PayPay QRコード詐欺で73万円被害！現役CSIRTが教える決済アプリの危険性と対策

最近、PayPayを狙った巧妙なフィッシング詐欺で73万円もの被害が発生し、大きな話題となっています。現役のCSIRT（Computer Security Incident Response Team）として、この事件を詳しく分析し、個人や中小企業がとるべき対策について解説します。

事件の概要：QRコード2回で73万円が消えた衝撃

被害者は「PayPayカード」を名乗る偽メールを受信し、添付リンクから表示された2つのQRコードを順番にスキャンしただけで、銀行口座から73万円が勝手に引き出されました。さらに驚くべきことに、その資金は競輪・オートレースの投票サービス「WINTICKET」で即座に使われてしまったのです。

フォレンジック調査の観点から見ると、この攻撃は非常に巧妙で計画的です。犯人は以下の手順で不正行為を実行しました：

被害者はオートチャージ機能を無効にしていたにも関わらず、なぜ銀行口座から資金が引き出されたのでしょうか。

検証によると、WINTICKETなどの外部サービスでは「チャージして支払う」機能があり、これはオートチャージ設定に関係なく銀行口座から直接引き落としが可能なのです。つまり、アプリの設定だけでは完全に防げない構造的な問題があったということです。

私がこれまで対応したインシデントの中で、決済アプリを狙った攻撃は年々巧妙化しています。特に中小企業では以下のようなケースが多発しています：

ある製造業の会社では、経理担当者が業務用のスマホでフィッシングメールを開き、法人用PayPayアカウントから200万円が不正利用されました。フォレンジック調査の結果、攻撃者は複数の外部サービスと連携させ、資金を分散して現金化していたことが判明しました。

小売店がQR決済を導入した直後、店舗アカウントに不正アクセスされ、売上金が第三者の口座に送金される事件が発生。犯人は店舗の弱いパスワードを突破し、決済履歴を改ざんして発覚を遅らせていました。

決済アプリを使用するスマートフォンやPCには、必ず信頼性の高いアンチウイルスソフトを導入してください。最新の脅威に対応した保護機能により、フィッシングサイトへのアクセスを事前にブロックできます。

また、公共Wi-Fiを使用する際はVPN の利用が不可欠です。通信内容の暗号化により、中間者攻撃やデータ傍受から決済情報を守ることができます。

万が一被害に遭った場合は、以下の手順で迅速に対応してください：

今回の事件を受けて、決済業界全体でセキュリティ対策の見直しが進んでいます。特に注目すべきは：

しかし、技術的な対策だけでは限界があります。利用者一人ひとりがセキュリティ意識を高め、適切な対策を取ることが最も重要です。

決済アプリは便利な反面、常にサイバー犯罪者の標的となっています。日頃からセキュリティツールを活用し、不審なメールやメッセージには十分注意して、安全なデジタル決済ライフを送りましょう。