piyolog

2026年11月11日、警察庁は警察庁推奨アプリのダウンロードページを装った偽サイトについて注意を呼びかけました。ここでは関連する情報をまとめます。

警察庁推奨アプリを装う偽サイトとは何か

警察庁をかたるSMSで偽の警察庁ウェブサイトに誘導し、警察庁推奨アプリを装って不審なファイルをダウンロードさせる手口。警察庁は11月11日、公式Xで注意喚起(出典: 1)。同日にトビラシステムズが同じ手口を公表し、NTTタウンページが、警察庁をかたるSMSから誘導される偽サイトで「詐欺対策 by NTTタウンページ」を装ったアプリのダウンロードを促す事象が確認されていると公表(出典: 4, 5)。

警察庁推奨アプリは、詐欺の着信などを自動で防ぐ機能を持つアプリを警察庁が認定したもの。2026年3月以降、公式ホームページなどを通じてダウンロードでき(出典: 6)、掲載されているのは「詐欺対策 by NTTタウンページ」と「詐欺バスター Lite」の2本(出典: 2)。偽サイトが装ったアプリとして公表されているのは、このうち「詐欺対策 by NTTタウンページ」(出典: 4, 5)。

警察庁は10月末以降、少なくとも数百件の不審メッセージを確認(出典: 7)。

SMSから偽アプリの許可要求までの流れ

トビラシステムズが画像で公表した流れは6段階。偽SMSから偽の警察庁ページに遷移し、Android用のAPKのダウンロード確認、Google Playと表示された更新画面、VPN接続とデバイスのフルコントロールの許可要求へ進む(出典: 4)。

送信元表示「NPA」のSMSを受信する。文面は「最近、詐欺被害が多発しています。資金の安全を守るため、(URL)から詐欺対策アプリをダウンロードしてください。」で、URLから偽サイトへ遷移する(出典: 4)
偽サイトは「警察庁・SOS47 特殊詐欺対策ページ」「警察庁推奨アプリ」の体裁で、本物のページにない「App Storeで入手」「Google Playで入手」のボタンが置かれている(出典: 4, 6)。*1
偽のダウンロードボタンで「"詐欺対策 by NTTタウンページ.apk" をダウンロードしますか?」のダイアログが表示され、配布物はAndroid用のAPKファイル(出典: 4)
「Google Play」と表示された更新画面に遷移する。*2 「アップデートがあります」「このアプリを使用するには、最新バージョンをダウンロードしてください。」の案内に、「詳細」「更新」のボタンと評価、レビューの欄が並ぶ(出典: 4)
更新画面の上にVPN接続の「接続リクエスト」が表示され、「ネットワークトラフィックを監視するため VPN 接続をセットアップしようとしています」と示され、画面に出るアプリ識別子は pgqdni.ormphld(出典: 4)
「詐欺対策 by NTTタウンページにデバイスのフルコントロールを許可しますか?」と表示され、画面上のすべてのコンテンツの読み取り、操作の記録、自動的なアプリの操作が可能になる旨の説明が付く(出典: 4)

トビラシステムズは最終段階を「スマホが乗っ取られる可能性があります!」と注意している(出典: 4)。警察庁は、本物のサイトにないボタンを押すとコンピューターウイルスに感染し情報を盗みとられるおそれがあると説明している(出典: 6)。

入手した検体では、「更新」処理を通じて内蔵の暗号化データから別パッケージの追加APKを復元し、インストール処理へ渡す構造だった。キー入力記録や画面撮影などのコードは追加APK側に存在。

警察庁推奨アプリの正規入手先

警察庁は対策として「SMSのURLは安易にクリックしない」を挙げ(出典: 1)、URLを載せたSMSを警察庁が送ることは決してないとしている(出典: 6)。必ず警察の公式サイトなどを確認し、アプリストアのリンクからダウンロードするよう呼びかけている(出典: 6)。警視庁サイバーセキュリティ対策本部も11月12日、警察が個人にSMSで推奨アプリのダウンロードの誘導はしないと呼びかけ(出典: 3)。

NTTタウンページは11月11日に公表し、正規の入手先として警察庁または同社の正規サイト、Google Playストア、App Storeを挙げ、不審なSMSのURLへアクセスせず、誘導先のサイトから直接アプリをダウンロードしないよう呼びかけている(出典: 5)。

偽アプリの内部構造

「詐欺対策 by NTTタウンページ」を名乗る偽のAPKを解析した結果は以下の通り。結果は解析した検体についてのもので、同じ名称を使うすべての偽アプリに共通するとは限らない。

解析した2つのAPK

元のAPKのパッケージ名は pgqdni.ormphld、内部から復元した追加APKのパッケージ名は lczijr.yknxikshetmd.hyicpnwrmtgm。両者は別のパッケージで、利用者に「更新」と見せながら別アプリのインストールへ誘導する構造になっている。ハッシュはIoCに掲載する。

トビラシステムズの画面でVPN接続の許可ダイアログに表示されたアプリ識別子は、元のAPKのパッケージ名と一致する。更新画面の構成も手元の環境で撮影した画面と一致する。ただしハッシュでの照合ではなく、警察庁の注意喚起の対象と検体の同一性を示す公式なハッシュ情報は確認できていない。

元のAPKの更新画面

元のAPKを起動し、初期画面を表示した。画面にはGoogle Playのロゴと「アップデートがあります」の案内、「詐欺対策 by NTTタウンページ」の名称、「詳細」「更新」のボタン、評価、レビューの欄が並ぶ。Google Playの画面を開いているのではなく、APK自身が表示する画面。

Google Playの正規画面ではなく、APK自身が表示している。画面の更新日はコードが現在日付から1〜5日前をランダムに設定したもので、実際の更新日を示すものではない。

追加APKの復元とインストール処理

「更新」の処理を通じて追加APKをインストールする仕組みとして、コードの存在を確認した処理は次の3つ。

アプリ内部のファイルから、暗号化されたデータを読み出す
2段階のAES-GCM復号とGZIP展開で、追加APKを復元する
AndroidのPackageInstallerで、復元したAPKをインストールする処理へ渡す

更新案内を表示するだけでなく、別のAPKを内部に保持するインストーラーとしての機能がある。

通信先

元のAPKにはJSON形式で pkg と appName を送るコードの存在を確認。送信処理は初期画面の表示時にも開始される構造で、「更新」ボタンを押すことは通信開始の条件ではない。また追加APKには端末識別子を含むWebSocketの接続先を組み立てるコードの存在を確認した。接続先のホスト名は設定ファイルで変更できる構造もあり、常に同じホストへ接続するとは限らない。

追加APKのコード

追加APKで、コードの存在を確認したのは次の5点。

アクセシビリティサービスの定義
キー入力記録の開始、停止、取得、消去などの命令を処理するコード
記録データをJSONにして応答処理へ渡すコード
アクセシビリティ機能による画面撮影APIの呼び出し
画面ロックの入力を促す日本語の文言(アプリ内データとしての存在のみ)

VPNサービス

元のAPKにはVPNサービスがあり、確認した実装では対象アプリをGoogle PlayとGoogle Play開発者サービスに限定している。VPNで受けた通信を読み出し、保存、転送する処理は確認できず、対象のGoogle関連アプリの通信を遮断する構造と読める。許可ダイアログには「ネットワークトラフィックを監視するため」と表示されるが、端末内の全通信を盗聴する実装は確認できなかった。

IoC等

検体を解析して確認したIoCは以下の通り。

元のAPK: パッケージ名 pgqdni.ormphld、SHA-256 `c65fdcefffd4523f2431da377979459745128692a802634b759efac1a8544f5c`
追加APK: パッケージ名 lczijr.yknxikshetmd.hyicpnwrmtgm SHA-256 `d89655e83ded58e3f46168f1a6529bd8e1c191f9d2703d70708fbb77b0ebe272`
元のAPKの通信先: https://daw.dawnb[.]xyz/n/ir
追加APKの通信先: wss://daw.dawnb[.]xyz/w?d=<端末識別子>