銀行アプリを開くと偽ログイン画面？偽アプリ詐欺の手口と対策

いつもの銀行アプリを開いたのに、表示されたログイン画面が偽物だったら？先に入れてしまった不正なアプリが、本物の画面に偽画面を重ね、入力情報を盗む手口が確認されています。銀行アプリを正規のものにしているだけでは、防ぎきれない場合があるんです。

『ハテナのつづき』のナギです。大阪シティ信用金庫が2026年10月21日に公表した注意喚起をもとに、誘導の流れと操作状況別の対処を整理しました。同金庫のアプリで、この事象が確認されたという発表ではありません。情報は2026年10月28日に確認しています。

大阪シティ信用金庫のアプリで被害が出たの？

ここは、見出しだけで誤解したくないところです。大阪シティ信用金庫の発表は、国税庁や企業を装ったメールから偽アプリを入れさせ、金融機関の認証情報などを盗む詐欺への注意喚起です。利用者全員に被害が出たという内容ではありません。

発表では「大阪シティ信用金庫アプリ」について、このような事象の発生は確認されていないと明記しています。発表した金融機関と、被害が確認された金融機関を同じものとして読むと、話が変わってしまいますね。

また、確認されていないという説明は、2026年10月21日付の資料に書かれた状況です。その後も含めて絶対に起こらないという保証ではなく、利用者への予防の呼びかけとして受け止めるのが適切です。

入口は銀行の連絡とは限らない

銀行の詐欺なら、銀行を名乗るメールに気をつければいい。そう考えがちですが、この手口の入口は税金の還付や企業ポイントの期限切れです。「お金が戻る」「ポイントを失いたくない」という気持ちから、アプリの導入へ誘導します。

大阪シティ信用金庫の資料にある誘導文言は「手続きにはアプリのインストールが必要である」。メールのリンクを開くと、偽のアプリストアへ進み、金融機関の偽アプリを入れるよう指示される流れです。

ただし、これは公表された手口の説明です。特定の件名や送信元、還付額、ポイント数が示されたわけではありません。同じ言葉があるかどうかだけで、届いた案内の真偽を決めることもできません。

本物を開いたのに、どうして偽画面になる？

わたしがこの手口で特に気になったのは、銀行アプリを開く動作自体はいつもどおりでも、入力先が偽物になり得る点です。ブラウザーで偽サイトを開かせるだけの詐欺とは、警戒する場面が少し違います。

肥後銀行の2026年9月18日付の注意喚起では、不正アプリによって端末の操作が外部から監視・制御される場合があると説明しています。銀行アプリの起動を検知し、正規画面の上に偽の入力画面を表示する仕組みです。

つまり、本物の銀行アプリそのものが偽物に置き換わるとは限りません。その上に別の画面がかぶさるわけです。見た目だけで見抜こうとするより、その前に入れたアプリや、許可した操作にも目を向ける必要があります。

入れる前に止まれる場所はここ

「アプリを入れてください」と書いてあるだけで、すべて詐欺と決める必要はありません。ただ、届いた案内から突然インストールを求められたら、その流れのまま進めないこと。手続きの必要性を公式の別経路で確かめたい場面です。

大阪シティ信用金庫は、同金庫アプリを入れる際はGoogle PlayやApp Storeを使い、提供元不明のアプリを入れないよう呼びかけています。リンク先がストアそっくりでも、外見だけでは公式ストアと判断できません。

肥後銀行は、心当たりのないアプリから端末の操作を広く許可する設定を求められた場合にも注意を促しています。先へ進むために警告を無視したり、意味の分からない許可を次々に押したりするのは、いったん止めましょう。

リンクを開いた、ダウンロードした段階なら

リンクを開いてしまった。そこで頭が真っ白になるかもしれませんが、閲覧、ファイルの保存、アプリのインストール、情報の入力は別の操作です。「開いたから必ず感染した」とも、「入力していないから大丈夫」とも一括りにはできません。

何も操作していなければ、案内のリンクを使わず、返信もせずに終了します。開いただけならページを閉じ、それ以上の入力やインストールをしないこと。通知を許可した場合は、利用中のブラウザーの公式手順で、そのサイトの通知許可を解除します。

Androidでアプリのファイルを保存しただけなのか、インストールまで進めたのか分からないときは、推測で済ませないでください。IPAも、本人が導入作業と気づかず操作した事例を挙げています。携帯電話会社などへ操作内容を伝えて相談できます。

どこまで操作した？	その段階で行うこと
届いた案内を見ただけ	リンク・返信・添付ファイルの操作を避ける
リンクを開いた	ページを閉じ、入力やアプリ導入を中断する
ファイルを保存した	実行やインストールをせず、不要な保存ファイルを削除する
通知を許可した	ブラウザーの設定で対象サイトの通知許可を解除する
アプリを入れた・情報を入力した	端末の対処と金融機関への連絡へ進む

偽アプリを入れた疑いがあるときは

不審なアプリを入れた後なら、確認のために銀行アプリを何度も開くのは控えてください。端末の安全性に疑いがある状態では、同じ端末でログインやパスワード変更を続けるのも避け、別の信頼できる端末や電話で相談を進めます。

IPAが公開しているAndroidの不正アプリへの対処では、機内モードにしてWi-Fiも切り、通信を止めたうえでアプリを削除する流れを示しています。これは過去の偽SMS事例の対処で、今回の偽アプリを個別に解析した手順ではありません。

削除できたら完全に安心、とも言い切れません。IPAは影響範囲が不明なため初期化も推奨し、復元には不正アプリを入れる前のバックアップを使うよう説明しています。端末ごとに操作が違うので、削除や初期化に迷う場合は携帯電話会社などへ相談しましょう。

情報を入力したら、削除だけで終わらせない

ログインIDやパスワード、暗証番号などを入力してしまった場合は、利用している金融機関へ速やかに連絡します。不正な取引の有無と、口座やネットバンキングの停止が必要かを相談してください。偽アプリを消しても、既に渡った情報は取り戻せません。

連絡先は届いた案内や不審な画面から選ばず、金融機関の公式サイトや手元の正規の書類で調べます。パスワードの変更も公式の別経路で行い、同じものを他のサービスで使っていた場合は、そのサービス側も変更が必要です。

相談時には、受信日時、アプリ名、行った操作、入力した情報の種類を整理すると伝えやすくなります。原文や受信情報は改変せず保存し、追加で危険な画面を開く必要はありません。銀行への連絡を、証拠集めが終わるまで待つ必要もないんです。