安心相談窓口だより

「佐川急便をかたるショートメッセージサービス（以下SMS）から偽のサイトに誘導され、スマートフォンに不審なアプリをインストールしてしまった」という相談は今年1月5件、2月3件、4月1件と、これまでわずかでした。しかし、7月の中旬から急増し7月の1か月間で110件にのぼりました。

佐川急便の偽サイトにはAndroid向けの不審なアプリをインストールさせるリンクが仕込まれています。これをAndroidスマートフォンにインストールした場合、自分のスマートフォンからも“佐川急便をかたるSMSが”不特定多数（自分のアドレス帳に無いあて先）に向けて送信されてしまう事象が確認されています。

図1.不審アプリをインストールするまでのステップと基本的な対策

不審なSMSのURLをタップしない

現在、佐川急便では、SMSによる不在通知の案内は行っていません。^{（脚注1）}よって、佐川急便と称して送られてくるSMSは偽物であると判断ができます。そのため、佐川急便をかたるSMSを受信しても、記載されているURLをタップしないようにしてください。

提供元不明のアプリのインストール許可を“オフ”にしておく

Androidスマートフォンのセキュリティ設定^{（脚注2）}で、「提供元不明のアプリ」をオフにしてください。今回の不審なアプリは、公式のアプリマーケット（Google Play等）からは配信されていません。公式マーケット以外からアプリをインストールしようとする場合、許可をオフにしていると、インストールをブロックする警告が一旦表示されます。そこから先の設定には進まず、インストールをキャンセルしてください。

図2：インストール許可設定の画面例

図3：インストールのブロック画面例

 

(脚注1)

佐川急便株式会社「佐川急便を装った迷惑メールにご注意ください」

(脚注2)

Android OSのバージョンにより設定方法が異なる場合があるため、不明な場合はお使いの携帯電話会社等にご確認ください。

Androidスマートフォンにおける、アプリインストールまでの主な流れと画面について解説します。

（1）佐川急便をかたった偽の不在通知のSMSを受信する。

※SMSで記載されているURLは実在とは異なる偽URLであり、複数種類のURLが確認されている。
図4：偽の不在通知のSMS画面例

（2）SMS内のURLをタップし、アクセスした結果、表示された佐川急便の偽サイト。

偽サイト内では、画面のどの領域をタップしても、アプリのダウンロードが始まってしまう。

図5：偽サイトのトップ画面

（3）ダウンロードしたアプリを、偽サイトに記載されている手順に従ってインストールする。

図6：偽サイトの手順説明画面

Googleの権限一覧画面によると、インストールしたアプリは、スマートフォンの下記の機能や情報にアクセスする権限を持っています。

これらの権限により例えば「スマーフォンを不正に操作される」「スマートフォン内の情報が外部に送信される」といった可能性が考えられます。

図7：アプリの権限一覧画面

今回の偽サイトから不審なアプリを入れたことによるスマートフォンへの影響の詳細はわかっていませんが、IPAによせられた相談内容から把握できた現象には以下のものがあります。

佐川急便の不在通知をかたるSMSを送信

• 不審なアプリをインストールしたスマートフォンからも、同じ内容のSMSが送信される。
• その宛先は被害端末内に登録されていた連絡先情報（電話番号）ではありません。
• 不審アプリをインストールした端末に、“1日あたりのSMS送信上限数に達した”というメッセージが表示される。
• 不審アプリをインストールしたスマートフォンから送信されたSMSを受信した相手に、当該スマートフォンの電話番号が知られてしまう。その結果、受信者から、当該SMSの真偽を問う電話やSMSが返信される。

スマートフォンと紐づくアカウントの不正利用の可能性

• 携帯電話会社が提供するキャリア決済サービスにて、身に覚えのないAppleデジタルコンテンツ等の請求が発生したという相談を数件確認しており、不正利用の可能性が考えらえます。
• Googleアカウントに身に覚えのないアクセス履歴があったという相談を数件確認しています。Googleアカウントや、スマートフォンで利用しているSNS等のサービスのアカウントへの不正ログインの可能性が考えられます。

スマートフォンを機内モードに

• スマートフォンを機内モードに設定してください。これにより、通信を無効化し、当該スマートフォンからSMSの送信を抑止することが可能です。また、当該スマートフォン内の情報が外部に送信されることもなくなります。

不審アプリのアンインストール

• 機内モードの状態で、佐川急便という名称のアプリのアンインストールを実施してください。アンインストールすれば、これ以降新たにSMSは送信されません。正規の佐川急便アプリを使用する場合は、別途Google Playからインストールするようにしてください。

アンインストール方法：設定⇒アプリ⇒佐川急便⇒アンインストール

図11：アプリ一覧画面

スマートフォンの初期化

• 不審なアプリのインストールによる、スマートフォン本体への影響範囲は不明です。そのため、より安全な対処として、アプリのアンインストールだけではなく、スマートフォンの初期化を推奨します。
• 初期化の実施後にデータの復元を行う際は、不審なアプリをインストールした時点より前のバックアップデータを使用してください。初期化の操作方法はお使いのスマートフォンを契約している携帯電話会社等にお問い合わせください。

アカウントのパスワード変更

• 初期化後にGoogleアカウント、およびスマートフォンで利用しているSNS等のサービスのアカウントのパスワードを変更してください。各アカウントのパスワードはできるだけ「長く」、「複雑」なものとしてください。そして、それらのパスワードを「使い回さない」ようにしてください。また、「2段階認証」が提供されている場合、利用することを推奨します。^{（脚注3）}

キャリア決済の請求確認

• 身に覚えのないキャリア決済の請求発生について不安がある場合は、お使いの携帯電話会社にそのような請求が発生していないか確認してください。