PayPayの不正利用、どう防ぐ？　狙われるのは“ポイント付与”の1月か（2/2 ページ）

公開 2018年12月18日 16時00分

更新 2018年12月18日 03時02分

著者

パスロジ

[ITmedia]

印刷する

ポイント付与の1月に注意　スマホとSIMカードの管理を厳重に

　2019年1月10日には100億円還元キャンペーンのキャッシュバックが行われます。このキャッシュバックされた残高を狙うのは、加盟店舗ばかりではありません。不正利用者もこの機会を狙ってくる可能性が高いです。

12月13日に終了した「100億円あげちゃうキャンペーン」

　ユーザーの側でも、付与されたPayPay残高が勝手に使われないようにアカウント管理をしっかりしておきましょう。単純な推測されやすいパスワードにしてしまっているなら直しておくべきです。

　ただし、PayPayのIDは携帯電話番号です。初期設定時は電話番号にひも付いたSMSでメッセージが届き、メッセージ内のURLをタップして登録しますが、「パスワードを忘れてしまった場合」のパスワード変更も、SMS経由で行われます。つまりSMSを受け取れればパスワードを変更できるのです。

　携帯電話番号はスマートフォン本体ではなく、SIMカードにひも付いています。つまり、スマートフォンをロックしていても、SIMカードを盗まれてしまったら、SMSを見られてパスワード変更されてしまう恐れがあります。

　12月18日のアップデート後の時点では「プッシュ通知」をオンにしていても、他の端末からのログインや、パスワード変更のお知らせが通知されることはありませんでした。パスワード変更した人が任意でメールやメッセージを送ることはできますが、不正利用しようとしている人が送るわけはありませんよね。パスワードを変えた後でSIMカードをそっと戻されていたら、気付かないかもしれません。

　スマートフォンの生体認証を設定していた場合でも、パスワードが変更された後でアプリ起動した際の認証は生体認証で通過できてしまいます（iOS 12.1のTouch IDでテスト済。他の生体認証機能では不明）。つまり、パスワード変更されたことに気付きにくいのです。ログアウトしていれば、再度パスワード入力が必要になるのですが、いちいちログアウトをして使う人はほとんどいないと思います。

　ですので、スマートフォンを放置してSIMカードが奪われないよう注意する必要があります。とはいえ、身内の人に寝ている間に盗まれるのを防ぐのはなかなか困難です。もし何か起こった場合は、PayPay公式サイトのFAQにあるように「ご家族様や知人のかたの利用の可能性についてご確認」することになるのですが……ろうばいしている状況でも、関係が壊れないような確認方法を心掛けましょう。

　余談ですが、SIMカードや指紋と比較して、パスワードを寝ている間に奪うのはかなり困難です。知識認証の強みはここにあります。ただし、紙にメモしておくなど、記憶から取り出していないことが前提ですが。