iPhoneユーザーが新たなテクニカルサポート詐欺の標的となっており、偽のApple Pay通知を使ってユーザーを騙そうとしている。
偽の警告を使って被害者を電話番号に電話をかけさせるテクニカルサポート詐欺は何年も前から存在していますが、このページは特にスマートフォン向けに設計されています。
パソコンにウイルス感染の警告を表示する代わりに、この詐欺はiPhoneでおなじみの機能を模倣して、あなたを騙そうとします。
何が起こるのですか
スマートフォンの画面にページが開き、Apple Payが657ドルのApp Store決済を処理している様子が表示されます。回転するスピナーが表示され、金額の下に「Face IDで本人確認中」と表示されます。取引ID、南京錠のアイコンなど、決済処理中であることを示す視覚的な表示がすべて揃っています。
数秒後、物語は一変する。
認識されていないサインインがあったため、Apple IDがロックされたというアラートが表示されます。指示の下に電話番号が表示され、すぐにAppleサポートに電話するように促されます。取引の詳細を開くと、支払いは「完了」と表示されます。その後、不正請求に関するアラートが音声で流れ始めます。
それは全て完全に作り話だ。
分析したページには、実際のApple Pay取引も生体認証も含まれていません。代わりに、ハードコードされた支払い情報、ブラウザが生成する音声、偽のセキュリティ警告、そして巧妙なナビゲーション操作を用いて、被害者を詐欺師に電話をかけさせようとしています。
「顔認証」チェックは現実のものではない
最初の画面は、まるでスマートフォン自体が支払いを承認しているかのように見えるように設計されています。
このサンプルでは、「Face ID · 本人確認」は単にアイコンの横に表示されるHTML要素です。Apple Payのリクエストも生体認証の呼び出しも行われていません。
Apple Payはウェブサイト上で合法的に利用できますが、実際の支払いは加盟店が支払いを要求した時点で開始されます。Appleのガイドラインに定められているとおり、システムは直ちに支払い明細を表示し、ユーザーは内容を確認して認証を行います。
ここではそんなことは一切ありません。詐欺サイトが自ら模倣したページを作成しただけです。
「支払い処理中」のスピナーも同様に見た目だけのものです。スプラッシュ画面全体は、ユーザーが何を操作しても、2.8秒後にタイマーで消えます。
その領収書は偽物で、コードは全員同じです。
次の画面は取引レシートのような形式になっています。金額、マスクされたカード番号、認証コード、取引ID、そして緑色の「完了」ステータスが表示されます。
それらの価値観のほとんどは決して変わらない。
それは、ページが金額を$657.00、トランザクションIDをハードコードしているためです。 AP-2026-08-03-14:32認証コードは AUTH-8F3A2B1Cすべての訪問者に同じ値が表示されます。
ただし、日付は動的に生成されます。
JavaScript呼び出し new Date() そしてそれをフォーマットします toLocaleString()つまり、領収書には被害者のデバイスの現在の日付、時刻、タイムゾーンが使用されるということです。
それは明らかな矛盾を生み出します。固定トランザクションIDには 2026-08-03一方、日付欄には、被害者がたまたまページを開いた日時が表示されます。
正当な取引では、誰かが閲覧するたびに取引日が書き換えられることはありません。
「音声アラート」はブラウザによって生成されます
被害者が取引の詳細を開くと、ページは次のように読み上げようとします。
「お客様のApple IDから657ドルの不正請求が発生しました。すぐにサポートにご連絡ください。」
それに関するAppleからの公式メッセージは記録されていません。
JavaScript は SpeechSynthesisUtterance そしてそれを window.speechSynthesisブラウザに組み込まれている Web Speech API を使用して、警告を音声で読み上げます。
被害者自身の端末に既に搭載されている音声合成機能を利用するのは、巧妙なソーシャルエンジニアリングの手法だ。警告音声は、無作為のウェブサイトから再生される音声というよりも、端末自体の機能のように聞こえるだろう。
このページは、ユーザーがページを離れることを困難にしようとしている。
この詐欺の興味深い点の1つは、出口ルートを取り巻くコードである。
このページは新しいブラウザ履歴エントリを追加し、 popstateこれにより、被害者が前のページに戻ろうとした際に反応するようになります。そして、ページを閉じると被害者の支払い情報や銀行情報が漏洩する可能性があるという警告を表示します。
被害者がサポートに電話するよう促すメッセージを受け入れると、コードは tel: 詐欺番号を含むURL。ユーザーがそのプロンプトをキャンセルすると、別の警告が表示され、履歴に新たなエントリが追加されます。
このページでは、以下のハンドラーも登録します。 beforeunload, pagehideコンテキストメニュー、エッジスワイプジェスチャー、一般的なキーボードナビゲーションショートカットなど。 iOS 、 その pagehide ハンドラーは、電話番号に直接アクセスしようと、遅れて試みることさえある。
これらのトリックはページを永続的に表示して煩わしくすることはできますが、ブラウザやデバイスをロックすることはありません。最新のブラウザは、ウェブサイトがナビゲーション中に実行できることを制限します。たとえば、 beforeunload モバイル端末では確実にトリガーされず、通常は事前のユーザー操作が必要であり、ブラウザ制御による一般的な確認しか生成できません。
つまり、このコードはユーザーがページを離れるのを阻止したり、電話をかけさせたりするために様々な方法を試みますが、ブラウザ自体を制御することはできません。
電話こそが真の目的だ
657ドルの料金は、あなたに電話をかけさせるための餌です。
サポート番号はページ上に目立つように表示され、赤い「今すぐ確認」ボタンがその番号を指し示し、偽のセキュリティプロンプトは繰り返しその番号に電話をかけるよう促す。
これは、よく知られたテクニカルサポート詐欺の手口です。連邦取引委員会（FTC）は、詐欺師が偽の請求通知を使って被害者に電話をかけさせ、その後、リモートアクセスを要求したり、ギフトカード、銀行振込、仮想通貨、または決済アプリを通じて送金するよう圧力をかけたりする可能性があると警告しています。
Appleはまた、詐欺師があなたのAppleアカウントに不正アクセスされた、またはApple Payで不正請求が行われたと主張し、緊急性を煽ってあなたがAppleに直接連絡するのを阻止しようとする可能性があると警告しています。
このようなページが表示された場合の対処法
覚えておくべき簡単なヒントがあります。
緊急事態を装い、画面に表示された電話番号に電話するように指示するセキュリティポップアップは、詐欺として扱うべきです。
ウェブサイト内にApple Payに似たインターフェースが表示されていても、見た目が似ているだけでは何も証明にならないことを覚えておいてください。サイトはボタン、鍵マーク、ロゴ、取引ID、さらにはアニメーション付きのスピナーまで自由に模倣できます。重要なのは、実際に本物のApple Pay決済画面が呼び出されているかどうかです。
この場合はそうはならなかった。この詐欺の重要な点は、偽の657ドルの支払いそのものではない。被害者を電話につなぐために、その支払いをめぐって緊迫感を演出することにあるのだ。
- 「OK」「電話」「確認」はタップしないでください。画面上の何かをタップすると、その番号に電話がかかるか、別の警告が表示されます。
- その番号に電話をかけないでください。また、後で苦情を言ったり確認したりするためにかけ直さないでください。
- ブラウザのタブ切り替え機能を使ってタブを閉じます。iPhoneまたはAndroidタブ切り替え画面を開き、タブをスワイプして閉じます。タブが閉じれば、詐欺ページはあなたをそのページに留めたり、電話をかけたりすることができなくなります。
- サイトを離れるかどうかを尋ねるダイアログが表示された場合は、「離れる」を選択してください。ウェブページは滞在を促すことはできますが、離脱を阻止することはできません。
- 疑わしい場合は、実際の購入履歴を確認してください。デバイスのApp Storeまたは設定を開き、Appleの購入履歴を確認してください。そこに657ドルの請求がなければ、請求は一切行われていません。
すでに誰かに電話をかけてデバイスへのリモートアクセスを許可してしまった場合は、直ちに以下の措置を講じてください。
- インターネット接続を切断する
- インストールさせられたリモートアクセスソフトウェアをすべてアンインストールしてください。
- 別のデバイスからApple IDのパスワードと銀行のパスワードを変更する
- 送金した金額について、銀行にお問い合わせください。
何かが詐欺かどうか確認する
このような番号が画面に表示されていたり、通話履歴に既に登録されている場合は、他の操作を行う前に必ず確認してください。Malwarebytes Scam Number Check Malwarebytes 、その番号が詐欺行為に関与しているかどうかを無料で確認できるツールです。番号を入力するだけで、詐欺の可能性が高いかどうかをお知らせします。
詐欺の疑いのあるサイトのスクリーンショットやURLをお持ちですか？それをMalwarebytes Mobile Securityに組み込まれているScam Guardにアップロードすれば、数秒で判定結果と安全対策のヒントが得られます。
