Banking Report 2025: Security at the Core of Mobile Finance（新しいタブで開きます）
500 以上のモバイルバンキングアプリの調査結果：どの保護策が導入され、どこにギャップがあるか。PDF レポート付き。
リサーチ
Ostorlab の独自セキュリティリサーチ
モバイルとバンキングのセキュリティ調査、私たちが開示した脆弱性、AI エージェントの発見、そして私たちが保守するオープンソースツール。各項目は記事本文またはコードにリンクしているので、詳細をご自身のチームで確認できます。
表示件数：26
独自リサーチ
モバイルバンキングアプリの調査、私たちが発見し報告した脆弱性、バンキングマルウェアの脅威リサーチ。
バンキングレポートシリーズ
継続して調査するモバイルバンキングのセキュリティ
モバイルバンキングアプリ調査の 2 つの版です。あわせて読むと、保護策とよくある弱点の変化がわかります。
Security Landscape of Mobile Banking Applications in North America（新しいタブで開きます）
北米のバンキングアプリを対象にした前回の版。比較の基準として。
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter（新しいタブで開きます）
iOS と Flutter アプリが使う ZIP ライブラリの 5 件の CVE。自社アプリが依存関係を通じて引き継ぎうるリスクです。
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass（新しいタブで開きます）
Signal から Android SDK に至る脆弱性の連鎖。Signal は 3 時間で報告を確認し修正しました。CVE は割り当てられていません。
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails（新しいタブで開きます）
本番環境の 5 つのバンキングアプリを 4 つの商用アプリ保護製品に対してテスト。検知は機能しても、防御の実行が機能しない箇所を示します。
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform（新しいタブで開きます）
多段階型の Android バンキングマルウェア基盤の静的解析。顧客のスマートフォンが直面する種類の脅威です。
One Scheme to Rule Them All: OAuth Account Takeover（新しいタブで開きます）
カスタム URL スキームの乗っ取りによるアカウント乗っ取り。モバイルバンキングのログインフローにも当てはまるパターンです。
zCamera, 100M+ installation app, from remote compromise to data leaks（新しいタブで開きます）
インストール数 1 億以上のアプリで、リモートからの侵害がデータ漏えいに至るまで。
AI エージェントの実践
エージェント型ペネトレーションテストで AI エンジンが発見した脆弱性。まずモバイルアプリ、次にその背後の API。
Javascript Interface Exposure（新しいタブで開きます）
AI エンジンが、ディープリンク経由で到達できる WebView の JavaScript ブリッジを Android アプリで発見しました。
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes（新しいタブで開きます）
AI エンジンが、探すよう指示されていない脆弱性クラスを発見。WebView の Safe Browsing 回避も含まれます。
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection（新しいタブで開きます）
AI エンジンが Android のインテントリダイレクトを発見し、動作する概念実証で証明した過程。
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions（新しいタブで開きます）
バックエンド API の GraphQL サブスクリプションにおけるアクセス制御の不備。モバイルアプリの背後にあるサーバーの問題です。
AI Engine Triggers Account Takeover via API Version Confusion（新しいタブで開きます）
古い API バージョンに残っていたパスワードリセットのフローを介したアカウント乗っ取り。
テクニック
モバイルセキュリティの実務者向け解説：難読化、計装、リバースエンジニアリング、証明書ピンニング。
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites（新しいタブで開きます）
シグネチャ照合と LLM による書き換えで、難読化された Android アプリから読めるコードを取り戻す方法。
Swift Under the Microscope: Practical Dynamic Instrumentation（新しいタブで開きます）
iOS アプリの Swift コードを動的に計装する実践的な手法。
Flutter Reverse Engineering and Security Analysis（新しいタブで開きます）
Flutter で作られたアプリをリバースエンジニアリングし、評価する方法。
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB（新しいタブで開きます）
LLDB による SSL ピンニングの汎用的な回避。理論から動作する概念実証まで。
Application Security Testing on non-Jailbroken iOS from Linux（新しいタブで開きます）
Linux マシンから、脱獄していないデバイス上の iOS アプリをセキュリティテストする方法。
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files（新しいタブで開きます）
ソースマップファイルを使って依存関係の混乱を検出する手法。
ベンチマークとテスト用アプリ
意図的に脆弱性を持たせたアプリとベンチマーク。当社製品を含め、あらゆるモバイルセキュリティツールの評価に使えます。
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact（新しいタブで開きます）
実際の CVE とバグバウンティの発見をもとにした 93 の脆弱なモバイルアプリ。誰でもツールのテストに使えます。
脆弱な Android アプリと iOS アプリ
誰でもテスト対象として使える、意図的に脆弱にしたアプリ。
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security（新しいタブで開きます）
学習とツールのテストのための、意図的に脆弱にした Flutter アプリ。
オープンソース
私たちがオープンに開発・保守しているツール。
Ostorlab/oxo（新しいタブで開きます）
オープンソースのセキュリティスキャン・オーケストレーター。PyPI で月 15,000 回以上ダウンロードされ、過去 12 か月で 113 回リリース。
Ostorlab/KEV（新しいタブで開きます）
CISA KEV、Tsunami、Asteroid を使い、悪用が確認された既知の脆弱性をコマンド 1 つで検出。
Ostorlab/agent_asteroid（新しいタブで開きます）
KEV を支えるリモート脆弱性検出エージェント。
CI 連携
GitHub Actions、Azure DevOps、GitLab CI からリリースごとにスキャン。
さらに、Nmap、ZAP、Nuclei、Tsunami、OpenVAS、Semgrep、TruffleHog など 30 以上のオープンソースエージェントがあります。エージェント一覧を見る （新しいタブで開きます）
私たちのリサーチが御社のアプリで何を見つけるか、ご確認ください
Ostorlab のエージェント型ペネトレーションテストは、このリサーチをもとにモバイルアプリのリリースごとにテストします。