イメージ図です。汎用的な画面で、実在の銀行ではありません。
- ›
端末がオンライン偽アプリがサーバーに接続
第 2 版
レポート
モバイルバンキングアプリのセキュリティ動向 2025
Android と iOS の主要バンキングアプリ 500 本以上をスキャンしました。その結果をご紹介します。
調査結果
大半のバンキングアプリが、いまもバックエンドの鍵を配っている
最も多い発見事項
のバンキングアプリにハードコードされたシークレット
API キー、トークン、認証情報がコードやリソースファイルに含まれています。アプリをダウンロードすれば誰でも抜き出せます。
出典：Ostorlab による主要バンキングアプリ 500 件以上の分析（2025 年）
世界の主要バンキングアプリ 500 本以上を、Android と iOS で、静的・動的・振る舞い分析によりテストしました。
約 2 件に 1 件 のアプリが、既知の重大な欠陥を持つライブラリを含んでいます
テストしたアプリの 46%以上
約 10 件に 3 件 のアプリで生体認証ログインを回避できます
テストしたアプリの 28%以上
図 1.1
脆弱性ごとの影響を受けるバンキングアプリの割合
ルート化検知は 40% 以上のアプリで見つかりました。弱い暗号（ECB モード、MD5、固定 IV）は少数のアプリで見られました。
出典：Ostorlab による主要バンキングアプリ 500 件以上の分析（2025 年）
重大
最大 19 件
1 つのバンキングアプリで見つかった重大な脆弱性
大半のアプリは 0〜2 件です。一部のグループは 10 件以上です。バンキングアプリでは 1 件でも深刻です。
これらの脆弱性は理論上の話ではありません。両プラットフォームで数百万人のユーザーに影響する現実のリスクです。
アプリの年数
バンキングアプリは見た目より古い
ほぼすべてのアプリが過去 6 か月以内に更新を出しています。しかし多くは 10 年以上前に初めて公開されたもので、現在の攻撃を想定せずに書かれたコードの上に成り立っています。
47.7%
の iOS バンキングアプリが 2014 年より前に初リリース
古いコードベースを安全に保つには継続的な作業が必要です。リリースが頻繁でも、その作業が済んでいる証拠にはなりません。
図 2.1
初回リリース日別のバンキングアプリ
- 2008–11
- 2011–14
- 2014–16
- 2016–19
- 2019–22
- 2022–25
出典：Ostorlab による主要バンキングアプリ 500 件以上の分析（2025 年）
94.7%
の iOS アプリが過去 6 か月以内に新バージョンをリリース
88.8%
の Android アプリも同様
頻繁な更新は安全な更新を意味しません。多くのリリースは機能の追加や画面の変更で、最新バージョンが 1 年以上前のアプリはわずか 1% でした。
バックエンド
ほぼすべての銀行アプリが米国のサーバーと通信している
これらの銀行の大半は米国の銀行ではありません。米国の大手プロバイダーで侵害や障害が起きれば多くの銀行が同時に影響を受け、顧客データは米国の規制の対象になります。
図 3.1
バンキングアプリのバックエンドの所在地（順位）
>77% のバックエンド
バックエンド数の上位 10 か国
- 1アメリカ合衆国
- 2カナダ
- 3韓国
- 4アイルランド
- 5ドイツ
- 6フランス
- 7シンガポール
- 8オランダ
- 9オーストラリア
- 10中華人民共和国香港特別行政区
レポートはバックエンド数で 49 か国を順位付けしています。割合が示されているのは米国のみです。
出典：Ostorlab による主要バンキングアプリ 500 件以上の分析（2025 年）
iOS アプリが通信するサーバーはごくわずかで、78% が 2 つ以下です。Android アプリはそれよりはるかに多く、その 1 つひとつが保護すべき対象です。
技術スタック
数百のバンキングアプリに、同じ部品
スキャンでは各アプリに含まれる言語、ネイティブコード、ライブラリを特定しました。人気のライブラリ 1 つに欠陥があれば、数百の銀行に同じ欠陥があることになります。
zlib
データ圧縮
~55%
バンキングアプリ 10 件中
OpenSSL
通信の暗号化
>51%
バンキングアプリ 10 件中
SQLite
ローカルデータ保存
>35%
バンキングアプリ 10 件中
Firebase
バックエンドサービス
34%
バンキングアプリ 10 件中
仮定ではありません：スキャンでは、既知の脆弱性を持つ zlib 1.2.8 がバンキングアプリから見つかりました。
その他の構成要素C/C++ >72%Kotlin（Android） >61%Objective-C（iOS） >65%
機能生体認証ログイン >65%アナリティクス >45%ユーザー追跡 1%
権限
銀行には不要なアクセスを求めるアプリもある
権限はどれも侵入口になります。大半の要求はバンキングアプリの機能に見合っていますが、説明しにくいものもあります。
妥当
バンキングアプリに本来必要と考えられる権限です。レポートに割合がある場合はバーで示しています。
- カメラ ~95%
- Face ID 80%
- 指紋・生体認証 ~80%
- ネットワークアクセス ほぼすべて
- 通知 一般的
- 正確な位置情報 広く使用
正当化が難しい
一部のアプリは、銀行業務での用途が明確でないアクセスを要求しています。バンキングアプリが求める権限は必要最小限にすべきです。
バックグラウンドサービスから音声を録音する
FOREGROUND_SERVICE_MICROPHONEバンキングアプリにこれは必要でしょうか？
Android バンキングアプリの約 40% は 11〜20 個、16% は 21〜30 個のバックグラウンドサービスも実行しています。サービスが増えるほど、守るべき侵入口も増えます。
ケーススタディ
ToxicPanda に見る、バンキング型トロイの木馬が口座を空にする手口
ToxicPanda は、2024 年末に Cleafy が特定した Android 向けバンキング型トロイの木馬です。被害者自身のスマートフォンからアカウントを乗っ取って送金するため、多くの不正検知をすり抜けます。
攻撃の流れ
65%
の感染端末がイタリアに所在
次いでポルトガルが 21.4% でした。当初はヨーロッパと中南米のユーザーを標的にしていました。
図 6.1
感染端末の所在地
- イタリア
- ポルトガル
- その他
出典：Cleafy（2024 年）
再起動後も動き続け、ユーザー補助がオフにされると再び許可を求めます。サーバーが停止されても、生成したドメインに切り替えます。出典：Cleafy、Bitsight。
今後の動向
これから変わること
新しい技術は利便性をもたらしますが、攻撃者も同じ技術を使って同じ速さで動いています。
生体認証とブロックチェーン
- 期待
- 指紋や顔認証、ブロックチェーンはセキュリティを高め得ます。
- 新たなリスク
- 盗まれた生体情報は変更できず、ブロックチェーンも構築や統合の部分で弱点になり得ます。
他のアプリに組み込まれる銀行機能
- 期待
- ショッピング、配車、SNS アプリ内の金融サービスは利便性と新しいサービスをもたらします。
- 新たなリスク
- 攻撃対象領域とプライバシーリスクが広がり、あらゆる第三者の厳格な審査が必要です。
デジタル専業銀行
- 期待
- デジタル専業銀行は銀行のあり方を変え、既存のルールに挑んでいます。
- 新たなリスク
- コンプライアンスの欠落があり、頼れる店舗がないため侵害や障害が信頼に与える打撃は大きくなります。
攻守双方の AI
- 期待
- AI は銀行サービスと不正検知を向上させます。
- 新たなリスク
- 偏ったまたは不透明なモデル、AI 自体への攻撃、顧客や行員になりすますディープフェイク。
対応策
すべてのビルドにセキュリティを
開発の各段階での自動スキャン、OWASP Mobile Top 10 などのセキュアコーディング基準、バグを早期に見つける AI ツール。
テストの方法
- 500 件以上のバンキングアプリ世界の主要アプリ（Android と iOS）。
- 01静的解析Ostorlab のエンジンが各アプリのコードとファイルを読み、シークレット、脆弱な依存関係、インジェクション、弱い暗号を調べました。
- 02動的解析Monkey Tester が管理された環境で各アプリを実行・操作し、API フッキングを行いました。
- 03バックエンドのテスト傍受した通信を既知の脆弱性について確認し、SQL インジェクションと XXE のファジングを行いました。
- 発見事項本レポートの全アプリを通じて集計した問題。
対象外： ログイン後の問題。動的スキャンはアプリにログインせずに実施しました。
セキュリティは後回しにしたり、コンプライアンスのチェック項目で済ませたりできるものではありません。すべてのバンキングアプリの設計、開発、リリースに組み込む必要があります。
すべての版
- 2025Mobile Banking App Security Research 2025世界の主要バンキングアプリ 500 本以上、Android と iOS。現在ご覧の版です
- 2024Security Landscape of Mobile Banking Applications in North America第 1 版：米国とカナダのバンキングアプリ。レポートを読む