スマホの乗っ取り・ハッキングが心配なとき：確かめ方とiPhone・Androidでの対処

動作が重い、電池の減りが早いといった変化は、端末の古さや設定など、ほかの理由でも起こります。公的機関が手がかりとして挙げているのは、もっと具体的なものです。JPCERT/CCによると、スマホを狙うマルウェアの多くは、不審なSMSのリンクから偽サイトに誘導し、不正なアプリを入れさせる手口で広がっています。偽サイトにアクセスしただけでは感染しませんが、指示どおりにアプリを入れると感染します。

乗っ取りの前兆として確認したいサイン

JPCERT/CCは、次のような点からマルウェア感染に気づける可能性があるとしています。

• アプリの一覧に、見覚えのないアプリや誤って入れたアプリがある。
• SMSの送信ボックスに、送った覚えのないメッセージがある。
• 携帯電話の利用料金やキャリア決済に、身に覚えのない課金がある。
• 使っているサービスから、身に覚えのないパスワード変更の通知が届く。
• iPhoneに、入れた覚えのない構成プロファイルがある。

SNSやメールのアカウントが乗っ取られると、自分の名前で友人に勝手にメッセージが送られることもあります（警察庁）。

Androidで不正なアプリを入れてしまったら

IPAは、不正なアプリを入れてしまったAndroidについて、次の順番で対処するよう案内しています。

1. スマホを機内モードにし、Wi-Fiもオフにします。通信が止まり、勝手なSMSの送信や、スマホ内の情報の送信を防げます。
2. 機内モードのまま、不正なアプリをアンインストールします。ホーム画面に表示されないこともあるので、設定アプリのアプリ一覧から探します。
3. 携帯電話会社やフリマ、後払い決済などのサービスから、登録や変更の連絡が届いていないか確認します。SMSは初期化すると消えるので、先に確認します。
4. 写真や動画など、初期化で消えるデータを別の場所に保存します。
5. 影響の範囲がわからないため、アプリの削除だけでなく初期化をします。復元するときは、不正なアプリを入れる前のバックアップを使います。
6. 初期化の後、Googleアカウントや各サービスのパスワードを変更し、多要素認証を設定します。身に覚えのないキャリア決済の請求がないかも、携帯電話会社に確認します。

IPAによると、初期化すれば不正アプリの影響を取り除けるので、買い替える必要はありません。警察庁も、不正アプリはただちに削除し、公式アプリストアでも提供元や内容をよく確認するよう呼びかけています。

Androidで確認したい設定

• Google Play プロテクト：Google Play ストア アプリでプロフィール アイコン ＞［Play プロテクト］の設定アイコンを開き、［Play プロテクトによるアプリのスキャン］がオンか確認します。最初からオンで、有害なアプリを無効にしたり削除したりすることがあります。
• Googleアカウント：［セキュリティとログイン］の［最近のセキュリティ イベント］で身に覚えのないアクティビティを、［お使いのデバイス］＞［デバイスを管理］で見覚えのない端末を確認します。
• 盗難への備え：設定アプリの［Google］＞［すべてのサービス］＞［盗難保護］で、盗難検出ロックなどをオンにできます（一部はAndroid 10以上、対応は機種によって異なります）。
• 初期化する前に：［出荷時の設定にリセット］の前に、Googleアカウントのユーザー名とパスワードを確認し、70%以上充電しておきます。パスワードを再設定したばかりなら、24時間たってからリセットします。

iPhoneで確認したいこと

• アプリ：「設定」＞「一般」＞「iPhoneストレージ」で見覚えのないアプリがないか確認し、あれば「Appを削除」をタップします（JPCERT/CC）。
• 構成プロファイル：「設定」＞「一般」＞「VPNとデバイス管理」に覚えのないプロファイルがあれば、選んで「プロファイルを削除」をタップし、再起動します。何も表示されなければ、プロファイルは入っていません。学校や会社の端末なら、削除の前に管理者に確認します（Apple）。
• 盗難への備え：「設定」＞「Face IDとパスコード」の「盗難デバイスの保護」をオンにすると、自宅や職場などよく知っている場所の外では、保存したパスワードの利用などにFace IDかTouch IDが必要になります（iOS 17.3以降）。
• 特別な標的になりうる人に：その立場や活動から高度なデジタル脅威に狙われるおそれのあるごく一部の人には、「設定」＞「プライバシーとセキュリティ」の「ロックダウンモード」があります。ほとんどの人は、こうした攻撃の標的になる心配はないとAppleは説明しています。

アカウントの乗っ取りが疑われるとき

1. ログインできるなら、新しいパスワードに変更します（警察庁）。
2. 自分以外の見覚えのない端末は、すべてログアウトさせます（警察庁）。
3. 登録情報や認証方法が変えられていないか確認します。自分のものではない2段階認証の端末や、身に覚えのない連携サービスがあれば解除します（IPA）。
4. 友人や家族に、自分の名前で届くメッセージに注意するよう知らせます（警察庁）。
5. ログインできなければ、パスワードの再設定やアカウント復旧の手続きを試し、それでも難しければサービス提供者に相談します（IPA）。

電話番号が乗っ取られる「SIMスワップ」

警察庁は、携帯電話の販売店で偽造した本人確認書類を使い、他人になりすましてMNPやSIMカードの再発行の手続きをして、携帯電話番号を乗っ取る手口を「SIMスワップ」と呼んでいます。不正送金で本人確認を突破する手口として、2025年も引き続きみられました。Googleは、ログインの2つ目の手順に、SMSのコードではなくGoogleからのメッセージを使うと、SIMスワップのような電話番号を利用したハッキングも防げるとしています。心当たりがないのに回線が使えなくなったら、契約している携帯電話会社に相談しましょう。

相談先

• 端末やアカウントの技術的な相談：IPAの情報セキュリティ安心相談窓口（03-5978-7509、10時〜17時、土日祝日・年末年始を除く）。
• 被害の通報・相談：最寄りの警察署、または警察庁のサイバー事案に関するオンライン受付窓口。緊急のときは110番です。

乗っ取りの手がかりは、スマホの調子よりも、送った覚えのないSMSや身に覚えのない請求、知らない端末からのログインに表れます。