不正送金・マルウェア遠隔操作・なりすまし対策不正アクセスモバイルアプリマルウェアフィッシング本人確認（eKYC）

PayPay「銀行口座から勝手に抜かれた」騒動の真相｜偽アプリ遠隔操作の手口とICチップ本人確認への一本化

2026年10月27日

PayPay株式会社（および決済サービス利用者全般）

影響規模：全国のスマホ決済利用者対象（eKYC変更は2026年11月上旬〜）

PayPay「銀行口座から勝手に抜かれた」騒動の真相｜偽アプリ遠隔操作の手口とICチップ本人確認への一本化

SNSで拡散された「PayPayから勝手にお金が抜かれた」騒動の概要と事実関係

2026年10月に入り、X（旧Twitter）などのSNS上で「PayPayが不正アクセスを受け、紐づけていた銀行口座からお金が勝手にすべて引き出された（不正送金された）」という投稿や噂が相次いで拡散され、多くのキャッシュレス決済利用者の間で不安が広がっています。

この騒動に関して、X上で注目を集めた解説投稿（@omurice_brand 氏等による整理）や、警察（大阪府警サイバー犯罪対策課など）・PayPay公式の発表およびセキュリティ機関の一次情報を照合すると、「銀行口座からチャージされ不正送金される被害が起きていること自体は事実だが、PayPayのシステム自体がハッキングされたわけではない（半分本当で半分誤解）」というのが正確な実態です。

噂されている内容と、実際の事実関係の対比は以下のとおりです。

項目	SNS上で拡散された噂・誤解	一次情報・検証に基づく実際の事実関係
原因の所在	PayPayのサーバーや決済システム自体がハッキング（不正アクセス）された	PayPayのシステム自体が破られた事実はない。原因は利用者端末への不正アプリ（マルウェア）導入やフィッシング等による端末・アカウントの乗っ取り
被害の内容	普通に使っていただけなのに、突然紐づけ口座から全額抜き取られた	公式ストア外から偽アプリ（「TikTok18+」等）をインストールし権限を許可した結果、スマホが遠隔操作され、裏で勝手に口座チャージ・送金が実行された
画面の挙動	知らない間に裏で勝手に決済処理が走った	マルウェアの「画面オーバーレイ」機能でスマホ画面を真っ暗（スリープ風）に見せかけ、所有者が気づかないうちに裏でPayPayを自動操作していた
認証の突破	二段階認証やSMS認証、銀行アプリのログインまで突破された	端末自体が遠隔操作・画面監視されているため、届くSMS認証コードやロック解除パターン、偽ログイン画面（オーバーレイ）に入力した銀行パスワードがそのまま窃取された
銀行チャージ停止の噂	不正利用多発によりPayPayが銀行口座チャージを緊急全面停止した	金融機関側の計画メンテナンス等による一時停止が混同されたものであり、ハッキング被害による全面停止ではない

つまり、今回の騒動の本質は「決済プラットフォーム側のサーバー侵害」ではなく、「悪質な偽アプリ（マルウェア）によるスマートフォンの遠隔操作」および「外部流出情報・フィッシングを悪用したなりすまし」にあります。

自社のモバイルアプリや会員・決済システムに不正利用リスクがないか点検したい企業様へ

シースリーレーヴでは、スマートフォンアプリとバックエンドAPIの認証・認可不備やビジネスロジックの欠陥を攻撃者視点で検証する「モバイルペネトレーションテスト」および「Web診断クイックスキャン（10万円〜）」を提供しています。

無料でセキュリティ診断を相談するアプリセキュリティ診断の詳細を見る

検証：なぜ「画面が真っ暗なまま」口座から不正送金されるのか？

X上の解説投稿でも指摘されている「公式ストア外の偽アプリを入れると、画面を真っ暗に見せかけたまま裏でPayPayを起動され、口座からチャージ＆送金される」という手口は、大阪府警やセキュリティ専門機関が実際に警告しているマルウェアの挙動と完全に一致しています。

特に2026年夏頃から被害が急増しているのが、SNS広告やアダルトサイトのリンク等から誘導される偽アプリ「TikTok18+」などの不正なAndroidアプリ（APKファイル）です。攻撃が成立する技術的な4つのステップを解説します。

1. 公式ストア外からの偽アプリ（野良APK）のインストール

攻撃者は、SNS上の広告やショートメッセージ（SMS）、偽のランキングサイトなどを通じて「TikTokの成人向けバージョンが見られる」「特別な動画が見られる」などと謳い、Google Playなどの公式ストアではなく、外部サイトから直接アプリ（APKファイル）をダウンロード・インストールさせます。

2. 「ユーザー補助（アクセシビリティ）」と「画面オーバーレイ」権限の悪用

インストールした偽アプリを起動すると、動画再生や初期設定を装って、スマートフォンの根幹に関わる2つの強力な権限を要求してきます。

悪用されるOS権限	本来の用途	マルウェアに許可した場合に起きること
ユーザー補助（アクセシビリティ）	視覚や身体に障がいのあるユーザーの画面読み上げやタップ操作を補助する機能	攻撃者が外部から画面上のボタンを勝手にタップ・スワイプ・文字入力（自動操作・遠隔操作）できるようになり、画面に表示されるテキストやSMS認証コードもすべて読み取られる
他のアプリの上に重ねて表示（画面オーバーレイ）	チャットバブルやピクチャ・イン・ピクチャを別アプリの上に表示する機能	本物のアプリの上に「真っ暗な画面（偽のスリープ画面）」や「銀行・決済アプリそっくりの偽ログイン画面」を被せて表示できるようになる

3. 偽画面で暗証番号やロック解除情報を盗み取る

マルウェアは端末内のアプリ稼働状況を監視し、ユーザーが銀行アプリや決済アプリを開いた瞬間に、本物そっくりの偽ログイン画面（オーバーレイ画面）を上に重ねて表示します。ユーザーがそこに入力したログインID、パスワード、口座暗証番号、さらにはスマートフォンの画面ロック解除パターンやPINコードまでが攻撃者のサーバーへ送信されます。

4. 画面を真っ暗に見せかけた裏側でPayPayを起動・不正送金

必要な認証情報を把握した攻撃者は、夜間やユーザーがスマホを置いて目を離したタイミングを狙い、遠隔操作を開始します。

このとき、画面オーバーレイ機能を使ってスマホの表面上は「画面が真っ暗（電源が落ちている・スリープしている状態）」や「システムアップデート中」のダミー画面を表示させます。ユーザーからはスマホが何もしていないように見えますが、その裏側では「ユーザー補助」機能を通じてPayPayアプリが自動起動され、紐づけられた銀行口座からの高額チャージと、攻撃者の用意した受け取りアカウントへの「送る（送金）」処理が数分のうちに実行されてしまいます。

端末自体が乗っ取られているため、SMSで届くワンタイムパスワード（OTP）も画面上から直接盗み見られ、二段階認証すら突破されてしまうのがこの手口の極めて危険な点です。

その他の多発しているPayPay関連の不正利用・詐欺手口

遠隔操作マルウェア以外にも、2026年現在、以下の手口による被害が多数報告されています。

1. 「送る／受け取る」機能を悪用した架空請求・送金詐欺

携帯料金、税金、公共料金、通販サイトの未払いなどを装う偽のSMS・メールから誘導し、PayPayの「送る／受け取る」機能を悪用してユーザー自身に送金ボタンを押させる手口です。メール内のURLをタップすると直接PayPayアプリの送金画面が立ち上がり、「支払い手続き」だと思い込んで送金してしまうケースが後を絶ちません。

2. 外部連携サービス（Yahoo! JAPAN ID・Google・Apple等）の乗っ取り

他社サービスから漏えいしたメールアドレスやパスワードのリスト（リスト型アカウントハッキング）やフィッシングサイトによって、PayPayと連携しているYahoo! JAPAN IDなどの外部アカウントが乗っ取られ、紐づいた決済手段が悪用されるケースです。

2026年10月23日発表：本人確認（eKYC）の「書類撮影」廃止とICチップ一本化

こうした不正利用や、相次ぐ他社サービスからの個人情報・身分証画像の漏えい事案を受け、PayPay株式会社は2026年10月23日、本人確認（eKYC）における「本人確認書類の撮影による申請」を2026年11月上旬までに廃止し、マイナンバーカードや運転免許証の「ICチップ読み取り方式」へ一本化すると発表しました。

項目	変更前（〜2026年10月）	変更後（2026年11月上旬〜）
本人確認の方法	・マイナンバーカード／運転免許証のICチップ読み取り・書類をスマホカメラで撮影してアップロード	マイナンバーカードまたは運転免許証の「ICチップ読み取り方式」に統一（※撮影による申請を全面廃止）
運転経歴証明書の扱い	カメラ撮影による本人確認書類として利用可能	2026年10月23日をもって取扱終了
実施の背景・目的	利便性を考慮し画像撮影方式も併用	相次ぐ他社での本人確認書類画像流出を受け、流出画像や偽造券面を使った「なりすましアカウント開設・不正送金」を阻止するため（2027年4月施行の改正犯収法を前倒し適用）

近年、企業の会員システムや外部委託先へのサイバー攻撃により、運転免許証などの画像データが大量に漏えいする事件が相次いでいます。従来の「カメラ撮影方式」では、流出した他人の身分証画像や精巧な偽造カードを用いて第三者が不正に本人確認済みアカウントを開設し、不正送金の受け皿（マネーミュール口座）として悪用するリスクが指摘されていました。

ICチップ読み取り方式（公的個人認証サービス／JPKI等）へ一本化することで、物理的なカードの所持と暗証番号・電子証明書の照合が必須となり、なりすましによる不正アカウント作成を強力に封じ込める狙いがあります。

利用者が今すぐ実践すべき5つの自衛策と被害時の初動対応

PayPayをはじめとするスマホ決済を安全に利用するため、個人ユーザーおよび企業のスマートフォン管理担当者は以下の対策を徹底してください。

今すぐ行うべき5つの予防策

公式ストア（App Store / Google Play）以外から絶対にアプリを入れない：SNS広告やSMS、Webサイトから直接ダウンロードさせるアプリ（「TikTok18+」等のAPKファイル）は100%マルウェアとみなして拒否してください。Android端末では「提供元不明のアプリのインストール」を許可しない設定にします。
「ユーザー補助」や「画面オーバーレイ」権限を安易に許可しない：動画アプリやユーティリティアプリが「ユーザー補助（アクセシビリティ）」の有効化を求めてきた場合は、遠隔操作マルウェアを疑い、直ちにキャンセルしてアンインストールしてください。
PayPayの「利用可能額の設定」を引き下げる：万が一の乗っ取りや遠隔操作に備え、PayPayアプリの［アカウント］＞［セキュリティとプライバシー］＞［利用可能額の設定］から、1日・1ヶ月あたりの決済・チャージ・送金上限額を普段使う最小限の金額（例：数千円〜数万円）に設定しておきます。
ログイン中の端末管理と外部連携を見直す：［セキュリティとプライバシー］＞［端末の管理］から、身に覚えのない端末がログインしていないか確認し、不要な端末はすべてログアウトさせます。
メール・SMSのリンクから直接立ち上がる送金画面で決済しない：公的機関や通信キャリアが、SMSのリンクからPayPayの「送る」機能を使って未納料金を回収することは絶対にありません。

万が一、不正アプリを入れてしまった・不正利用された場合の初動対応

STEP 1：機内モードへの切り替えと不正アプリの削除 怪しいアプリを入れてしまった、または画面が勝手に動く・不自然に暗転する場合は、直ちに「機内モード」をオンにしてWi-Fi・モバイル通信を遮断し、遠隔操作を止めたうえで該当アプリをアンインストール（必要に応じて端末を初期化）します。
STEP 2：PayPayサポート窓口および連携銀行への連絡 取引履歴に身に覚えのないチャージや送金がある場合は、直ちにPayPayの専用窓口へ連絡してアカウントの一時停止を依頼し、連携している銀行口座の利用停止・パスワード変更を行います。
STEP 3：警察への相談・被害届の提出と補償申請（発覚から60日以内） PayPayには第三者による不正利用に対する全額補償制度がありますが、「被害発覚から60日以内の申請」および「警察への被害届の提出（受理番号等の控え）」が条件となります。速やかに最寄りの警察署またはサイバー犯罪相談窓口（#9110）へ相談してください（※ただし、利用者自身の重大な過失による操作等と判定された場合は補償対象外となるケースがあるため、予防が最優先です）。

モバイルアプリ・決済連携サービスを運営する企業が確認すべき5つの対策

今回の騒動は個人利用者への注意喚起にとどまらず、公式アプリや会員基盤、決済・口座連携機能を提供するすべての企業にとって重要な教訓を含んでいます。自社のサービスがなりすましや不正操作の踏み台にされないため、以下の5点を点検してください。

1. モバイルアプリにおける不正環境検知（オーバーレイ・アクセシビリティ悪用対策）

金融・決済機能や重要な個人情報を扱うモバイルアプリでは、OS標準の保護機能に加え、悪意ある画面オーバーレイ（Tapjacking / Overlay Attack）の検知・遮断や、不審なアクセシビリティサービスが有効化されている環境での重要操作（送金・口座連携・認証設定変更）の制限、ルート化／脱獄（Jailbreak）検知などの実装を検討する必要があります。

2. 本人確認（eKYC）の厳格化とICチップ方式への移行

2027年4月の改正犯罪収益移転防止法施行に向け、PayPayと同様に画像アップロード型の本人確認からマイナンバーカード等のICチップ読み取り（JPKI）方式への移行を進めることが不可欠です。また、システム内に本人確認書類の画像データを不必要に長期保存しないデータライフサイクル設計が求められます。

3. 高リスク操作時のステップアップ認証と上限・速度制限（レートリミット）

新規端末からのログイン時、高額チャージ時、初回送金先への送金時など、リスクの高いトランザクションが発生した際には、通常のセッション維持だけでなく生体認証や追加認証（ステップアップ認証）を要求する設計にします。あわせて、短時間での連続チャージや全額出金を自動検知して一時保留する不正検知ロジックが重要です。

4. 外部ID連携（OAuth / OIDC）およびバックエンドAPIの認可制御

外部アカウント連携やモバイルアプリ向けAPIにおいて、トークンの窃取・リプレイ攻撃への耐性や、オブジェクト単位の認可制御（BOLA / IDOR対策）が適切に実装されているかを検証します。

5. 攻撃者視点でのモバイルアプリ・APIペネトレーションテストの実施

ソースコード診断や自動スキャンだけでは、端末側の権限悪用、アプリのリバースエンジニアリング（改ざん）、API通信のパラメータ改ざん、決済・送金フローのビジネスロジック悪用までは見抜けません。リリース前および定期的なモバイル＆Web APIペネトレーションテストによって、実環境での悪用可能性を検証することが有効です。

モバイルアプリ・会員システムの安全性を確認したい企業へ

スマートフォンアプリや決済・会員管理システムを狙う攻撃手口は年々巧妙化しており、アプリ本体の防御とバックエンドAPI・認証基盤の双方を一体で点検することが不可欠です。

アプリセキュリティ診断 — iOS / Androidアプリのリバースエンジニアリング耐性、端末内データ保護、API通信の脆弱性を徹底診断
Webアプリセキュリティ診断 — 認証・認可突破や決済・送金フローのビジネスロジック悪用を専門家が詳細に診断
ペネトレーションテスト — 攻撃者視点で重要データや決済基盤への侵入・悪用可能性を実践的に検証
Web診断クイックスキャン — 10万円〜・最短数日で公開WebシステムやAPIの重大な脆弱性を迅速に点検
脆弱性診断サービス — 外部公開サーバー・クラウド・Webアプリのリスクを網羅的に洗い出し

「自社の会員アプリや決済連携機能にセキュリティ上の穴がないか確認したい」「予算やスケジュールに合わせて最適な診断プランを知りたい」という企業様は、まずはお気軽にご相談ください。

モバイル・Webのセキュリティ診断を無料で相談するサービス資料をダウンロード

よくある疑問

Q. SNSで話題の「PayPayで銀行口座からお金が勝手に抜かれた」というのは、PayPayのシステムがハッキングされたのですか？

A. いいえ。PayPay自体のサーバーや決済システムがハッキング（不正アクセス）されたという事実はありません。実際に発生している被害の多くは、利用者が公式ストア（App StoreやGoogle Play）以外から「TikTok18+」などの悪質な偽アプリ（マルウェア）をインストールしてしまい、スマートフォン自体が遠隔操作されて裏で勝手にチャージ・送金が行われたケースや、フィッシング詐欺・外部連携アカウントの乗っ取りによるものです。

Q. スマホの画面が真っ暗なまま裏で勝手にPayPayが操作されるのはどのような仕組みですか？

A. 不正なアプリをインストールした際、スマートフォンの「ユーザー補助（アクセシビリティ）」と「他のアプリの上に重ねて表示（画面オーバーレイ）」という2つの権限を許可してしまうことで発生します。攻撃者はオーバーレイ機能で画面上に「真っ暗なダミー画面（スリープ風画面）」を被せて所有者の目を欺きながら、裏側でユーザー補助機能を使って自動タップ操作を行い、銀行口座からのチャージと第三者への不正送金を実行します。

Q. なぜSMS認証や銀行アプリのログインパスワードまで突破されてしまうのですか？

A. スマートフォン自体がマルウェアに監視・遠隔操作されているためです。本物の銀行アプリを開いた瞬間にマルウェアが「偽のログイン画面」を重ねて表示し、入力したパスワードや暗証番号を盗み取ります。また、端末に届くSMSの認証コード（ワンタイムパスワード）や画面ロックの解除操作もリアルタイムで攻撃者に読み取られるため、二段階認証も突破されてしまいます。

Q. PayPayが2026年11月に本人確認（eKYC）の「書類撮影」を廃止し、ICチップ読み取りに一本化するのはなぜですか？

A. 近年、他社サービス等へのサイバー攻撃によって運転免許証などの本人確認書類の画像データが漏えいする事案が相次いでいるためです。流出した画像データや偽造カードを使って別人になりすまし、不正送金の受け皿となるアカウントを開設する手口を防ぐため、2026年11月上旬までにカメラ撮影による申請を廃止し、偽造が困難なマイナンバーカードや運転免許証の「ICチップ読み取り方式」へ統一されます。

Q. PayPayの不正送金被害を防ぐために、利用者が今すぐできる対策は何ですか？

A. 第1に、公式ストア（App Store / Google Play）以外からアプリを絶対にインストールしないこと、また不審なアプリに「ユーザー補助」権限を与えないことが最も重要です。第2に、PayPayアプリ内の［アカウント］＞［セキュリティとプライバシー］＞［利用可能額の設定］から、決済・チャージ・送金の上限額を必要最小限に引き下げておくことで、万が一の際にも高額被害を防ぐことができます。

まとめ

SNSで拡散されている「PayPayに紐づけた銀行口座からお金が抜かれた」という騒動の真相は、PayPay自体のシステム侵害ではなく、公式ストア外の偽アプリ（「TikTok18+」等）によるスマートフォンの遠隔操作（ユーザー補助・画面オーバーレイの悪用）やフィッシングによる乗っ取りです。

また、PayPayは他社での身分証画像流出に伴うなりすまし対策として、2026年11月上旬までに本人確認（eKYC）を「ICチップ読み取り方式」へ一本化します。利用者は公式ストア外アプリの排除と「利用可能額の設定」の見直しを徹底し、アプリ運営企業は端末側の不正操作検知やAPI認可制御、ペネトレーションテストによる安全性検証を継続的に実施することが重要です。