docomo、au、Softbank、Y!mobileの回線とひもづくスマホで利用できる決済サービス（ドコモ払い/d払い*、auかんたん決済、ソフトバンクまとめて支払い、ワイモバイルまとめて支払い）です。キャリア決済に対応する店舗やショッピングサイトでバーコードを提示したり、各通信事業者が提供するサービスを利用するためのIDとパスワード（dアカウント、au ID、 SoftBank ID）、暗証番号を入力したりするだけで、買い物代金を月々の通信料金と合算して支払うことができます。
*：d払いはドコモ回線以外も利用可能

スマホに搭載されたFeliCa、NFC、Bluetoothなどを利用して決済する仕組みです。SuicaやEdy、QUICPay、iDなどのサービスがあり、スマホを店舗の専用端末にかざすだけで決済できます。利用にあたっては各サービスの専用アプリをインストールし、事前にチャージ（入金）しておくか、クレジットカード情報などを登録しておく必要があります。

QRコードを利用して決済する仕組みです。国内ではPayPayや楽天Pay、Origami Pay、LINE Payなどのサービスが展開されています。QRコード決済の方法は2通りあります。1つは、店舗から提示されたQRコードを利用者がスマホで読み取り、支払額を入力するものです。もう1つは、利用者がスマホに表示したQRコードを店舗の専用端末などで読み取ってもらう方法です。いずれも利用者が各サービスの専用アプリをインストールし、クレジットカードや銀行口座などの決済に必要な情報を登録していることが前提になります。

サイバー犯罪者は、決済サービスに用いられる認証情報（IDとパスワード）を入手しようとしています。たとえば、通信事業者を装うSMSやメールで「キャリア決済が不正利用された可能性がある」などと通知し、メッセージ内の不正なURLリンクから受信者をフィッシングサイトへ誘導する手口が確認されています。通信事業者の正規のログインページと誤認してIDとパスワードを入力すると、続けてクレジットカード情報の入力を求められるケースもあり、入力したすべての情報がサイバー犯罪者の手に渡ってしまいます。

サイバー犯罪者はフィッシング詐欺などで入手した認証情報をリスト化し、それらを用いてさまざまなサービスへのログインを試します。複数のサービスに同一のIDとパスワードの組み合わせを使い回していると、決済サービスを含む各種サービスのアカウントを芋づる式に乗っ取られるリスクを高めてしまいます。

小型でどこにでも持ち運べるスマホは盗難、紛失に遭いやすいものです。万一、悪意のある第三者の手に渡ってしまうとスマホを操作され、決済アプリを不正利用される可能性があります。

サイバー犯罪者は何らかの方法で入手した被害者のクレジットカード情報（カード番号、有効期限、セキュリティコード）を犯罪者のスマホ決済アプリに登録し、勝手にチャージした上で商品を購入するかもしれません。クレジットカード利用者ならだれもが不正利用に遭う可能性があります。

スマホ決済の広がりとともに、新しいサービスが次々と登場しています。お金に直結するサービスは犯罪者に狙われる傾向にあり、アプリやサービスの脆弱性を悪用される可能性があります。

アカウント情報やクレジットカード情報などの入力を求めるWebページにたどり着いたら一度立ち止まり、URLなどをもとに正規のサイトかどうかを必ず確認しましょう。メールやSMS、Web広告などから誘導されたWebサイトは詐欺サイトを疑ってかかるべきです。ネット詐欺の手口を知ることも自衛策の基本です。

アカウントの不正アクセスを防ぐため、サービスごとに異なるIDとパスワードの組み合わせを使用すること、そして二要素認証などを設定できる場合は必ず有効にしましょう。二要素認証は、サービスのログイン時にIDとパスワードだけでなく、認証コードなどの異なる情報も入力させることで認証の精度を高める仕組みです。認証コードは事前に登録したスマホに送られるSMSや専用アプリなどで取得する必要があるため、たとえ悪意のある第三者がIDとパスワードを入手してもアカウントの認証を突破するのは極めて困難になります。

決済アプリを入れているスマホには必ず画面ロックをかけておきましょう。これは、一定時間触れずにいると自動で画面をロックする機能です。ロック方式はパスワードや暗証番号、指紋や顔などの生体情報から選べます。ロックを解除するためには、事前に登録したパスワードや暗証番号を入力したり、生体情報を読み込ませたりしなければならないため、盗難、紛失時などに第三者にスマホを不正操作されにくくなります。

サービスによってはスマホに入れた決済アプリそのものにロックをかけることができます。ロックを解除するためには、事前に登録した暗証番号やパスワード、指紋などによる認証が必要になるため、盗難、紛失時などに第三者にアプリを不正利用されにくくなります。クレジットカードや銀行口座と直結し、高額決済が可能なアプリではロックが必須です。

スマホの盗難、紛失に備え、スマホのGPSと「iPhoneを探す（iOSの場合）」「端末を探す（Android OSの場合）」機能を有効にしておきましょう。ネットに接続されたパソコンなどからスマホの位置を特定したり、遠隔からスマホをロックしたりすることができます。いざという時に慌てないため、平常時にスマホを探す手順を試しておくことが大切です。

セキュリティを考慮して設計された決済サービスを利用しましょう。二要素認証やアプリ起動時に本人認証を求める機能などは必須と言えそうです。また、決済サービス事業者によってプライバシーポリシーや不正利用に遭った際の補償要件なども異なるため、よく比較した上でサービスを選択しましょう。月々の利用可能額やチャージの上限額を低めに設定しておくことも対策として有効です。

ポイント還元などを目当てにインストールしたものの、使わなくなった決済アプリもあるかもしれません。使わなくなったアプリをそのまま放置していても不正利用や情報漏えいのリスクになるだけです。チャージ用に登録したクレジットカードや銀行口座の情報を削除した上でアンインストールしましょう。

OSや、Adobe Acrobat Readerなどのソフトの脆弱性（セキュリティの穴）を悪用するサイバー攻撃への備えはMacでも必須です。macOSでも過去に、端末を不正操作されたり、端末内の情報を漏えいさせたりする脆弱性が見つかりました。開発元からOSやソフトの更新通知が届いたらできるだけ早く適用してください。また、脆弱性を悪用した攻撃に限らず、マルウェアやさまざまなネット詐欺から守るために、Macにもセキュリティソフトは必須です。最新の脅威に対抗するために、セキュリティソフトも最新の状態に保ちましょう。

利用したいアプリがある場合はAppleが運営するMac App Storeから入手しましょう。Mac App Storeでは、Appleによる安全性の審査を通過したアプリだけが公開され、審査基準に満たないアプリは排除されるためです。ただし、公式のアプリストアであっても、審査の目を逃れて不正なアプリがまぎれこんでいる場合があります。ダウンロードする前に、必ずレビューや詳細情報などをよく確認するように心がけましょう。アプリをダウンロードする際の確認ポイントは参考記事で紹介しています。

街中にはセキュリティに不備がある公衆Wi-Fiスポットも存在します。もし、こうしたWi-Fiスポットを利用すると、第三者に通信内容を盗み見られてしまうかもしれません。公衆Wi-Fiにつなぐ場合は、通信事業者などの信用できる事業者や団体が提供する、通信が暗号化された（WPA２以上）Wi-Fiスポットを優先的に利用しましょう。加えて、VPNソフトを使うことで、安全な通信を確保できるためさらに安心です。

また、自宅のネットワークも安全に利用できるよう、設定を確認しておきましょう。

Macを利用する上で、Apple IDはかかせません。万一アカウントが不正利用された場合、情報漏えいや金銭被害につながる可能性もあります。アカウントの不正利用を防ぐポイントの1つは、他のサービスと異なるIDとパスワードの組み合わせを使用することです。そして、2ファクタ認証（二要素認証）を必ず設定してください。これにより、サービスのログイン時にIDとパスワードだけでなく、事前に登録した機器で取得できる認証コードの入力も必要になるため、第三者による不正ログインへの対策を強化できます。

Apple ID の 2 ファクタ認証
https://support.apple.com/ja-jp/HT204915

ネット利用者はフィッシング詐欺に注意が必要です。これは、実在する金融機関や各種インターネットサービスの正規のログインページを装う偽サイト（フィッシングサイト）へ誘導し、そこで入力させた個人情報やクレジットカード情報、認証情報（IDとパスワード）などを盗み出す手口です。

トレンドマイクロによると、2019年第1四半期（1月～3月）にフィッシングサイトへ誘導された国内利用者数は100万件を突破し、前四半期比の約1.6倍に増加しました。メールを起点としたフィッシング詐欺キャンペーンは41件確認され、そこから誘導されるフィッシングサイトの約8割はインターネットサービスの認証情報を入力させようとするものでした。

フィッシング詐欺では、人の心理の隙につけ込むソーシャルエンジニアリングが多用されます。誰もが知っているような大手企業を名乗るメールで「パスワードの有効期限が迫っている」「不正なアクセスを確認したのでログインし直してください」などと通知して受信者の不安をあおり、URLリンクを開かせる手口はその典型です。誘導先がフィッシングサイトと気付かずに入力した情報はサイバー犯罪者の手に渡ってしまいます。

サイバー犯罪者は、フィッシング詐欺やインターネットサービス事業者へのサイバー攻撃など、何らかの手口で不正に取得した認証情報や、闇市場で購入した漏えい情報をリスト化し、それらを用いて各種サービスへのログインを試みます。このため、複数のサービスに同一のパスワードを使い回していると、アカウントを芋づる式に乗っ取られるリスクを高めてしまいます。

個人情報や金銭に関わるようなサービスを提供しているWebサイトでは、利用者のアカウントを守るためにパスワード以外の認証（ログイン）手順を提供している場合があります。このような認証方法を利用していない場合、設定済みのパスワードを突破されただけでアカウントを乗っ取られてしまいます。

犯罪者の手口や狙いを知ることは、自衛策の基本です。日頃からセキュリティ事業者や関連団体などが公表する注意喚起情報に目を通しておきましょう。

フィッシング対策協議会
https://www.antiphishing.jp/

警視庁サイバーセキュリティ対策本部
https://twitter.com/MPD_cybersec

当選、限定キャンペーンなどのおいしい話は安易に信用しないようにし、文章内のリンクや添付ファイルを不用意に開かないでください。まずはその企業のホームページに掲載される注意喚起情報を一読したり、電話などで直接問い合わせたりして事実確認を行いましょう。オンラインゲームでは、ゲーム内のチャットなどを介して魅力的な条件のトレード話を持ちかけ、そこからフィッシングサイトへ誘導する手口が報道されています。ゲーム内のアイテムをだれかとやり取りする場合は、ゲーム事業者が提供する公式のトレードサイトを利用しましょう。また、ゲームを有利に進められるとそそのかし、不正ファイルをダウンロードさせてマルウェア(ウイルス)に感染させる手口も報道されています。現実でもネットでも甘い話には十分気をつけましょう。

メールやSNS、ネット広告、関連情報などからたどり着いたWebサイトは偽サイトかもしれません。ログインや情報入力を促すサイトには十分注意が必要です。ネット利用者に情報を入力させるWebサイトでは最低限、SSL（情報を暗号化して送信し、第三者による通信内容の盗み見を防いでくれる仕組み）に対応していることを確認しましょう。SSLに対応するWebサイトはアドレスバーのURLが「https://」で始まり、「鍵マーク」が表示されます。ただし、SSLに対応した偽サイトも存在するため、正規のサイトかどうか十分に確認してから利用しましょう。よく使うサービスについては正規のURLをブックマークに保存しておき、リンクなどからのアクセスを避けることも対策の1つです。

サービスごとに異なるパスワードを使うこと、そしてIDが変更できる場合はIDも固有のものを設定しましょう。さらに、二要素認証や多要素認証など、IDとパスワード以外の認証手順を設定できる場合は必ず有効にしてください。たとえば、二要素認証（2段階認証と呼ばれる場合もある）はサービスのログイン時にIDとパスワードだけでなく、SMSや専用アプリで取得できる認証コードも入力させることでアカウントの不正利用を防ぐ仕組みです。

クレジットカードやポイントの利用履歴をこまめにチェックし、不正利用の痕跡がないことを確認しましょう。万一、身に覚えのない利用履歴を見つけた場合、直ちにクレジットカード会社やポイントの発行元に連絡し、被害を最小限に留めるようにしましょう。そして、被害状況に応じて警察などに届け出を行ってください。

都道府県警察サイバー犯罪相談窓口
https://www.npa.go.jp/cybersafety/

使わなくなったアカウントを放置していると、何かの拍子にアカウントを乗っ取られてもその事実に気づきにくく、情報を盗み見られたり、悪用されたりするリスクを高めてしまいます。不要なアカウントは登録情報を削除し、退会手続きを行いましょう。

セキュリティソフトやアプリは、不正なURLを警告し、フィッシングサイトや偽サイトへのアクセスを未然に防ぐ手伝いをしてくれます。次々と生み出される新たな脅威に対抗するため、セキュリティソフトやアプリを常に最新の状態に保ちましょう。

公式のアプリストアからアプリを入れる前に、アプリ名や開発元を検索し、不正アプリかどうかを判断するための情報を収集しましょう。企業の公式アプリにもかかわらず、開発元が個人名になっている場合の正当性の判断には慎重さが求められます。
また、アップデートが長期間されていないアプリは、不正アプリではなくても、不具合や脆弱性（セキュリティの穴）が残されたままになっているかもしれません。入手する前に類似アプリと比較検討し、信用できるアプリを選択しましょう。

アプリのダウンロードページからレビューの数やその内容を確認しましょう。「起動しない」などの悪評が多いアプリや、評価が不自然に二分しているアプリの入手には慎重になるべきです。口コミが全く見当たらないアプリは、配布されて間もない不正アプリかもしれません。複数のWebサイトから情報を収集して比較し、真偽を判断するなどし、すぐに必要ではない場合はしばらく様子をみてから入手するようにしましょう。

Android端末では、アプリのインストール時にそのアプリが必要とする権限を一覧で表示してくれます。それらの項目を注意深く確認することで不正アプリを識別できることもあります。たとえば、シンプルな電卓アプリが、「連絡先データの読み取り」「現在地の読み取り」など、アプリ本来の機能や目的から外れるような権限を求めている場合は不正アプリの疑いがあります。
iPhoneの場合は、アプリをインストールした後に、設定画面から該当のアプリを選択するとアクセス権限の設定を確認、変更することができます。設定画面の「プライバシー」へ進めば、アプリごとに「位置情報サービス」や「連絡先」などへアクセスする権限を付与するか否かを選択できます。
また、不正アプリではなくても、必要以上に権限を求めるアプリは、過度に利用者情報を収集している場合があります。プライバシーポリシーなどを参照し、本当にそのアプリが必要かどうかよく考えてから入手しましょう。

万一、不正アプリのインストールボタンをクリックしてしまったとしても、セキュリティアプリがそのアプリをスキャンし、不正なものと判断した場合インストールをブロックしてくれます*。さまざまなアプリをインストールする前に、必ずセキュリティアプリを入れておきましょう。
*：アプリのスキャンはAndroidのみ可能