iPhoneユーザーを標的とした新たなテクニカルサポート詐欺が確認されました。偽のApple Pay通知を使ってユーザーを騙す手口です。
偽の警告を表示して被害者に電話をかけさせるタイプのテクニカルサポート詐欺は何年も前から存在していますが、今回発見されたページはスマートフォン専用に設計されている点が特徴です。
パソコンの画面に「ウイルスに感染しました」という警告を表示する従来の手口とは異なり、この詐欺はApple Pay、Face ID、App Store決済といったiPhoneユーザーに馴染み深い機能を模倣します。さらに、スマートフォン自体のテキスト読み上げ機能を悪用し、モバイル端末でのページ移動を妨害しようとする仕組みまで備えています。
実際に何が起きるのか
スマートフォンでページを開くと、Apple Payが657ドルのApp Store決済を処理しているかのような画面が表示されます。スピナーが回転し、金額の下には「Face ID・本人確認中」という表示が現れます。取引ID、南京錠のアイコンなど、決済処理中であることを示す視覚的な演出がすべて揃っています。
数秒後、画面の内容が一変します。
今度は、不審なサインインが検出されたためApple IDがロックされたという表示に切り替わります。「今すぐAppleサポートに電話してください」という指示とともに電話番号が表示されます。取引の詳細を開くと、決済ステータスは「完了」と表示されており、その直後にスマートフォンが不正請求について警告する音声を読み上げ始めます。
これは非常に不安を煽る内容ですが、完全にでっち上げです。
今回分析したページには、実際のApple Pay取引もFace IDによる生体認証も一切含まれていません。その代わりに、ハードコーディングされた決済情報、ブラウザが生成する音声、偽のセキュリティ警告、そして強引なページ遷移の仕掛けを組み合わせ、被害者に電話をかけさせようとしているのです。
「Face ID」認証は本物ではない
最初の画面は、スマートフォン自体が決済を承認しているかのように見せかけて作られています。
このサンプルでは、「Face ID・本人確認中」という表示はアイコンの横に配置された単なるHTML要素にすぎません。実際にはApple Payへのリクエストも、その裏側で生体認証を呼び出す処理も存在しません。
Apple Payはウェブサイト上で正規に利用できる決済手段ですが、本物の決済は加盟店側がApple Payをリクエストすることで開始されます。Appleのガイドラインが定めている通り、システムはその直後にユーザーが確認・認証するための決済シートを即座に表示します。
今回のケースではそのような処理は一切行われていません。詐欺ページは単に、それらしく見える独自の画面を描画しているだけです。
「処理中」のスピナー表示も同様に見せかけにすぎません。このスプラッシュ画面全体は、ユーザーの操作とは無関係に2.8秒経過すると自動的に消える仕組みになっています。
領収書は偽物で、コードは誰に対しても同一
次の画面は、取引の領収書に見せかけて作られています。金額、マスクされたカード番号、承認コード、取引ID、そして緑色の「完了」ステータスが表示されます。
ただし、これらの値のほとんどは変化しません。
なぜなら、このページは金額を657.00ドル、取引IDをAP-2026-08-03-14:32、承認コードをAUTH-8F3A2B1Cとしてハードコーディングしているからです。訪問者全員に同じ値が表示される仕組みです。
一方で、日付だけは動的に生成されています。
JavaScriptはnew Date()を呼び出し、toLocaleString()で書式化しています。つまり領収書には被害者の端末の現在の日付・時刻・タイムゾーンが表示される仕組みです。
これにより、明らかな矛盾が生じます。固定された取引IDには2026-08-03という日付が含まれている一方、日付欄には被害者がたまたまページを開いた時点の日時が表示されるのです。
本物の取引であれば、誰かが確認するたびに取引日時が書き換わることなどありません。
「音声警告」はブラウザが生成している
被害者が取引の詳細画面を開くと、ページは以下の内容を音声で読み上げようとします。
「あなたのApple IDから657ドルの不正な請求がありました。すぐにサポートまでお電話ください」
この裏側に、Appleが実際に録音したメッセージなど存在しません。
JavaScriptがSpeechSynthesisUtteranceを生成し、それをブラウザに標準搭載されているWeb Speech APIのwindow.speechSynthesisに送信することで、警告文を音声で読み上げているだけです。
被害者の端末に元々搭載されている音声合成の声を利用するというのは、なかなか巧妙なソーシャルエンジニアリングの仕掛けです。この警告は、見知らぬウェブサイトから流れてくる音声というより、スマートフォン自体が発している警告のように聞こえてしまう可能性があります。
ページから離脱しにくくする仕掛け
この詐欺で興味深いのは、離脱経路の周辺に仕込まれたコードです。
このページはブラウザの履歴に新しいエントリを追加し、popstateイベントを監視することで、被害者が「戻る」操作をしようとした際に反応できるようにしています。そのうえで、ページを閉じると決済情報や銀行情報が漏洩する恐れがあるという警告を表示します。
被害者がサポートへの電話を促すプロンプトを承諾すると、コードは詐欺グループの電話番号を含むtel:URLに遷移します。逆にそのプロンプトをキャンセルした場合も、別の警告が表示され、履歴にさらにエントリが追加される仕組みです。
このページはさらに、beforeunload、pagehide、右クリックメニュー、エッジスワイプ操作、一般的なキーボードでのページ移動ショートカットに対してもハンドラを登録しています。iOSの場合、pagehideハンドラは遅延処理として電話番号への直接遷移まで試みます。
こうした仕掛けはページをしつこく表示させ続けたり、ユーザーを苛立たせたりすることはできますが、ブラウザや端末そのものをロックすることはできません。現代のブラウザは、ページ遷移時にウェブサイトが実行できる処理を制限しています。例えばbeforeunloadはモバイル端末では確実には発火せず、一般的に事前のユーザー操作が必要であり、表示できるのもブラウザが用意した汎用的な確認ダイアログのみです。
つまり、このコードは離脱を阻止したり電話をかけさせたりするためにさまざまな手段を試みてはいますが、ブラウザそのものを制御下に置くことはできないのです。
本当の狙いは電話をかけさせること
657ドルという請求額は、被害者に電話をかけさせるための撒き餌にすぎません。
サポート番号はページ上に目立つ形で表示され、赤い「今すぐ確認」ボタンもその番号に直結しています。さらに偽のセキュリティ警告も繰り返し電話をかけるよう促してきます。
これは古くから確立されたテクニカルサポート詐欺の手口です。FTC(米連邦取引委員会)は、詐欺グループが架空の請求通知を使って被害者に電話をかけさせ、その後リモートアクセスを要求したり、ギフトカード・銀行送金・暗号資産・決済アプリなどを通じて送金するよう圧力をかけたりすると警告しています。
Appleも、何者かがAppleアカウントに不正侵入した、あるいは不正なApple Pay決済を行ったと主張する詐欺グループが存在すると警告しており、緊急性を演出することで被害者がAppleに直接問い合わせるのを防ごうとしていると説明しています。
このようなページを見つけた場合の対処法
ページに表示されている番号には決して電話をかけないでください。これらの警告表示は本物のロック機能ではありません。このページがあなたのスマートフォンやブラウザを実際に制御下に置いているわけではないからです。
- いかなるダイアログでも「OK」「Call」「Verify」をタップしないこと。選択肢のあるダイアログでは、OKを押すとその番号に発信されます。OKしか選択肢がないダイアログではその場では発信されませんが、閉じても別の警告が表示されるだけです。
- 番号には電話をかけないこと。後になって苦情を言うためや確認のために電話をかけ直すのもやめましょう。詐欺グループにとっては、こちらから連絡を取ってくれること自体が目的です。
- ブラウザのタブスイッチャーを使ってタブを閉じること。iPhoneでもAndroidでも、タブスイッチャーを開いてそのタブをスワイプして閉じてください。タブを閉じてしまえば、詐欺ページがそれ以上あなたを引き留めたり、発信を試みたりすることはできなくなります。
- 「このサイトから離れますか」という確認ダイアログが表示された場合は「離れる」を選択すること。ウェブページは滞在を促すことはできても、離脱そのものを阻止することはできません。
- その後、実際の購入履歴を確認すること。端末のApp StoreやSettingsを開き、Appleの購入履歴を確認してください。657ドルの請求が記録されていなければ、そもそも請求など発生していなかったということです。
すでに電話をかけてしまい、相手に端末へのリモートアクセスを許可してしまった場合は、直ちに次の対応を取ってください。
- インターネット接続を切断する
- 相手の指示でインストールしたリモートアクセスソフトウェアをアンインストールする
- 別の端末からApple IDのパスワードと銀行のパスワードを変更する
- 送金してしまった場合は銀行に連絡する
このような番号が画面に表示されていたり、すでに着信履歴に残っていたりする場合は、他の行動を取る前にまずその番号を確認してください。
Malwarebytes Scam Number Checkは、その番号が詐欺活動と関連付けられているかどうかを教えてくれる無料の逆引きサービスです。
さらに望ましいのは、そもそもこうしたページにたどり着かないことです。Malwarebytes Browser Guardは悪意のあるサイトや詐欺サイトを読み込む前にブロックし、Malwarebytes Mobile Securityはその同じウェブ保護機能をAndroidとiOSにも提供します。さらにテキストメッセージや着信のフィルタリング、そして不審な電話番号・リンク・メッセージ・スクリーンショットについて数秒で判定を下すScam Guardも備えています。
最もシンプルな見分け方
覚えておく価値のあるシンプルな見分け方があります。
緊急事態をでっち上げ、画面に表示された電話番号に電話をかけるよう求めてくるセキュリティのポップアップは、詐欺だと考えるべきです。
Appleは、Appleを名乗る不審な電話やメッセージには応答せず、必ずAppleの公式サポート窓口を通じて自ら問い合わせるようユーザーに呼びかけています。FTCはテクニカルサポート詐欺に関するガイダンスの中で、さらに明確にこう述べています。
「実在するテック企業からのセキュリティポップアップ警告が、電話番号への発信を求めてくることは決してありません」
そして、ウェブサイト内にApple Payのようなインターフェースが表示されたとしても、見た目が似ていることは何の証明にもならないことを覚えておいてください。サイトはボタンや鍵アイコン、ロゴ、取引ID、さらにはアニメーション付きのスピナーまで自由に模倣できます。重要なのは、実際に本物のApple Pay決済シートが呼び出されたかどうかです。
今回のケースでは、それは呼び出されていませんでした。
この詐欺で重要なのは、657ドルという偽の決済そのものではありません。それを取り巻くように演出された緊急性こそが、被害者を電話に誘導するための本質的な仕掛けなのです。
詐欺グループは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキストメッセージ、悪意のあるサイトなどからあなたを守ります。リアルタイムAI搭載のScam Guardも標準搭載です。
アンチウイルスソリューションに情熱を注ぐStefanは、若い頃からマルウェアのテストやアンチウイルス製品のQAに携わってきました。Malwarebytesチームの一員として、顧客を守り、その安全を確保することに全力を注いでいます。
