始まりは、退屈なほど見慣れたメールでした。Appleのロゴ、すっきりしたレイアウト、そして標的の胃がヒヤッとするように作られた件名。
そのメッセージは、AppleがApple Storeでの高額なApple Pay決済を停止したと主張し、ケースID、タイムスタンプ、そして標的が応答しなければアカウントが危険にさらされる可能性があるという警告まで添えられていました。
場合によっては、「不正行為を確認する」ための「予約」が本人に代わって入れられており、都合が合わなければすぐに電話すべき番号まで記載されていました。メールのどこにも素人っぽさはありません。表示名はAppleに見え、書式は本物の領収書とよく似ており、文面は不安をあおる要点を的確に突いてきます。
これが、最近のApple Payフィッシングキャンペーンで多くのユーザーが誘い込まれる手口です。
本物のサポートのように感じる電話
メールは、まず「Apple Billing & Fraud Prevention」と話すまでApple Payを使わないよう受信者に警告し、電話をかけるための番号を提示します。
番号に電話をかけると、担当者はAppleの不正対策部門の一員だと名乗り、Apple IDの確認コードや支払い情報などの詳細を求めてきます。
会話は信頼を築くために綿密に台本化されています。担当者は、犯罪者が実店舗のApple StoreでApple Payを使おうとし、システムが取引を「部分的にブロック」したと説明します。アカウントを「完全に保護」するために、いくつかの情報を確認する必要があると言うのです。
電話は無害に聞こえる確認から始まります。氏名、電話番号の下4桁、所有しているAppleデバイスなどです。
次に、Apple IDのメールアドレスを確認するよう求められます。被害者がそれを調べている間に、本物らしいApple IDの確認コードがSMSで届きます。
担当者は、このコードを求め、「正当なアカウント所有者と話していることを確認するために必要だ」と主張します。実際には、詐欺師がリアルタイムでアカウントにログインしており、そのコードを使って二要素認証を回避しているのです。
アカウントが「確認」されると、担当者は被害者に銀行口座やApple Payのカードの確認を促します。銀行口座について質問し、「Appleチーム」が調査している間に犯罪者が悪用できないよう、支払い方法を「一時的に保護する」ことを提案します。
この一連のサポート手続きは、ログインコードと支払いデータを盗むために設計されています。大規模に見ると、この種のキャンペーンが成功するのは、Appleというブランドが非常に大きな信頼を持ち、Apple Payが実際のお金に関わり、ユーザーが不正アラートを緊急事態として扱い、怖くなると「サポート」に協力するよう訓練されているからです。
Malwarebytes Scam Guardに寄せられた一例では、279.99ドルのApple Gift Card購入を主張するメールがあり、受信者にサポート番号（1-812-955-6285）へ電話するよう促していました。
別のユーザーは、2025年モデルのMacBook Air 13インチ（M4チップ）を1,157.07ドルで購入したApple Storeの領収書のように見せかけた偽の「Invoice Receipt – Paid」のスクリーンショットを提出し、この「未承認の取引」について電話する番号（1-805-476-8382）が記載されていました。
知っておくべきこと
Appleがメールで不正対策の予約を設定することはありません。また、会社が請求に関する問題を、突然届いたメッセージ内の番号に電話して解決するようユーザーに求めることもありません。
送信者のアドレスを注意深く確認してください。これらのケースでは、表示名が正当なものに見えても、メールはAppleの公式ドメインから送られていません。
二要素認証（2FA）コード、SMSコード、パスワードは、たとえAppleの者だと名乗っていても、誰にも絶対に共有しないでください。
すぐに行動するよう促す、突然のメッセージは無視してください。関わる前に必ず考え、確認しましょう。確信が持てない場合は、信頼できる人に相談してください。
MalwarebytesのScam Guardは、複数のユーザーがこの種の詐欺を見分けるのに役立ちました。サブスクリプションがない方は、ChatGPTでScam Guardを利用できます。
すでにこれらのApple Pay詐欺師とやり取りしてしまった場合、次のことが重要です：
- Apple IDのパスワードを、設定またはappleid.apple.comから直ちに変更してください。メールやSMSで提供されたリンクからは行わないでください。
- アクティブなセッションを確認し、すべてのデバイスからサインアウトしたうえで、自分が認識し管理できるデバイスでのみ再度サインインしてください。
- 新しいログイン通知が表示された場合は、Apple IDのパスワードを再度変更し、2FAが有効のままであることを確認してください。無効になっている場合は、有効にしてください。
- Walletで、すべてのカードについて見覚えのないApple Pay取引や、最近の店頭・オンラインでの請求がないか確認してください。今後数週間は銀行およびクレジットカードの明細を注意深く監視し、不明な取引があれば直ちに異議申し立てを行ってください。
- Apple IDに紐づく主要なメールアカウントが自分のものであるか確認してください。そのメールを掌握されると、アカウント乗っ取りに利用される可能性があります。
