【10月注意喚起】銀行の偽アプリに注意｜スルガ銀行・GMOあおぞらが警告、見分け方と対処

銀行の公式アプリを装った偽アプリへの注意喚起が続いています。スルガ銀行は2026年10月6日、GMOあおぞらネット銀行は10月8日に、それぞれ自行をかたる偽アプリが出回っていると発表しました。GMOあおぞらネット銀行の事例では、国税庁やe-Taxをかたって還付金の手続きを装い、偽アプリを入れさせる手口も報告されています。両行の発表をもとに、手口と見分け方、インストールしてしまったときの対処を整理します。

2行が確認した偽アプリ・偽サイトの手口
見分け方：入手経路と配信元を必ず確認する
インストールしてしまったら：削除とパスワード変更を最優先に
考察：還付金や公的機関を名乗る誘導が入口になっている
まとめ

2行が確認した偽アプリ・偽サイトの手口

銀行	発表日	確認された手口	狙われる情報
GMOあおぞらネット銀行	2026年10月8日	偽サイト・偽メールに加え、法人口座の利用者を狙ったAndroid向けの偽アプリ（マルウェア）。国税庁・e-Taxをかたる還付金名目の誘導も	ユーザーID、パスワード、取引パスワード、デビットカード情報など
スルガ銀行	2026年10月6日	名称やロゴを無断で使い、公式アプリを装った偽アプリ	口座情報、ログインID・パスワード、個人情報など

GMOあおぞらネット銀行によると、確認された偽アプリは正規アプリによく似たログイン画面を出し、入力された認証情報を攻撃者のサーバーへ送ります。感染経路として想定されているのは、SMSやメールのリンク、銀行や関係機関を装うWebサイト、Google Play以外の非公式な配布元の3つです。

見分け方：入手経路と配信元を必ず確認する

両行の注意点に共通するのは、アプリの入手経路です。銀行アプリは公式のアプリストアから入れ、SMSやメール、SNSに書かれたURLからは入れないこと。これが最も基本の対策になります。

公式ストアでも配信元を確かめる：スルガ銀行は、公式アプリ「スルガ銀行CONNECT」の配信元が「SURUGA bank Ltd.」になっているか確認するよう求めています。GMOあおぞらネット銀行も、開発元が不明なアプリや自行以外のアプリは使わないよう呼びかけています。
SMSで届いたアプリ案内は開かない：GMOあおぞらネット銀行は、SMSを送ることはなく、SMSやメールでアプリのインストールURLを送ることもないとしています。
URLの1文字違いに注意する：偽サイトでは、正規URLから1文字抜けていたり「r」が「l」になっていたりする例があります。正規サイトはブックマークから開くのが安全です。
送信元アドレスだけで判断しない：送信元のドメインは偽装されることがあります。GMOあおぞらネット銀行は、メールソフトで送信ドメイン認証（DKIM・DMARC）の結果もあわせて確認するよう勧めています。