今回は、Androidスマホで発生した不正利用の3つの根本原因と今すぐチェックすべき設定について解説していきます。
Androidスマホの自由度の高さを理解すると、同じような被害を防ぐことが出来ますので、この機会にしっかりと理解しておきましょう。
＜動画内容＞
「不正利用（不正送金）」の根本原因
① 「PayPayアプリ」の「セキュリティ対策」の甘さ
1. ①「PayPayアプリ」の「セキュリティ対策」の甘さ：「入力の識別」
2. ①「PayPayアプリ」の「セキュリティ対策」の甘さ：「パスコード入力」の「許可」
②「Androidスマホ」の自由度の問題
1. ②「Androidスマホ」の自由度の問題：「他のアプリを重ねて表示」
2. ②「Androidスマホ」の自由度の問題：「通知の確認、返信、管理」
3. ②「Androidスマホ」の自由度の問題：「不明なアプリのインストール」
③「利用者のミス」
1. ③「利用者のミス」：「強力な権限」を許可したのは「利用者のミス」
2. ③「利用者のミス」：PayPayの場合、「権限等の許可」をした回数は5回！
（まとめ）1つでも「阻止」する事が出来ていれば「銀行残高」は「ゼロ」にはならなかった！
1. まとめ：1つでも対策が出来ていれば「不正利用」は防げた！
「今すぐチェックすべき設定」
①「他のアプリに重ねて表示」
1.「特別なアプリアクセス」：①「他のアプリに重ねて表示」
②「通知の確認、返信、管理」
1.「特別なアプリアクセス」：②「通知の確認、返信、管理」
③「不明なアプリのインストール」
1.「特別なアプリアクセス」：③「不明なアプリのインストール」
④「ユーザー補助」
1.「アクセシビリティ（ユーザー補助）」：「スクリーンリーダー」「操作のコントロール」
やっておくと少しは効果がある通知設定～「機密性の高い通知」の「オフ」～
1.「通知」の「機密性の高い通知」の「オフ」：「効果」は限定的！でも「有益」！
詳しくは、下記の動画ご参照ください。（講座動画時間：15分37秒）
いつもご視聴ありがとうございます。
スマホのコンシェルジュです。
「PayPayで不正送金が発生し、銀行の残高がゼロ円になってしまった」というニュースが報じられました。
なぜそんなことが起きてしまったのかというと、3つの要因が重なってしまった事が原因です。
3つの要因のまず一つ目は、PayPayのセキュリティ対策の甘さです。
後程詳しく説明しますが、銀行からの送金チャージをパスコード入力でも実行できる仕組みにしていた点と、「プログラムによるパスコード入力」と「人の指によるパスコード入力」を識別していなかった点が原因です。
二つ目は、Androidスマホの自由度が高すぎることです。
本来は、端末OSで制御すべき権限をアプリにも与える事が出来るようになっており、今回の件ではAndroidのそうした仕様をうまく利用されてしまいました。
こちらも後程、詳しく説明致します。
三つ目は、利用者のミスです。
怪しいアプリ、今回は「TikTok18+」というアプリを公式ストアであるGoogle Playストア以外からインストールし、そのアプリに必要以上の権限を与えてしまった事が原因です。
今回はこの3つの要因が重なった事で、PayPayの不正利用、不正送金が発生しました。
ただしこれはたまたま、利用者の多いPayPayがターゲットになっただけで、これらは他のサービスでも発生する可能性があります。
今できる対策についても確認していきましょう。
利用者ができる対策としては3つ、
一つ目は、「不明なアプリのインストール」を許可しないことです。
二つ目は、「特別なアプリアクセス」を許可しないこと、三つ目は「アクセシビリティ」を許可しないことです。
それぞれ詳細については後程詳しくみていきます。
いずれにしても、「重要な権限を許可しない」ことが大切です。
また、今すぐチェックすべき設定についても、一緒に確認していきましょう。
まず一つ目は、アクセシビリティのチェックです。
後程詳しく説明をしますが、「スクリーンリーダー」、「操作のコントロール」に悪意あるアプリがないかをチェックすることが重要です。
二つ目は「特別なアプリアクセス」のチェックです。
「他のアプリ上に重ねて表示」、「通知の確認、返信、管理」に悪意あるアプリがないかをチェックする事が重要です。
この2つの権限は、非常に強力な権限で、簡単に許可すべき権限ではありません。
もし、悪意あるアプリにこれらを許可してしまうと防御不能になりますので、十分にご注意ください。
今回は、Androidスマホで発生した不正利用の3つの根本原因と今すぐチェックすべき設定について解説していきます。
Androidスマホの自由度の高さを理解すると、同じような被害を防ぐことが出来ますので、この機会にしっかりと理解しておきましょう。
スマホのコンシェルジュでは、豊富な指導実績をもとに、スマートフォンの使い方に関する動画を配信しております。
世代間の情報格差を少しでもなくせるようにと動画配信を行っておりますので、ぜひチャンネル登録をして他の動画についてもチェックしてみてください！
それでは今回もよろしくお願いします。
【目次】
「不正利用（不正送金）」の根本原因
① 「PayPayアプリ」の「セキュリティ対策」の甘さ
１．①「PayPayアプリ」の「セキュリティ対策」の甘さ：「入力の識別」
２．①「PayPayアプリ」の「セキュリティ対策」の甘さ：「パスコード入力」の「許可」
②「Androidスマホ」の自由度の問題
１．②「Androidスマホ」の自由度の問題：「他のアプリを重ねて表示」
２．②「Androidスマホ」の自由度の問題：「通知の確認、返信、管理」
３．②「Androidスマホ」の自由度の問題：「不明なアプリのインストール」
③「利用者のミス」
１．③「利用者のミス」：「強力な権限」を許可したのは「利用者のミス」
２．③「利用者のミス」：PayPayの場合、「権限等の許可」をした回数は5回！
（まとめ）1つでも「阻止」する事が出来ていれば「銀行残高」は「ゼロ」にはならなかった！
１．まとめ：1つでも対策が出来ていれば「不正利用」は防げた！
「今すぐチェックすべき設定」
①「他のアプリに重ねて表示」
１．「特別なアプリアクセス」：①「他のアプリに重ねて表示」
②「通知の確認、返信、管理」
１．「特別なアプリアクセス」：②「通知の確認、返信、管理」
③「不明なアプリのインストール」
１．「特別なアプリアクセス」：③「不明なアプリのインストール」
④「ユーザー補助」
１．「アクセシビリティ（ユーザー補助）」：「スクリーンリーダー」「操作のコントロール」
やっておくと少しは効果がある通知設定～「機密性の高い通知」の「オフ」～
１．「通知」の「機密性の高い通知」の「オフ」：「効果」は限定的！でも「有益」！
「不正利用（不正送金）」の根本原因
それではまずはじめに、今回発生した不正利用・不正送金の根本原因について、もう少し詳しく確認していきましょう。
① 「PayPayアプリ」の「セキュリティ対策」の甘さ
まず「PayPayアプリのセキュリティ対策の甘さ」についてです。
1. ①「PayPayアプリ」の「セキュリティ対策」の甘さ：「入力の識別」
PayPayアプリは人の指による操作とプログラムによる操作を識別していなかったため、今回プログラム入力による遠隔操作を阻止することができませんでした。
プログラムによる操作を許可しない仕組みにしていれば、不正利用を防ぐことが出来たとも言えます。
2. ①「PayPayアプリ」の「セキュリティ対策」の甘さ：「パスコード入力」の「許可」
また、銀行口座からの送金によるアプリへのチャージが、パスコード入力で承認可能となっていた点も、被害を拡大させてしまった要因の一つと言えます。
こちらを生体認証による承認だけにしていれば、ここまで被害が拡大する事はなかったはずです。
②「Androidスマホ」の自由度の問題
次に、二つ目にあった「Androidスマホの自由度」についても、もう少し詳しく確認していきましょう。
1. ②「Androidスマホ」の自由度の問題：「他のアプリを重ねて表示」
Androidスマホは自由度が高く、重要な権限をアプリに許可する事が出来るようになっています。
ただし時にそれがセキュリティ上問題となる場合があります。
「他のアプリを重ねて表示」という権限は、許可されたアプリは他のアプリを起動中でも、画面の上にそのアプリのアイコンを表示したりすることができるようになります。
ただこの権限が悪用されると重要な情報を盗み取られてしまいます。
たとえばパスコード入力の画面で利用者には見えない透明な膜のような画面を上に重ねて、入力内容を盗むことができます。
2. ②「Androidスマホ」の自由度の問題：「通知の確認、返信、管理」
もうひとつ「通知の確認・返信・管理」という権限は、これを許可したアプリが「スマホに届くすべての通知」を確認、返信、管理する事が出来るという強力な権限です。
これにより、プライベートなメールやメッセージの内容だけでなく、例えば「ワンタイムパスワード」なども通知経由で簡単に読み取ることが出来るようになってしまいます。
Androidにはプライベートな通知を非表示にする「機密性の高いコンテンツを表示しない」という設定もありますが、この機能はあくまで画面ロック時の通知を非表示にするだけなので、ロック画面を解除してしまうと通常通り通知内容が表示されます。
スマホの使用中に通知が届くと、結局通知の中身がすべて表示されてしまい、盗み見を防止する効果は限定的となります。
もともとこれはスマートウォッチとの連携においてウォッチが通知をチェックするための権限なのですが、スマートウォッチに関係のないアプリでも許可できる仕組みになっています。
加えて、この権限を悪用されてしまうと有料のSMSも勝手に返信出来てしまいます。
3. ②「Androidスマホ」の自由度の問題：「不明なアプリのインストール」
「不明なアプリのインストール」は、Google Playストア以外からのアプリのインストールを可能にする機能です。
これがオフの場合は、Google Playストアからしかアプリのインストールはできません。
Playストアで審査済みのアプリのみをインストールすることになる為、安全性は高いと言えます。
一方で、Chromeアプリで「不明なアプリのインストール」をオンにしてしまうと、Chrome経由でアプリのインストールが出来るようになります。
審査を通っていないアプリも自己判断でインストール可能となるため、中には危険なものも存在します。
③「利用者のミス」
では次に、三つ目にあった利用者のミスについても、もう少し詳しく確認していきましょう。
1. ③「利用者のミス」：「強力な権限」を許可したのは「利用者のミス」
スマホはアプリに権限を許可することで、アプリで出来る事が変わってきます。
アプリに権限を付与する場合には、必ずその許可を求めるポップアップが表示されます。
ここで許可をしなければ、悪意あるアプリも悪さは出来ません。
とはいえこうした表示が出たとしても意味がわからなければ、適当に「許可」の方を選んでしまう方も少なくないかと思います。
2. ③「利用者のミス」：PayPayの場合、「権限等の許可」をした回数は5回！
元に今回のPayPayの不正利用・不正送金に関しては、こうした許可を求める画面で許可の操作（実行を含む）を5回も行ってしまいました。
具体的にどういった表示が出たかと言うと、まず1回目が、「ブラウザでのアプリのダウンロードの許可」です。
「この種類のファイルはお使いのデバイスに損害を与える可能性があります。ダウンロードしますか？」というポップアップが表示されます。
2回目は、「提供元不明なアプリのインストール」の許可です。
「安全の為、お使いのスマートフォンではこの提供元からの不明なアプリをインストールする事は出来ません」というポップアップが表示され、不明なアプリのインストールをオンにする設定画面に移動させられます。
3回目は、アプリのインストール実行時の許可です。
「このアプリをインストールしますか？」と許可を求めるポップアップが表示されます。
4回目は、アプリ起動後のアクセシビリティ設定への誘導と許可です。
スマホの「ユーザー補助」設定にある「操作のコントール」等をオンにするように求めるポップアップが表示されます。
5回目は、端末OSの完全制御の許可です。
「このアプリにデバイスの完全な制御を許可しますか？」というポップアップが表示されます。
このように５回も許可を求めるポップアップが表示されたにも関わらず、すべて「許可」して進んでしまい結果として不正利用、不正送金に繋がってしまいました。
こうした権限許可の表示は盲目的に許可するのではなく、本当にその権限を与えてよいのかを考えるようにしましょう。
また、このように何回も許可を求められるという事は、相当に重要な権限をそのアプリに与えようとしているという認識を持つことも重要です。
（まとめ）1つでも「阻止」する事が出来ていれば「銀行残高」は「ゼロ」にはならなかった！
今回のPayPayの不正利用・不正送金は、3つの要因のうち、1つでも阻止することが出来れば、銀行残高が0円になる事はなかった事故と言えます。
1. まとめ：1つでも対策が出来ていれば「不正利用」は防げた！
PayPay側でも今後セキュリティ対策が更に強化されると考えられますが、利用者側も定期的に権限のチェックを行う事が重要です。
また、基本中の基本になりますが、アプリに権限を許可する場合には、一度立ち止まって、本当に必要な権限なのかをよく考える事も重要です。
「今すぐチェックすべき設定」
それでは最後に、今すぐチェックすべき設定について一緒に操作画面を見ながら確認していきましょう。
①「他のアプリに重ねて表示」
まずは、「他のアプリに重ねて表示」の設定についてです。
1.「特別なアプリアクセス」：①「他のアプリに重ねて表示」
まずは設定アプリを開きます。
画面を上にスライドし、③のアプリをタップします。
詳細画面が表示されたら④のように画面を上にスライドします。
一番下にある⑤の「特別なアプリアクセス」をタップします。
次の画面で⑥の「他のアプリを重ねて表示」をタップします。
画面を上にスライドしながらこの権限が許可されているアプリがないかを確認していきましょう。
すべてのアプリを許可しないにしていても、特に支障はありません。
例えばこの端末でこの権限を許可しているのは「電話アプリ」だけで、これは他のアプリを利用している際に着信があった場合、直ぐに出られるように画面上にポップアップを表示させるためです。
②「通知の確認、返信、管理」
二つ目は、「通知の確認、返信、管理」です。
1.「特別なアプリアクセス」：②「通知の確認、返信、管理」
先程の「特別なアプリアクセス」の画面で、「他のアプリを重ねて表示」の下にある①の「通知の確認、返信、管理」をタップします。
するとこの権限を許可しているアプリ、許可されていないアプリがそれぞれ表示されました。
こちらの端末では、「Android Auto」が許可されています。
これは車の運転中にスマホを操作することなく、ハンズフリーでメッセージの確認や返信をするためです。
一般的に許可が必要なものは、この「Android Auto」と「スマートウォッチ」の二つです。
利用しない場合は「許可しない」にして問題ありません。
その他のアプリに関しても使い方次第ではありますが、大半の方は「許可しない」で問題ありません。
③「不明なアプリのインストール」
三つ目は、「不明なアプリのインストール」です。
1.「特別なアプリアクセス」：③「不明なアプリのインストール」
先程の「特別なアプリアクセス」の画面で、①の「不明なアプリのインストール」をタップします。
アプリが一覧で表示されますので、すべてのアプリで「許可しない」になっていることを確認します。
仕事や特殊な事情がない限り、許可する可能性はほどんどありません。
④「ユーザー補助」
四つ目は、「ユーザー補助」です。
1.「アクセシビリティ（ユーザー補助）」：「スクリーンリーダー」「操作のコントロール」
設定アプリを開いて①のように画面を上にスライドし、②の「ユーザー補助」をタップします。
次の画面で「スクリーンリーダー」の項目に「TalkBack」以外のアプリが入っていないかを確認します。
問題がなければ、③のように画面を上にスライドし、「操作のコントロール」の項目に「スイッチアクセス」以外のアプリが入っていないかを確認します。
TalkBackとスイッチアクセスの二つはAndroidの公式アプリです。
通常利用ではOFFのままで問題ありません。
この項目に名前のないアプリ等が入っている場合には、悪意あるアプリである可能性があり、マルウェア感染も同時に疑われますので、十分にご注意ください。
やっておくと少しは効果がある通知設定～「機密性の高い通知」の「オフ」～
最後に効果は限定的と言えますが、機密性の高い通知を非表示にする通知設定についても一緒に確認していきましょう。
この設定をオフにしておくと、画面ロック時に機密性の高い通知の内容がロック画面に表示されなくなります。
1.「通知」の「機密性の高い通知」の「オフ」：「効果」は限定的！でも「有益」！
まずは設定アプリを開きます。
②のように画面を上にスライドし、③の「通知」の項目をタップします。
次に④のように画面を上にスライドします。
⑤の「機密性の高い通知」という項目が確認できると思いますので、オフになっている場合には、スライド式のボタンをタップしてオンにします。（オンではなく、オフが正しい設定です。逆になってしまっております。申し訳ありません。）
以上で、機密性の高い通知がオンになり、画面ロック時に重要な通知の中身が悪意あるアプリにも見れなくなります。
繰り返しになりますが、Androidスマホでは、「他のアプリに重ねて表示」、「通知の確認、返信、管理」、ユーザー補助にある「スクリーンリーダー」、「操作のコントロール」の許可には十分にご注意ください。
AndroidスマホはiPhoneに比べると上級者向けの設計になっています。
今回の設定も含め、悪意あるアプリが動作してしまわないよう、十分にご注意ください。
当動画は以上となります。
最後までご視聴いただきありがとうございました。
気軽にコメントや「チャンネル登録」をいただけますと幸いです。
また、「メンバーシップ」にて弊社動画のテキスト版も配信しておりますので、よろしければ是非ご登録ください。
それでは、次の動画でもよろしくお願いいたします。
「【今すぐ対策】「個人情報」が流出する根本原因と「究極の対策（データポイズニング）」」もご参照ください。
「【警告】「パスキー」は突破される！知っておくべき「パスキーの危険な抜け穴」とその対処方法」もご参照ください。
＜指導実績＞
三越伊勢丹（社員向け）・JTB（大説明会）・東急不動産（グランクレール）・第一生命（お客様向け）・包括支援センター（お客様向け）・ロータリークラブ（お客様向け）・永楽倶楽部（会員様向け）等でセミナー・講義指導を実施。
累計50,000人以上を指導 。
＜講義動画作成ポイント＞
個別指導・集団講座での指導実績を元に、わかりやすさに重点を置いた動画作成
その他の講義動画は下記の一覧をご参照ください。
＜その他＞
オンラインサポート（ライブ講座・ZOOM等でのオンライン指導）とオフラインサポート（出張指導・セミナー形式のオフライン指導）も実施中。詳しくはメールにてお問い合わせください。
【全店共通】
03-5324-2664
（受付時間：平日10時～18時）
