽の銀行アプリはどこから入ってくる？
公表されている手口は、大きく2通りに分かれます。ひとつは、ネット閲覧中に「ウイルスが検出されました」「端末がロックされています」といった偽の警告画面を出し、画面に書かれた電話番号へ電話させるやり方です。電話口で「セキュリティ強化のため」と言われて遠隔操作アプリを入れさせられ、端末を乗っ取られてネットバンキングの認証情報を抜かれます。
もうひとつは、宅配事業者・ポイントサービス・金融機関・国税庁・航空会社・カード会社などを装ったメールやSMSのリンクから、公式ストア以外の偽アプリストアへ誘導されるパターンです。SNS広告では、正規アプリ名に「大人の」「18+」といった文言を足した名前で出してくる例も確認されています。誘導先のサイトは自然なコンテンツの流れを演出して、アプリの導入まで運んできます。
つまり、危ないのはアプリ本体そのものより「どこから入れたか」です。公式のApp Store／Google Play、あるいは銀行の公式サイトに置かれたリンク以外から入れたアプリは、名前やアイコンが本物そっくりでも疑っていい、という線引きになります。
遠隔操作とは、離れた場所にいる相手が自分のスマホの画面を見て、タップや入力を代わりにできる状態のことです。画面に出たワンタイムパスワードも相手から見えてしまうため、自分は何も振込操作をしていないつもりでも送金が成立します。SNSで知り合った相手やSNS広告から入れた不正アプリで、キャッシュレス決済サービスを遠隔操作され不正送金された被害も発生しています。
怪しいアプリを見分ける決め手は？
見分け方の核になるのは、求められる権限です。不正アプリは「アクセシビリティ機能（ユーザー補助）」など、スマホ上の高い権限を要求する傾向があります。これは本来、画面の読み上げや自動操作を助けるための機能で、許可するとアプリが画面の内容を読み取り、操作を代行できるようになります。許可した時点で、端末が遠隔操作可能な状態になってしまう権限です。
家計簿アプリや銀行アプリが、この権限を要求する理由はありません。インストール中や初回起動時に「ユーザー補助を有効にしてください」と案内されたら、そこで手を止めるのが分かれ目になります。
- メール・SMS・SNS広告のリンクから辿り着いたアプリ
- 公式のApp Store／Google Play以外の画面からのダウンロード
- 「ユーザー補助」「アクセシビリティ」の有効化を求めてくる
- 電話口のサポート担当や銀行員を名乗る相手に指示されて入れようとしている
- 正規アプリの名前に見慣れない言葉が足されている
判断に迷ったときの基準は1つで足ります。正規のサポート窓口が、遠隔操作アプリのインストールや認証情報の入力、振込操作を依頼することはありません。相手が銀行名を名乗っていても、この依頼が出てきた時点で正規ではない、と切ってしまって構いません。
今日家族で確認する手順は？
所要時間は1台あたり5分ほどです。子どものスマホや、離れて暮らす親の端末も同じ手順で見られます。
- 強い権限を持つアプリを一覧で見るAndroidは「設定」から「ユーザー補助（アクセシビリティ）」を開き、オンになっているアプリを確認します。見覚えのない名前、入れた記憶のないものがあればオフにします。iPhoneは「設定」→「アクセシビリティ」と、「設定」→「プライバシーとセキュリティ」→「画面収録」などの項目を順に見ていきます。
- アプリの提供元を見る銀行アプリは一度アンインストールして、銀行の公式サイトに置かれたリンク、または公式ストアの検索から入れ直すのが確実です。ストアの表示名だけでなく、提供元（開発元）の名義が金融機関名になっているかを見ます。
- 入れた記憶のないアプリを消す不正の可能性があるアプリは、ためらわず削除します。心当たりのないアプリが並んでいる時点で、すでに別の経路が開いている可能性があります。
- 生体認証とワンタイムパスワードを有効にする多くの銀行アプリが、指紋・顔認証によるログインとワンタイムパスワードを用意しています。三井住友銀行の「SMBCセーフティパス」は、登録済みのスマホ端末でのみ生体認証ログインができる仕組みで、他の端末からの不正アクセスを防げます。三菱UFJ銀行のアプリもTouch ID／Face IDでのログインとワンタイムパスワード生成に対応しています。
- 家族の合言葉を決める「アプリを入れろと電話で言われたら、入れる前に必ず家族に言う」。この一行だけ共有しておきます。手口の多くは電話口で急かす形なので、相談を1回挟むだけで止まります。
ここまでの5つはすべて0円でできます。銀行アプリの生体認証やワンタイムパスワードはアプリ内の機能で追加料金がかからず、カード型のパスワード生成機を使う場合も、三井住友銀行・三菱UFJ銀行では発行手数料は無料です（有料の機器を別途契約する場合でも、市販のセキュリティアプリは年1000円〜5000円程度が目安）。一方で、不正送金の被害額は個人の1件あたりでも数十万円規模になり得ます。5分の確認でその金額の損失を避けられる、という割り算になります。
OSの更新で画面の名前は変わることがあります。見つからないときは、設定画面の検索窓に「ユーザー補助」「アクセシビリティ」と入れると辿れます。
偽の警告画面が出てしまったら？
すでに警告画面が出ている段階なら、まだ被害は起きていません。やることは少ないほうが安全です。
- 画面を閉じる。閉じられなければ端末を再起動する
- 画面に表示された電話番号には絶対に電話をかけない
- ログイン情報・認証番号（ワンタイムパスワード）を他人に伝えない、求められても入力しない
- 不安なときは家族か警察、銀行の窓口に相談する
すでにアプリを入れてしまった、認証番号を伝えてしまったという場合は、銀行の相談窓口と警察に連絡します。三井住友銀行は24時間365日受付の窓口（03-5363-7370）を設けています。他の銀行も公式サイトに不正利用の連絡先を出しているので、口座を持っている銀行の番号を家族のスマホに登録しておくと、慌てた場面で探さずに済みます。相談は無料です。
権限の確認は「すでに入ってしまったもの」を見つける手段で、新しい手口をすべて止められるわけではありません。法人向けでは、偽メールのリンクから「セキュリティ強化のためのソフト」と称する遠隔操作ソフトを入れさせ、PCを遠隔操作してネットバンキングのID・パスワードを盗む手口も確認されています。自宅のパソコンを仕事に使っている場合は、スマホと同じ考え方で、公式以外から入れたソフトを点検しておくほうが確実です。
被害は今どうなっている？
| 2025年の不正送金被害額 | 約103億9700万円（過去最悪） |
|---|---|
| うち個人／法人の割合 | 個人 約55%／法人 約45% |
| 2026年上半期の不正送金被害額 | 約20億7000万円（前年同期比51%減） |
| フィッシング報告件数 | 245万4297件（過去最多） |
警察庁統計に基づく報道および警察庁サイバー警察局の公表資料（2026年9月10日）をもとに作成
金額が減っているのは、銀行側の対策と利用者側の警戒が効き始めている面があります。それでも偽サイトの報告件数は103万3675件に増えていて、入口の数が減ったわけではありません。減っているのは被害額で、狙われる回数ではないというのが今の状況です。だからこそ、権限の確認と家族の合言葉という、一度やれば効き続ける部分を先に固めておく価値があります。
よくある質問
銀行アプリが本物か確かめる方法はありますか？
公式のApp StoreまたはGoogle Playで検索し、提供元（開発元）の名義が金融機関名になっているかを確認します。銀行の公式サイトに置かれたアプリのリンクから入れるのも確実な方法です。メールやSMSのリンクから直接ダウンロードしたアプリは、名前やアイコンが本物と同じでも避けてください。
アクセシビリティ機能（ユーザー補助）の権限を許可すると何が起きますか？
アプリが画面の内容を読み取り、タップや入力を代行できるようになります。不正アプリはこの権限を要求する傾向があり、許可すると端末が遠隔操作可能な状態になります。画面に表示されるワンタイムパスワードも相手から見えるため、本人が操作しないまま不正送金が成立します。
銀行を名乗る人から遠隔操作アプリの導入を指示されました。従うべきですか？
従う必要はありません。正規のサポート窓口が、遠隔操作アプリのインストールや認証情報の入力、振込操作を依頼することはありません。相手が銀行名や警察を名乗っていても同じです。電話を切り、口座のある銀行の公式サイトに載っている窓口に自分からかけ直して確認してください。
不正アプリを入れてしまったかもしれないときは、どうすればいいですか？
不正の可能性があるアプリは直ちに削除し、銀行の相談窓口と警察に連絡します。三井住友銀行は24時間365日受付の窓口（03-5363-7370）を設けています。口座の入出金履歴も確認し、心当たりのない送金があれば銀行にその旨を伝えてください。
※記事で使用した内容・数値は変更される場合があります。最新情報は公式サイトをご確認ください。