偽TikTokはどこから入った？PayPay被害の仕組みと今すぐやる対策

「PayPayの履歴に、送った覚えのない送金が並んでいる」。2026年8月ごろから、こうした相談が急に増えています。原因として報じられているのが、動画アプリ「TikTok」を名乗る偽アプリです。

ニュースを見て「TikTokは公式ストアからしか入れられないはずでは？」「App StoreやGoogle Playに偽物が紛れ込んでいたの？」と疑問に思った方も多いのではないでしょうか。

結論から言うと、公式ストアに偽物が並んでいたわけではありません。ストアを装ったWebページからアプリを直接入れさせ、さらに利用者自身に「スマホを操作できる権限」をオンにさせるのがこの手口の核心です。

この記事では、報道・PayPay社の発表・セキュリティ企業の解説をもとに、乗っ取りの仕組みと、今日からできる確認・対策を整理します。社用スマホを従業員に配っている事業者の方にも役立つ内容です。

PayPayが破られたのではなく、スマホそのものを乗っ取られて「本人の操作」として送金されている、というのがこの事件のポイントです。

1. 何が起きているのか：TikTok偽アプリとPayPay不正送金

2026年9月19日の読売新聞の報道によると、TikTokを装った不正アプリでスマートフォンが乗っ取られ、PayPayで第三者に不正送金される被害が相次いでいます。PayPay社によれば、身に覚えのない送金に関する被害申告は8月から急増しました。

被害者が入れていたのは、成人向け動画が見られると宣伝された「TikTok18+」などの名前のアプリです。本物のTikTok（ByteDance社）とは一切関係がありません。

これに先立ち、PayPay社は2026年9月7日に公式サイトで注意喚起を出しています。不審なSMS・メールやSNS広告のリンクからアプリを入れたことでスマホがマルウェアに感染し、第三者の遠隔操作で身に覚えのない送金や決済が行われるおそれがある、という内容です。

「TikTok」の名前がついていても、本物とは無関係のアプリです。成人向けをうたう誘いは、それだけで疑ってかかって大丈夫です。

2. 偽アプリは公式ストアではなく「偽ストア」から入っていた

「アプリはストアからしか入れられないはず」という理解は、iPhoneについては基本的に正しく、Androidについては半分だけ正しい、というのが実情です。

読売新聞の報道では、SNS広告やメールから偽のアプリストアなどに誘導して不正アプリを入れさせる手口だとされています。App StoreやGoogle Playに偽TikTokが並んでいたわけではありません。

Androidは「ストア以外」からも入れられる

Androidには、Webサイトなどから入手したアプリのファイル（APKファイル）を直接インストールできる仕組みがあります。設定で「不明なアプリのインストール」を許可すると、Googleの審査を通っていないアプリも入ってしまいます。

偽ストアのページは、ボタンの配置や評価の星など、見た目を本物に似せて作られているのが一般的です。「ストアっぽい画面から入れたから大丈夫」とは言えない点に注意が必要です。

広告やメールのリンク先で「ダウンロード」ボタンを押すのは危険です。アプリは必ず、ホーム画面のPlayストアやApp Storeを自分で開いて探しましょう。

3. スマホを自由に操作される「ユーザー補助」権限の正体

アプリを入れただけでは、他のアプリ（PayPay）を勝手に操作することはできません。Androidでは、アプリ同士が互いに干渉できないように隔離されているからです。

そこで悪用されるのが、Androidの「ユーザー補助（アクセシビリティ）」という設定です。

Malwarebytesの解説によれば、Android向けの金融系トロイの木馬は長年この権限を悪用してきました。認証コードを盗み、本人になりすまし、持ち主が寝ている間に口座から資金を移すケースも報告されています。

トレンドマイクロも今回の件について、TikTok成人版を名乗る不正アプリは複数確認されており、入れるとほぼあらゆる遠隔操作が可能になると説明しています。送金だけでなく、連絡先への勝手な発信・メール送信やカメラでの撮影のおそれもあるとのことです。

Androidの防御「制限付き設定」と、そのすり抜け方

Googleも対策はしています。Android 13以降には「制限付き設定」という仕組みがあり、公式ストアを通さずに入れたアプリには、ユーザー補助などの危険な権限をすぐには与えられないようになっています。

ただし、この制限は利用者の操作で解除できます。アプリ情報の画面でメニューを開き「制限付き設定を許可」を押せば、ユーザー補助をオンにできてしまいます。

なお、Googleは2026年に、高度な保護機能（Advanced Protectionモード）を有効にした端末では、本来の目的がユーザー補助ではないアプリがこの権限を使えないようにする変更をAndroid 17.2で導入しています。対象端末をお持ちの方は、有効化を検討する価値があります。

アプリから「ユーザー補助をオンにして」と言われたら、それは「スマホの操作を丸ごと渡して」と言われているのと同じだと考えてください。

4. iPhoneは安全なのか：スマホ新法後の状況

報道では被害端末のOSは明記されていません。ただし、ここまで見てきた「APKの直接インストール」と「ユーザー補助の悪用」はAndroidの仕組みであり、被害の中心はAndroidと考えるのが自然です。

とはいえ、iPhoneでも「構成プロファイル」のインストールを求める手口や、偽サイトでIDやパスワードを入力させるフィッシングは存在します。「iPhoneだから何をしても安全」ではなく、リンク先で何かをインストールしない・入力しないという原則は共通です。

iPhoneは今回の手口には比較的強い構造ですが、偽サイトに情報を入力してしまえば同じように被害に遭います。

5. 今すぐできる確認と予防策

Android端末をお使いの方は、次の3点を確認してください。メニュー名や場所は機種によって多少異なります。

一番の予防は「アプリはストアを自分で開いて入れる」を習慣にすることです。社用スマホならルールにしてしまうのが確実です。

6. 被害に気づいたときの対応手順

「怪しいアプリを入れてしまった」「画面が勝手に動いた」「身に覚えのないPayPay通知が来た」。そんなときは、慌てずに次の順番で対応してください。

読売新聞の報道によると、PayPay社は被害の内容に応じて最大で全額を補償するとしています。ただし補償には所定の条件があるため、早めに警察とPayPay社の両方へ連絡することが大切です。

おかしいと思ったら、まず機内モード。そのあと記録を残して、警察とPayPayに連絡する。この順番だけ覚えておいてください。

よくある質問

Q. 本物のTikTokアプリを入れていても危険ですか？

App StoreやGoogle Playから入れた本物のTikTokが、今回の不正送金の原因になっているという報道はありません。問題になっているのは、ストア外から入れた「TikTok18+」などの偽アプリです。

Q. 偽アプリを入れたかもしれません。PayPayの履歴に異常がなければ大丈夫ですか？

まだ送金されていないだけの可能性があります。ユーザー補助の一覧で不審なアプリがオンになっていないか確認し、該当すればオフにして削除してください。不安が残る場合は、バックアップのうえ初期化するのが確実です。

Q. セキュリティアプリを入れていれば防げますか？

既知のマルウェアの検出には役立ちますが、利用者自身が権限を与えてしまうと防ぎきれない場合があります。「公式ストア以外から入れない」「ユーザー補助を安易に許可しない」という行動面の対策と組み合わせることが重要です。

Q. iPhoneでも同じ被害に遭いますか？

今回の手口はAndroidの仕組みを使うものと考えられ、iPhoneはストア外アプリにもAppleの公証審査があるため、同じ経路での感染は起きにくい構造です。ただし、偽サイトでIDやパスワードを入力させるフィッシングには、iPhoneでも注意が必要です。

まとめ

今回の手口は、高度なハッキングというより「利用者に自分で扉を開けさせる」タイプの攻撃です。逆に言えば、仕組みを知っていれば防げる被害でもあります。ご自身のスマホだけでなく、ご家族や社内のスマホも、この機会に一度確認してみてください。

怪しいリンクからアプリを入れない、ユーザー補助を安易に許可しない。この2つを守るだけで、今回の被害はほぼ防げます。

参考リンク

• 読売新聞オンライン（Yahoo!ニュース）：ＴｉｋＴｏｋ装う不正アプリでスマホ乗っ取り、ＰａｙＰａｙアプリで送金の被害急増（2026年9月19日）
• PayPay：不審なサイトやリンク先からのアプリのダウンロードにご注意ください（2026年9月7日）
• PayPayヘルプ：詐欺等の疑いがある送る・受け取るを利用した取引を報告したい
• ITmedia NEWS：PayPay、身に覚えのない送金に注意 マルウェア感染で遠隔操作リスク（2026年9月）
• Malwarebytes：「アダルトTikTok」検索で詐欺被害に遭う（2026年8月3日）
• Malwarebytes：Google、アクセシビリティ機能を悪用するAndroidアプリへの取り締まりを強化（2026年3月17日）
• Androidヘルプ：制限付き設定について
• カスペルスキー公式ブログ：Android 13および14の制限付き設定
• ケータイ Watch：iPhoneが「スマホ新法」に対応、「サードパーティのアプリストア」開放や決済の多様化（2025年12月）
• Apple Developer：日本での代替アプリマーケットプレイスの運営

※本記事は2026年9月25日時点の公開情報をもとに作成しています。被害件数・被害総額は公表されていないため記載していません。「TikTok18+」が要求した具体的な権限は公開情報で確認できておらず、第3章の手順は同種のAndroidマルウェアの一般的な手口にもとづく説明です。被害端末の多くがAndroidであるという点も、手口の仕組みからの推測です。Androidの設定メニューの名称・場所は機種やOSバージョンにより異なります。