トロイの木馬とは？ スマホの不正アプリに多い手口と、駆除・対処の方法

総務省の用語集によると、トロイの木馬は、コンピュータの内部に潜伏して、システムを破壊したり、外部からの不正侵入を助けたり、そのコンピュータの情報を外部に発信したりするプログラムです。感染能力を持たないため本来はウイルスに含まれませんが、利用者に分からないように悪意のある行為を働くことから、広い意味でウイルスの一つとして扱われることがあります。自分では広がらないため、便利なアプリやソフトに見せかけ、利用者自身に入れさせるのが典型的な手口です。

トロイの木馬がすること

総務省によると、トロイの木馬のうち、外部から侵入しやすいように「バックドア」と呼ばれる裏口を作るタイプは、いつでも攻撃者に遠隔操作されるおそれがあるため、極めて危険です。スマホの不正なアプリについて、JPCERT/CCは次のような機能の例を挙げています。

• 電話帳の情報や、端末に保存されているSMSを攻撃者のサーバーに送る。
• 感染したスマホの電話番号を使って、不審なSMSを勝手に送る。
• 通知機能を無効にする。
• ネットバンキングのアプリが入っていると、そのアプリに合わせたフィッシングサイトを表示する。

日本で目立つ手口

• 宅配便の不在通知や携帯電話会社を装ったSMSから偽サイトに誘導し、Android向けの不正なアプリを入れさせる。偽サイトを開いただけでは感染しませんが、アプリを入れると感染します（JPCERT/CC）。
• ポイントの付与、抽選、クーポン、税務署やe-Taxのお知らせを装って、Android用アプリのインストールに誘導するメール（フィッシング対策協議会、2026年9月）。協議会によると、2026年9月30日現在、スマートフォン用のe-Taxアプリは提供されていません。
• 有名なSNSやアプリを装った不正アプリで、キャッシュレス決済サービスを遠隔操作して不正に送金させる被害（警察庁、2026年9月）。警察庁は2026年3月から、犯行に使われた不正なアプリの削除を促す情報を、アプリストアの運営事業者に提供する仕組みを始めています。
• iPhoneでは、偽サイトで不正な構成プロファイルを入れさせ、App Store以外からアプリを入れられる状態にする手口があります（JPCERT/CC）。
• パソコンでは、偽のセキュリティ警告から電話をかけさせ、セキュリティソフトを装って遠隔操作ソフトを入れさせる手口があります（警察庁）。遠隔操作ソフト自体は、メーカーなどのサポートにも使われる正規のものです（IPA）。

入れてしまったときは

1. ネットワークから切り離します。Androidなら機内モードにし、Wi-Fiもオフにします（IPA）。
2. 見覚えのないアプリをアンインストールします。Androidは「設定」＞「アプリ」の一覧から、iPhoneは「設定」＞「一般」＞「iPhoneストレージ」から削除し、iPhoneに不正な構成プロファイルがあれば「設定」＞「一般」＞「VPNとデバイス管理」から削除します（JPCERT/CC）。
3. 指示されて入れた遠隔操作ソフトなどもアンインストールします（警察庁）。
4. セキュリティソフトでフルスキャンします。Windowsなら、Windowsを読み込まずに検査する「Microsoft Defender ウイルス対策 (オフライン スキャン)」も使えます。
5. 不正なアプリに正規のセキュリティアプリを削除されていたら、入れ直して設定します。Androidで「提供元不明のアプリ」のインストールを許可したままだと、不審なアプリが入りやすい状態が続くので、許可も元に戻します（IPA）。
6. 影響の範囲がわからないときは初期化します。IPAは、不正なアプリを入れたAndroidについて、アプリの削除だけでなく初期化を勧めています。初期化すれば影響を取り除けるので、買い替える必要はありません。
7. ネットバンキング、SNS、Googleアカウントなどのパスワードを変更し、キャリア決済やクレジットカードに身に覚えのない支払いがないか確認します（JPCERT/CC）。
8. お金の被害があれば、最寄りの警察署かサイバー犯罪相談窓口に通報・相談します。

入れないために

• アプリはGoogle PlayやApp Storeから入れ、公式ストアでも提供元や内容をよく確認します（警察庁）。正規の配布サイトのアプリでも、不正なアプリが紛れ込む可能性はゼロではありません（警視庁）。
• SNSの広告やメールのリンクから誘導されたアプリを、安易に入れない（警察庁）。
• Androidでは提供元不明のアプリのインストールを許可せず、iPhoneでは安易に構成プロファイルのインストールを許可しない（JPCERT/CC）。
• インストールの前に、アプリが求める「アクセス許可」を確認する（警視庁）。
• Google Play プロテクトをオンのままにする。警察庁は、スマホにもウイルス対策ソフトを入れ、OSを最新の状態にするよう呼びかけています。

トロイの木馬は、ドアを壊さず、こちらに開けさせます。入れる前に、そのアプリの入手先を確かめましょう。