PayPayで勝手に送金される？不審アプリの遠隔操作・補償条件・確認方法を整理

PayPayで勝手に送金される？不審アプリの遠隔操作・補償条件・確認方法を整理

2026年9月7日、PayPayが「公式アプリストア以外からの不審なアプリのダウンロードにご注意ください」というセキュリティ情報を公開しました。

気になるのは、「PayPayから勝手に送金されることがあるのか」という点でしょう。

今回の注意喚起は、PayPayそのものが勝手に送金する不具合や、PayPayのシステムが侵害されたという発表ではありません。

PayPayが確認したとしているのは、不審なSMSやメール、SNS広告などのリンクからアプリをインストールしたことでスマートフォンがマルウェアに感染し、第三者に不正操作される事例です。その結果として、端末を遠隔操作され、PayPayから身に覚えのない送金や決済が行われるおそれがあると注意を呼びかけています。

ここには大事な違いがあります。

9月7日の発表でPayPayが「確認した」と明記しているのはスマートフォンのマルウェア感染と第三者による不正操作の事例であり、「PayPayでの不正送金被害が何件発生した」と発表したわけではありません。被害件数や被害額も公表されていません。

では、自分のPayPayはどう確認すればいいのか。もし身に覚えのない取引があった場合、お金は補償されるのでしょうか。

PayPayで「勝手に送金」は本当に起きる？

PayPayが9月7日に説明した流れは比較的はっきりしています。

不審なSMSやメール、SNS上の広告などに記載されたリンクからアプリをダウンロード・インストールすると、スマートフォンがマルウェアに感染し、第三者に不正操作されることがあります。

その端末が遠隔操作されれば、スマートフォン上のPayPayも操作され、本人に身に覚えのない送金や決済が行われるおそれがある、という注意喚起です。

流れを簡単にすると、

不審なリンク
→ 不審なアプリをインストール
→ スマートフォンがマルウェアに感染
→ 第三者が端末を遠隔操作
→ PayPayで不正な送金・決済が行われるおそれ

となります。

つまり、「PayPayを使っているだけで突然お金が送られる」という話ではありません。

今回PayPayが問題としている入口は、利用者のスマートフォン側へ入り込んだ不審なアプリです。

PayPayがハッキングされた、という発表ではない

このニュースを「PayPayがハッキングされた」と受け取るのも違います。

少なくとも9月7日の公式発表は、

• PayPayのサーバーが侵害された
• PayPayから個人情報が流出した
• PayPayアプリの脆弱性が悪用された

という内容ではありません。

説明されているのは、不審なリンクから入れたアプリを起点として、利用者側のスマートフォンがマルウェアに感染するケースです。

もちろん、だからといって「PayPay側には絶対に何の問題も起こり得ない」という話ではありません。今回の注意喚起については、原因として示されている範囲を必要以上に広げないことが重要です。

どんなアプリやリンクに注意すればいい？

PayPayが例として挙げているのは、

• 不審なSMS
• 不審なメール
• SNSに表示される不審な広告
• そこに記載されたリンク

です。

PayPayは、公式アプリストアであるApp Store、Google Play以外のサイトや、不審なメッセージ・広告のリンクからアプリをダウンロードしないよう案内しています。

ただし、これを「App StoreやGoogle Playにあるアプリなら100％安全」と読み替えることはできません。

公式発表から言えるのは、PayPayが今回の対策として非公式な入手経路や不審なリンクからアプリを入れないよう求めているというところまでです。

自分のPayPayが被害に遭っていないか確認する方法

PayPay自身が最初に案内しているのは、取引履歴の確認です。

身に覚えのないアプリや不審なアプリをインストールしてしまった場合は、PayPayアプリの「取引履歴」を開き、

覚えのない送金がないか
覚えのない決済がないか

を確認します。

PayPayでは、ホーム画面やウォレットから取引履歴を確認でき、支払い、送金、チャージなどの履歴をたどれます。

「端末の管理」も確認できる

PayPayには、アカウントを利用している端末を確認する「端末の管理」機能もあります。

ホーム画面から、

アカウント
→ セキュリティとプライバシー
→ 端末の管理

と進むと、利用中の端末を管理できます。

PayPayは、すべての端末を削除してログアウトする機能も、不正アクセス対策の一つとして案内しています。

ただし、今回の注意喚起では「自分が使っているスマートフォンそのもの」が第三者に遠隔操作されるケースが問題になっています。

そのため、端末一覧に見知らぬ端末がなければ安全、と判断することはできません。

今回については、まず取引履歴を見ることが重要です。

身に覚えのない送金や決済があったらどうする？

不審な取引を見つけた場合は、内容を確認したうえで補償手続きへ進むことになります。

PayPayの現在の補償申請案内では、事前に警察へ被害を届け出ることが必要です。そのうえで、専用の「不正利用被害に伴う補償申請フォーム」から申し込みます。

補償申請について、現在の公式ヘルプが示している主な流れは、

1. 身に覚えのない取引を確認する
2. 被害内容や日時、金額などを整理する
3. 警察へ被害を届け出る
4. PayPayの補償条件を確認する
5. 専用フォームから補償を申請する

という形です。

クレジットカードを支払い元としている取引については、カード会社を通じて補償される場合があるため、PayPayはまず利用しているクレジットカード会社へ連絡するよう案内しています。

勝手に送金されたお金は補償される？

PayPayには第三者による不正利用に対する補償制度があります。

現在の公式ヘルプでは、利用中のPayPayアカウントで第三者による身に覚えのない請求が発生した場合などに補償を申請できるとしています。

主な条件として掲載されているのは、

• 損害発生日から60日以内の申請
• 初回申請、または前回申請から1年を超えている
• 家族や同居人などによる利用ではない
• 警察へ被害を届け出ている
• PayPay所定の審査条件を満たす

ことです。

補償金額については「全額」と案内されていますが、第三者から別途補償を受けられる場合は、その金額を差し引いた差額が対象となります。

つまり、

「不正利用なら無条件で必ず全額戻る」

という制度ではありません。

PayPayが個別の申請内容を審査し、補償規約の条件を満たしているか判断します。

公式ヘルプによると、現在は申請から審査完了まで約2～3カ月かかっており、状況によっては3カ月を超える場合もあります。

60日以内とはいつから数える？

補償制度で特に見落としたくないのが60日という条件です。

現行のPayPay補償制度に関する規約では、不正利用による損害が発生した日から60日以内にPayPayと警察へ申告することを求めています。

複数回にわたって継続的に損害が発生した場合は、その最終日から60日です。

ただし、期間内に手続きできなかったことについて合理的な理由があり、PayPay側がその理由を認めた場合には、補償の申出ができる例外も規約上用意されています。

そのため、

「60日以内なら必ず補償」
でも、
「60日を過ぎたら事情にかかわらず絶対に申請できない」

でもありません。

早めに確認・申告することが基本です。

「だまされて自分で送金」と「遠隔操作で勝手に送金」は違う

今回の記事で特に区別したいのがここです。

たとえば詐欺師から、

「料金をPayPayで送ってほしい」
「返金するので一度送金して」
「送れば倍にして返す」

などと言われ、それを信じて利用者本人が自分で「送る」を操作したケースがあります。

PayPayの一般向け補償ヘルプでは、

利用者自身がPayPay残高の「送る・受け取る」機能を使った取引は、補償制度の対象外

と明記されています。

一方、マルウェアに感染したスマートフォンを第三者が遠隔操作し、本人の意思とは関係なく送金した場合は事情が違います。

現行の補償規約は、第三者による利用者の意図しない不正利用を対象とし、その不正利用にはチャージ、決済、送金、出金などが含まれています。

したがって、今回注意喚起されているような遠隔操作による送金は、規約上の補償対象になり得ます。

ただし、「遠隔操作されたと申告すれば必ず補償される」という意味ではありません。

故意や重大な過失の有無、利用状況、申請内容などを含めてPayPayが審査します。

「本人が操作したら絶対に補償されない」とも単純化できない

さらに少し複雑なのが、公式ヘルプと規約の表現です。

一般向けヘルプでは「自分で送る・受け取る機能を使った取引は対象外」と案内されています。

一方、補償規約には、

本人操作であっても、第三者による不正利用と同等の事情があるとPayPayが認めたもの

を補償対象に含める規定があります。

この条項を根拠に、「詐欺で自分から送金しても補償される」と一般化することはできません。

通常の案内としては本人が自ら行った送金は対象外。ただし規約上、特殊な事情をPayPayが第三者不正利用と同等と判断する余地がある、という違いです。

個別の被害では自分だけで判断せず、実際の経緯を正確に申告することが重要になります。

本人確認していないと補償申請できない？

ここも公式ページを見ると、少し表現が異なります。

PayPayの「安全への取り組み」では、第三者による不正利用について全額補償を案内したうえで、**「全額補償を受けるにはPayPayでの本人確認が必要」**と明記しています。

一方、補償申請のヘルプでは、すべてのPayPayユーザー向けに補償制度を用意していると説明し、審査時に所定の本人確認を行うとしています。

さらに、事前に本人確認（eKYC）を済ませていると確認がスムーズとも案内しています。

このため、

「被害に遭う前にeKYCしていなければ申請そのものができない」

とまでは読めません。

現時点では、

補償審査では本人確認が行われる
全額補償を受けるには本人確認が必要
事前にeKYC済みなら審査時の確認がスムーズ

と分けて理解するのが安全です。

補償されない可能性があるのはどんな場合？

現行規約では、第三者による不正利用であっても、一定の場合には補償されないことがあります。

代表的なのは、

本人の故意または重大な過失によって生じた場合
家族・近親者・同居人などによる利用
規約違反がある場合
虚偽の申請
不正利用への協力があった場合
調査に協力しない場合
被害拡大を防ぐための協力をしない場合

などです。

そのため、「第三者が操作した」という一点だけで補償が確定するわけではありません。

一方で、規約には事情によって例外的に補償する余地も定められています。最終判断は個別審査です。

iPhoneも対象？Androidだけの問題？

PayPayは今回の9月7日の注意喚起で、特定のOSだけを対象とはしていません。

公式アプリストアとして、

App Store
Google Play

の双方を挙げ、不審なリンクやそれ以外のサイトからアプリをインストールしないよう案内しています。

したがって、

「Androidだけの話だからiPhoneは関係ない」

とは言えません。

一方で、PayPayは今回の発表で、

• iPhoneで何件発生した
• Androidで何件発生した
• 両OSでまったく同じ感染方法が使われた

といった内訳を公表していません。

「iPhoneでも同じ被害が多数発生している」といったところまで話を広げない方がよいでしょう。

PayPayを削除した方がいい？

9月7日の注意喚起では、PayPayはすべての利用者に対してアプリの削除や利用停止を求めていません。

公式が案内している中心は、

不審なリンクからアプリを入れない
App StoreやGoogle Play以外から安易にダウンロードしない
不審なアプリを入れてしまった場合はPayPayの取引履歴を確認する

ことです。

したがって、今回のニュースだけを理由に「すぐPayPayを削除すれば解決する」と考える必要はありません。

ただし、すでに不審なアプリをインストールしてしまった、端末が第三者に操作されている疑いがある、といった場合は話が別です。

PayPayの取引履歴だけでマルウェア感染そのものを診断できるわけではないため、「履歴に異常がない＝端末も安全」とは判断しないようにします。

被害を防ぐためPayPay側でできる設定もある

PayPayには、不正利用時の被害を抑えるための設定も用意されています。

たとえば「利用可能額の設定」では、

支払い
友達に送る
チャージ

について、1日・1カ月単位の上限を自分で設定できます。PayPay自身も、使いすぎ防止だけでなく不正利用時の対策として案内しています。

また、「端末の認証を有効にする」では、Touch IDやパスコードなどスマートフォン側の端末認証を利用できます。

「端末の管理」からログイン中の端末を確認・ログアウトする機能もあります。

これらは今回のマルウェア感染を直接検出したり除去したりする機能ではありませんが、PayPayを利用するうえで設定しておける安全対策です。

今回の注意喚起で分かっていないことも多い

2026年9月9日時点では、PayPayは今回の事例について詳細な被害統計を公表していません。

分かっていないのは、

• マルウェア感染が確認された具体的な件数
• PayPayで不正送金・決済まで発生した件数
• 被害総額
• 使用されたマルウェアの名称
• iPhone・Android別の件数
• どのようなアプリを装っていたのか
• どのSNSや広告から誘導されたケースが多いのか

などです。

そのため、「PayPayの不正送金被害が全国で急増している」といった規模感まで、この発表から読み取ることはできません。

確認できるのは、不審アプリによるマルウェア感染とスマートフォンの不正操作事例があり、それによってPayPayの送金や決済も不正操作されるおそれがあるとしてPayPayが注意を呼びかけているというところまでです。

まとめ｜「PayPayが勝手に送る」のではなく、端末の遠隔操作に注意

今回のPayPayの注意喚起で重要なのは、「PayPayそのものが勝手に送金するようになった」という話ではないことです。

不審なSMSやメール、SNS広告などのリンクからアプリをインストールし、スマートフォンがマルウェアに感染すると、その端末を第三者に遠隔操作されることがあります。その結果として、PayPayから本人の知らない送金や決済が行われるおそれがあります。

不審なアプリを入れた心当たりがある場合は、まずPayPayの取引履歴で身に覚えのない送金・決済がないか確認します。

もし不正な取引を見つけた場合、PayPayには第三者による不正利用を対象とした補償制度がありますが、原則60日以内の申請、警察への届出、本人確認、PayPayによる審査などの条件があります。

また、詐欺師にだまされて本人が自分で送金したケースと、第三者が遠隔操作して本人の意思に反して送金したケースでは、補償上の扱いが同じとは限りません。

ニュースを見てPayPay自体を恐れるより、不審なアプリを入れないこと、取引履歴を確認できる状態にしておくこと、異常があれば早めに記録と申告を進めることが、今回の注意喚起から押さえておきたい点です。