TrueMoney Walletの乗っ取り：タイでアカウントが盗まれる手口と対策

TrueMoney Wallet（ทรูมันนี่ วอลเล็ท）は、タイで最も人気のある電子ウォレットの1つで、請求書の支払いからオンラインショッピング、送金まで、数百万人が利用しています。この人気がサイバー犯罪者の格好の標的にしています。2025年にはアカウント乗っ取りの事案が急増し、被害者はウォレットへのアクセスを失い、数分で残高を奪われています。

攻撃手法を理解することが、最初の防衛線となります。

TrueMoneyアカウントが乗っ取られる手口

1. ソーシャルエンジニアリングによるOTP傍受

最も一般的な攻撃は、電話やLINEメッセージから始まります。詐欺師はTrueMoneyカスタマーサポート、銀行員、さらには警察官になりすまします。「お客様のアカウントに不審な操作が検出されました」や「払い戻しが保留中です」と緊急性を演出します。

目的は常に同じで、携帯電話に送られるOTP（ワンタイムパスワード）を聞き出すことです。その6桁のコードを入手されれば、数秒でアカウントにログインされ、残高が抜き取られます。

2. SIMスワップ攻撃

SIMスワップでは、攻撃者が携帯キャリア（TRUE、AIS、DTAC）を説得し、あなたの電話番号を新しいSIMカードに移行させます。番号を掌握した後、全てのOTPやパスワードリセットコードを受け取り、次のように進行します。

1. TrueMoneyのパスワードをリセット
2. 新しいSIMでOTPを受信
3. アカウントを完全に乗っ取り
4. 残高をミュール口座に送金

3. LINE経由のフィッシングリンク

詐欺師は偽のTrueMoneyログインページへのリンクを含むLINEメッセージを送信します。よくあるメッセージ例：

• 「お客様のTrueMoney Walletが停止されます。今すぐ確認してください：[偽リンク]」
• 「500THBのキャッシュバックを受け取れます。こちらから請求：[偽リンク]」
• 「TrueMoneyの利用を続けるためにKYC情報を更新してください：[偽リンク]」

偽ページは本物のTrueMoneyサイトとほぼ同一で、電話番号、パスワード、OTPをリアルタイムで窃取します。

4. 悪意あるアプリとAPKファイル

一部の詐欺師は、「TrueMoneyセキュリティツール」を装ったリモートアクセスアプリ（TeamViewerやAnyDeskなど）のインストールを被害者に促します。また、OTPを含むSMSメッセージを読み取るマルウェアが組み込まれた偽APKファイルをLINEグループ経由で配布するケースもあります。

攻撃手法の比較

攻撃手法	攻撃者の難易度	成功率	あなたの防御力
OTPソーシャルエンジニアリング	低	非常に高い	高（OTPを共有しない）
SIMスワップ（สวอปซิม）	中	高い	中（キャリア依存）
LINEフィッシング（ฟิชชิ่งไลน์）	低	高い	高（リンクをクリックしない）
悪意あるAPK	中	中	高（不明なアプリをインストールしない）
リモートアクセスアプリ	低	非常に高い	高（見知らぬ人の要求でインストールしない）

TrueMoney Walletのセキュリティ強化手順

今すぐ実行すべきこと

1. 強力なPINを設定 — 誕生日、電話番号、繰り返し数字でない6桁PINを使用
2. 生体認証ログインを有効化 — 可能な限りPINの代わりに指紋認証またはFace IDを使用
3. 全通知をオン — 全ての取引、ログイン、パスワード変更のアラートを受信
4. 連携口座を確認 — もう使用していない銀行口座やカードを解除

OTP保護

5. OTPは絶対に誰にも教えない — TrueMoneyが電話、LINE、SMSでOTPを求めることはありません
6. 自分が要求していないOTPリクエストは無視 — 要求していないOTPコードが届いた場合、誰かがアカウントにアクセスを試みています
7. TrueMoneyに直接連絡 — TrueMoneyを名乗る人物から連絡があった場合、電話を切って1240（公式ホットライン）に電話

デバイスセキュリティ

8. TrueMoneyは公式ストアからのみダウンロード — Google Play StoreまたはApple App Store
9. LINE、SMS、メールで送られたAPKファイルは絶対にインストールしない
10. 知らない人の要求でリモートアクセスアプリを絶対にインストールしない
11. スマートフォンのOSを最新に保つ — セキュリティパッチが既知の脆弱性から保護
12. 画面ロックを使用 — スマートフォン自体にPIN、パターン、指紋、またはFace IDを設定

SIM保護

13. SIM PINを設定 — キャリアショップでの不正なSIMスワップを防止
14. 本人確認書類でSIMを登録 — 未登録のSIMはスワップが容易
15. キャリアに連絡してSIM変更の追加認証を設定（TRUE: 1242、AIS: 1175、DTAC: 1678）

機密アカウント情報を安全に保管する

TrueMoneyのアカウント情報、リカバリーコード、PINのメモを保存・共有する必要がある場合、LINEのチャットやスマートフォンのメモに保存するのは危険です。LOCK.PUBを使って、自動的に期限切れになる暗号化・パスワード保護付きメモを作成しましょう。パスワードを知っている人だけが閲覧でき、設定時間後に消滅します。スクリーンショットやテキストメッセージよりはるかに安全です。

アカウントが侵害された場合の対処

1. TrueMoneyに直ちに電話（1240）でアカウントを凍結
2. 安全なデバイスからパスワードを変更
3. 取引履歴を確認し、不正な送金を記録
4. 連携銀行口座に影響があれば銀行に連絡
5. thaipoliceonline.comまたは最寄りの警察署で被害届を提出
6. アンチオンライン詐欺オペレーションセンターに報告（1441）
7. 携帯キャリアに確認 — 不正なSIM変更がないかチェック

攻撃のサインとなる危険信号

• OTPを求める電話やメッセージ — 常に詐欺です
• 「アカウント確認」のためにアプリのインストールを求められる — 常に詐欺です
• 要求していないOTPコードが届く — 誰かがログインを試みています
• 突然電話の電波が途切れる — SIMスワップの可能性
• 知らない連絡先からのLINEメッセージ内リンク — フィッシングの可能性

まとめ

TrueMoney Walletは設計上安全ですが、鍵を自ら渡してしまうとどんなシステムも守れません。OTPは最後の防衛線です。誰が聞いてきても、どんなに緊急であっても、絶対に共有しないでください。

機密性の高いアカウント情報、PIN、リカバリー情報の保管には、LOCK.PUBで閲覧後に自動消滅する無料の暗号化メモを作成できます。