PayPayから勝手に送金される恐怖──偽アプリ「TikTok18+」がスマホの操作権限を奪う巧妙な手口

　「PayPayの履歴に、送った覚えのない送金があった」ーーネット掲示板を見ると、こんな悩みが散見される。単なる操作ミスと思われるケースもあるが、実は本人が知らないうちにスマホが乗っ取られ、PayPayが不正に送金されている事例が確認されている。 　PayPayは2026年9月7日、「不審なサイトやリンク先からのアプリのダウンロードにご注意ください」との注意喚起を出した。その不審なアプリのひとつと考えられるのが、「TikTok18+(プラス)」という名のアプリだ。大阪府警は9月16日、偽アプリ「TikTok18+」について警告した。「TikTok18+」は動画共有アプリ「TikTok」と類似する名前を名乗り、「TikTokのアダルトバージョン」などとうたっているが、TikTokとは一切関係がない。

　「PayPayの履歴に、送った覚えのない送金があった」ーーネット掲示板を見ると、こんな悩みが散見される。単なる操作ミスと思われるケースもあるが、実は本人が知らないうちにスマホが乗っ取られ、PayPayが不正に送金されている事例が確認されている。 　PayPayは2026年9月7日、「不審なサイトやリンク先からのアプリのダウンロードにご注意ください」との注意喚起を出した。その不審なアプリのひとつと考えられるのが、「TikTok18+(プラス)」という名のアプリだ。大阪府警は9月16日、偽アプリ「TikTok18+」について警告した。「TikTok18+」は動画共有アプリ「TikTok」と類似する名前を名乗り、「TikTokのアダルトバージョン」などとうたっているが、TikTokとは一切関係がない。

　この不正なアプリをインストールすることにより、スマホがマルウェアに感染し、スマホの情報が盗まれるとしている。被害はPayPayに限らず、個人情報やクレジットカード情報の流出、電話やメールの送信、カメラでの撮影などの可能性も考えられる。 ■偽アプリをダウンロードさせる理由 　今回の手口は、公式ストア以外から直接アプリを入れさせるもので、主にAndroidが狙われているとみられる。 　「TikTok18+」はSNSの広告やメールでインストールを誘う。Metaの広告ライブラリを見ると、配信前と思われる広告に今回と同様の動きをすると推測されるものが見つかった。

　広告の画像には「TikTok18+」としてTikTokのロゴを使った画像が使われている。文章には別の実在するアプリ名が表記されていた。AIを使って量産しているようで、似たような広告画像は複数存在した。 　被害者はこうした広告からアプリをダウンロード、インストールしてしまう。ここで注意したいのは、そのダウンロード画面がPlayストアやApp Storeといった公式ストアではないことだ。 ■公式ストア以外のアプリに潜む危険性

　公式ストアには審査があるが、外部のサイトから直接配られるアプリは誰のチェックも受けていない。外部サイトからアプリをダウンロードし、アプリを起動すると、いくつかの「許可」を求められる。中でも危険なのが、「ユーザー補助(アクセシビリティ)」と「画面オーバーレイ」の2つだ。 　ユーザー補助は本来、体の不自由な人のスマホ操作を助けるための機能だ。画面に表示された内容を読み取り、代わりにボタンを押すことまでできる。これを不正アプリに許してしまうと、スマホは外部から自由に操作できる状態になる。

　画面オーバーレイは、あるアプリの上に別の画面を重ねて表示する機能だ。悪用されると、持ち主には真っ暗な画面を見せておき、その裏で操作を進められる。本人はスマホがスリープしているだけだと思っているが、実際には決済アプリが開かれ、送金の手続きが進んでいる可能性がある。 　利用者からすれば、新たなアプリを1つ入れて、許可ボタンを何度か押しただけである。その数タップで、スマホの操作権限をまるごと渡してしまう。

　こうして持ち主が気づかないうちに、犯人は遠隔でPayPayアプリを開く。そして、送金機能を使って自分たちの用意したアカウントへ残高を送る。送金の手続きに必要なパスコードは、ユーザー補助の権限を通じて、持ち主が入力したときに盗み見ておけばいい。その間、持ち主のスマホの画面は真っ暗なままである。 　偽アプリが「TikTok」の名前をかたったのには理由がある。TikTokは誰もが知っている人気アプリだ。見慣れた名前があれば、「有名な会社のアプリなら大丈夫だろう」と警戒心が緩む。

　「大人向け」という誘い文句にも、計算が透けて見える。性的なコンテンツへの好奇心は、冷静な判断を鈍らせやすい。さらに、被害に遭っても「何のアプリを入れたのか」を家族や周囲に打ち明けにくい。 　発覚が遅れる理由はもう1つある。悪用されたのが、PayPayの送金機能だという点だ。PayPayを使っている人なら思い当たるだろうが、支払いのためにアプリを開く機会は多くても、取引履歴までは確認することは少ない。ホーム画面に残高は表示されるものの、文字は小さく目立たない。オートチャージを設定していれば、なおさら減りに気づきにくい。異変に気づくとすれば、残高が思っていたより減っていて、確認のために履歴を開いたときくらいだろう。

　ちなみに、PayPayが利用者に注意を呼びかけたのは今回が初めてではない。今年に入ってからだけでも、1月にはSIMスワップ詐欺、4月には同社をかたるフィッシングメール、5月には未払いや未納をかたるフィッシング、8月にはアカウントの不正利用や詐欺について、それぞれ注意喚起を出している。利用者が多いサービスほど、犯罪者にとっては格好の標的になるということだ。 ■不正にスマホを操作されないためにすべきこと

　被害を防ぐために、まず確認したい設定がある。 　1つ目は、公式ストア以外からアプリを入れる許可を出していないか、だ。Androidでは、公式ストア以外からアプリを入れるには、アプリごとにこの許可が必要になる。大阪府警も、提供元が不明なアプリは許可しない設定にしておくよう呼びかけている。「設定」の「不明なアプリのインストール」などを確認し、基本的にはオフにしておくと安心だ。 　2つ目は、「ユーザー補助」の権限を持つアプリの確認だ。不正アプリはこの権限を使ってスマホを操作する。「設定」の「ユーザー補助」にある「ダウンロードしたアプリ」という項目に身に覚えのないアプリがあったら要注意だ。もし項目自体が表示されなければ、該当するアプリは入っていない。メニューの名前や場所は機種によって異なるので、設定画面の検索欄に「ユーザー補助」と入れて探してほしい。

　iPhoneを使っている人も、確認しておきたい場所がある。「設定」にある「VPNとデバイス管理」だ。後述するように、iPhoneでは「構成プロファイル」を入れさせる手口が見られる。ここに身に覚えのないプロファイルがあれば、削除しておこう。 　3つ目は、決済アプリの認証を生体認証にしておくことだ。パスコードや画面をなぞるパターンは盗み見られるおそれがあるが、指紋や顔は本人の体がなければ通らない。遠隔から突破するのは難しい。

　そして、決済アプリの取引履歴を定期的に見る習慣をつけたい。前述のとおり、PayPayの送金は支払いのついでには気づきにくい。週に一度でも履歴を開けば、被害の早期発見につながる。 　もし不審なアプリを入れてしまった場合は、すぐにアプリを削除し、PayPayの取引履歴を確認する。身に覚えのない送金や決済があれば、PayPayの補償制度のヘルプページで条件を確かめ、申請を検討してほしい。PayPay自身もそう案内している。

　最後に、自分のスマホだけでなく、家族のスマホも一緒に点検してほしい。とくに、スマホの設定に詳しくない親世代の端末は要注意だ。設定画面を一緒に開いて確認するだけでも、被害を防げる可能性は高まる。 ■アプリストア以外も許可した「スマホ新法」 　今回の手口は、公式ストア以外から直接アプリを入れさせるもので、主にAndroidが狙われているとみられる。では、iPhoneなら安心かといえば、そうとも言い切れない。

　実は、「TikTok18+」と同じ誘い文句で、iPhoneの利用者に「構成プロファイル」を入れさせようとする例も見られる。構成プロファイルとは、本来は企業などが端末の設定をまとめて配布するための仕組みだ。筆者が確認した画面では、「tiktok成人版」と名乗るプロファイルが、ホーム画面にWebサイトへの入口を追加させようとしていた。このプロファイル自体に、Androidの不正アプリのような遠隔操作の機能はないが、iOSも標的にしていることがうかがえる。

　そして、iPhoneを取り巻く環境そのものも変わりつつある。2025年12月18日、「スマホソフトウェア競争促進法」、いわゆるスマホ新法が全面施行された。AppleとGoogleによるアプリ市場の寡占を是正し、競争を促すための法律だ。これを受けて、iPhoneでもiOS 26.2以降、App Store以外の「代替アプリストア」が使えるようになった。 　代替ストアの運営者には、悪意のあるアプリへの対応やチェック体制の整備といった要件が課されている。ただし、ストアごとのセキュリティやコンテンツの基準が、Appleと同じになるとは限らない。アプリの入手経路が増えれば、利用者が「どれが本物か」を見極めなければならない場面も増える。これまでプラットフォームが担ってきた安全の一部が、利用者の側に移されたと言える。

　いま利用者にできるのは、怪しいアプリやプロファイルを入れない、設定を見直す、履歴を確かめるといった自衛を、一人ひとりが積み重ねていくことしかないのだろう。