PayPay不正送金　SMSの二段階認証は「簡単に突破される」

10月下旬、Xに上がった投稿が広がった。PayPayにひも付けていた銀行口座から、お金が全部なくなっていた、という。投稿した人は、親のPayPayが勝手に使われたと書いていた。自分のは大丈夫なのか、と思った人は多いはずだ。

ITmedia NEWSが10月29日に出した記事で、PayPayが原因を説明している。公式ストア以外の場所から配られる不正なアプリを入れると、スマホがマルウェアに感染する。そのスマホが第三者に遠隔で操作され、身に覚えのない送金や決済をされる、という流れだ。例に挙がったのが「TikTok 18+」という偽アプリ。大阪府警も9月に注意を呼びかけていて、TikTokとは一切関係がないと書いている。

被害の中身は、ENCOUNTの記事に出ている。北陸で自営業をしている50代の男性の話だ。8月25日の朝、SNSで流れてきた「TikTok18」というアプリを入れかけたが、途中で不安になってやめた。それでも、スマホには入られていたらしい。10月26日の夕方、地方銀行のアプリを開くと、3回に分けてPayPayへチャージされ、そのまま知らない相手に送られていた。合わせて約30万円。口座の残高は4660円になっていた。PayPayの残高そのものは変わっていなかったので、しばらく気づかなかったという。

二段階認証は、なぜ効かなかったのか

PayPayが挙げた対策は4つある。公式ストア以外からアプリを入れない。VPN接続やフルコントロール、アクセシビリティサービスなど、外から操作できる権限を許さない。「支払い」「送る」「チャージ」の使える上限額を先に決めておく。取引履歴を見て、身に覚えのない送金がないか確かめる。どれも、入り口をふさぐ話だ。

では、SMSに届くコードを入れる二段階認証はどうなのか。女性自身の記事で、ITジャーナリストの鈴木朋子さんが答えている。偽アプリの画面オーバーレイという機能を使われると、「これは、リモートで見られてしまっているので、簡単に突破されてしまいます」と話す。指でなぞるパターンロックも見破られる、とも話している。操作されている間、画面はスリープ中のように見せかけられるそうだ。

鈴木さんが効くと言ったのは、顔認証や指紋認証だ。「対象者の身体が認証に必要になるので、犯罪者側も遠隔では盗むことができません」。設定を正しくしていたつもりでも、SMSのコードだけで守っていた人は、守れていなかったことになる。

ネットの評判

Xでは「PayPayを銀行連携しているけど怖い」「不安なので銀行連携を切った」という声が広がったと、ITmedia NEWSは書いている。連携そのものをやめる動きだ。一方で、PayPayのシステムが破られたわけではなく、スマホが乗っ取られたのが原因だと説明する投稿も出ている。

そこに、話をややこしくした出来事が1つある。PayPayは、秋田銀行、池田泉州銀行、鳥取銀行、四国銀行、大分銀行、西日本シティ銀行の6行について、口座からのチャージと新規の口座登録ができなくなると告知した。期間は10月30日の23時から31日の23時59分まで。まとめサイトでは、不正利用の報告が相次いだ話と並べて「地銀からのチャージと口座登録を停止」と紹介された。だが、PayPayの告知に書かれた理由は「金融機関による計画メンテナンスの影響」で、不正利用への対応とは書かれていない。

返ってくるまで、2〜3か月

では、盗られたお金はどうなるのか。PayPayには補償の仕組みがある。条件は、損害が出た日から60日以内に申し込むこと、警察に被害届を出すこと、家族や同居人の利用ではないこと、初回の申請か前回から1年を超えていること、会社の審査を通ること。eKYCを先にやっておくと確認が早いという。

ただし、PayPayのヘルプにはこう書いてある。「被害に遭われたかたに故意または重大な過失などがあった場合は、補償できない場合があります」。重大な過失に当たるかどうかを決めるのは、会社の審査だ。

かかる時間も書いてある。申請の日から、約2〜3か月。状況によっては3か月以上かかることもある、とある。30万円が戻るまで、長ければ3か月以上。その間の暮らしは、自分で回すことになる。