「PayPay8周年記念！2万円配布中」は詐欺？電話番号入力後の対処

「PayPay8周年記念！全ユーザーに2万円配布中」というリンクを開いて、電話番号だけ入れたところで手が止まった。画面のURLが本物と違うと気づいた——そういう場面の話です。結論から書くと、電話番号だけを入力した段階では、PayPayの残高が動くことはありません。

一方で、入れた番号が「カモリスト」（詐欺グループが使う、反応した人の名簿）側に残る流れは別問題になる。ここから不審なSMSや電話が増えていきます。

この記事で分かるのは3つです。入力した範囲ごとに危険度がどう変わるか。PayPay公式アプリのどこを見ればいいか。そして、このあと届くメッセージにどう向き合うか。順番に整理していきます。

「8周年記念で2万円配布」は偽サイト側の文言です

まず押さえたいのはここになる。PayPayの公式キャンペーン一覧に、この「8周年記念2万円配布」という案内は載っていません。この記事を書いている時点で、公式が出している企画ではないという扱いです。つまり文言そのものが、偽サイト側で作られたものになる。

やっかいなのは、リンクがSNSや友人経由で回ってくる点です。知っている人から届くと、それだけで公式の案内に見えてしまう。送った側も気づかずに広げていることがあります。だから「誰から届いたか」は、本物かどうかの判断材料になりません。

金額の大きさも釣り針になっている。2万円という数字は、立ち止まる時間を奪うために置かれています。画面の色やロゴがPayPayそっくりに作られていても、そこは判断に使えない。フィッシング詐欺（本物そっくりの画面で情報を抜き取る手口）の入口は、だいたいこの形だった。

電話番号だけで断定できること、断定できないこと

断定できることが2つあります。1つ目は、電話番号を入力しただけで決済も送金も発生しないという点です。番号そのものは支払いの実行には使えません。だからその場で残高が減ることはない。

2つ目は、入力した番号が相手側に「反応のあった有効な番号」として残る点になる。これがカモリストです。一方で、その番号がどのくらいの期間、どこまで共有されるのかは分かっていません。ここは公表されていない部分です。

そして、いちばんまずいのは「電話番号だけなら大丈夫」と読み替えて、そこで警戒をやめることになる。実際に効いてくるのは、このあと番号あてに届くもののほうです。

この番号あてに、別の名目のSMSが増える
「PayPayサポート」を名乗る電話がかかってくる形もある
身に覚えのないSMS認証のコードが届く場合がある。その数字は誰にも伝えない

入力した範囲で危険度が変わる。まずここを整理

個人的に最初に見分けるのは、入れたのが電話番号だけなのかどうかです。パスワードやカード情報まで含んでいたなら、話が変わる。ここの線引きで、やることが変わってきます。

ケース1：電話番号のみを入力した

アカウント乗っ取りの直接の材料にはなりません。ログインには、ほかの情報が必要になる。この段階でやることは、届くメッセージを開かないことだけです。

ケース2：パスワードも入力した

PayPay公式アプリを開いて、パスワードを変えてください。ブラウザに残ったリンクからではなく、アプリ側から操作します。同じパスワードを他のサービスでも使っているなら、そちらも変える。

ケース3：SMS認証のコードを入力・返信した

ここはアカウント乗っ取りに直結する段階になる。届いた数字を相手に渡した時点で、鍵を渡したのとほぼ同じです。パスワードの変更を先に済ませ、そのあと取引履歴を見ます。

ケース4：クレジットカード番号を入力した

不正利用の入口はここです。先にカード会社へ連絡します。カードを止めるか、番号を作り直すかの判断はカード会社側が持っている。PayPay側の確認は、そのあとでも間に合います。

PayPay公式アプリで取引履歴とURLを確認する

PayPay公式アプリを開き、取引履歴に身に覚えのない送金や支払いがないか見る
開いたページのURLの末尾が paypay.ne.jp かどうかを見る。違うものは偽サイトです
ログイン情報や個人情報を、アプリの外の画面で入れていないか思い出す

確認はブラウザの履歴からたどるのではなく、アプリを直接開いて行います。履歴に残っているのは、そもそも偽サイトのページかもしれない場所です。同じリンクを踏み直すと、そこで二次被害が始まる。

取引履歴の反映には少し時間がかかることもあります。数分ほど置いてもう一度開けば、表示は追いつく。不正利用が疑われるときの相談先は、PayPayのヘルプページにまとまっています。

このあと届くSMSや電話への向き合い方

番号が残ったあとに増えるのは、だいたい決まった文面です。「【PayPay】お客様のアカウントに利用制限がかかりました」。「【重要】PayPayアカウントの本人確認が必要です」。「未払い金があります。PayPayでのお支払いをお願いいたします」。どれも不安をあおって、リンクを開かせるための入口になる。

そこでリンクを開き直すと、今度はパスワードやカード情報の入力画面に進みます。最初に電話番号だけで止まっていても、二回目でつかまるとそこは意味がなくなる。ルールは一本でいい。開かない、削除する、それだけです。

むしろ手を動かすべきなのは、パスワードの使い回しのほうになる。偽サイトで入れた文字列を、他のサービスでも使っているなら、そこは変えておきます。本人確認や利用制限の話は、公式アプリを開けば中で確認できる。SMSから入る必要はありません。