モバイルバンキングアプリ セキュリティレポート 2025
500 以上のモバイルバンキングアプリの調査結果：どの保護策が導入され、どこにギャップがあるか。PDF レポート付き。
リサーチ
Ostorlab の独自セキュリティリサーチ
モバイルとバンキングのセキュリティ調査、私たちが開示した脆弱性、AI エージェントの発見、そして私たちが保守するオープンソースツール。各項目は記事本文またはコードにリンクしているので、詳細をご自身のチームで確認できます。
表示件数：39
独自リサーチ
モバイルバンキングアプリの調査、私たちが発見し報告した脆弱性、バンキングマルウェアの脅威リサーチ。
バンキングレポートシリーズ
継続して調査するモバイルバンキングのセキュリティ
モバイルバンキングアプリ調査の 2 つの版です。あわせて読むと、保護策とよくある弱点の変化がわかります。
Security Landscape of Mobile Banking Applications in North America（新しいタブで開きます）
北米のバンキングアプリを対象にした前回の版。比較の基準として。
Keycloak: Unauthenticated Denial of Service via Oversized SAML dateTime and Duration Values（新しいタブで開きます）
SAML メッセージ内の過大な dateTime および duration 値が長さ制限なしで解析されるため、未認証の攻撃者がサーバーの CPU を占有し、すべてのユーザーに対してサービス拒否を引き起こすことが可能になる。
CVE レコード
llama.cpp: Denial of Service via Oversized recv_msg Length in ggml-rpc Server（新しいタブで開きます）
ggml-rpc の recv_msg() においてキャッチされない std::length_error 例外により、vector の max_size() を超える過大なメッセージ長ヘッダーを受信した際に std::terminate 経由でサーバープロセスが強制終了する。
CVE レコード
llama.cpp: Stack-Based Buffer Overflow in ggml-rpc RDMA rdma_recv（新しいタブで開きます）
ggml-rpc の RDMA トランスポートにおけるスタックベースのバッファオーバーフローにより、未認証のリモート攻撃者が rdma_recv() 内の過大な verbs 完了通知を介してコード実行やサービス拒否を引き起こすことが可能になる。
CVE レコード
Assimp: Heap Out-of-Bounds Read via MD2 Importer Integer Overflow（新しいタブで開きます）
Assimp の MD2Importer::ValidateHeader() における整数オーバーフローにより、細工された numFrames および numVertices の値を用いてフレームテーブルの境界チェックを回避され、ヒープ外読み取りが発生する。
CVE レコード
LibreSSL: CRLF Injection, Cleartext Transmission, and Memory Exhaustion in OCSP（新しいタブで開きます）
LibreSSL において、libcrypto および ocspcheck における CRLF インジェクション、暗号化されていない HTTP 経由での OCSP リクエストの平文送信、および無制限なレスポンダ応答によるメモリ枯渇を対象とした 4 件の CVE を特定。
OpenImageIO: Cineon Reader Heap Out-of-Bounds Read（新しいタブで開きます）
OpenImageIO の Cineon コーデックにおけるスキャンライン割り当ての整数ラップアラウンドを特定。ヒープの過小割り当てと画像展開時の境界外読み取りを引き起こす。
CVE レコード
VLC for Android: Confused-Deputy File Overwrite via Spoofed Mail Attachment Provider（新しいタブで開きます）
VLC for Android における confused deputy によるファイル上書き。権限を持たないアプリが K-9 Mail の添付ファイルプロバイダを偽装し、「すべてのファイルへのアクセス」を許可された VLC に共有 Download フォルダ内のファイルを上書きさせる。
CVE レコード
Chatwoot: Stored XSS via Help Center Video Embed Links（新しいタブで開きます）
Chatwoot のヘルプセンターの動画埋め込みリンク描画においてストアド XSS を特定。山括弧と二重引用符を含むリンク先が、render_embed_from_match でエスケープされていない iframe の src 属性から脱出し、公開訪問者に対してスクリプトを実行させ、ウィジェットのトークンを窃取させる。
CVE レコード
HarfBuzz: Out-of-Bounds Write and DoS in WebAssembly Shaper（新しいタブで開きます）
HarfBuzz の WebAssembly シェーパーにおける境界外書き込みと NULL ポインタ逆参照による DoS を対象とした 2 件の CVE を特定。
Keycloak: Stored XSS on the Login Page via kcSanitize Bypass（新しいタブで開きます）
Keycloak のログインテーマ描画においてストアド XSS を特定。fixURLs() の後処理が kcSanitize によって無害化された文字参照を再び有効化し、レルムの全ユーザーに対して認証前のログインページ上でスクリプトを実行させる。
CVE レコード
Poppler: Stack-Based Buffer Overflow in Decrypt::revision6Hash（新しいタブで開きます）
Poppler の Decrypt::revision6Hash において、AESV3/R6 で暗号化された PDF を開く際にメモリ破壊を許すスタックベースのバッファオーバーフローを特定。
CVE レコード
Breaking Down GoPhish: Source-Code Assessment with Ostorlab Agentic Deep Scan（新しいタブで開きます）
Ostorlab Agentic Deep Scan を活用し、SSRF、XSS、レート制限回避、オブジェクト乗っ取りなど GoPhish における 5 件の CVE を特定。
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter（新しいタブで開きます）
iOS と Flutter アプリが使う ZIP ライブラリの 5 件の CVE。自社アプリが依存関係を通じて引き継ぎうるリスクです。
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass（新しいタブで開きます）
Signal から Android SDK に至る脆弱性の連鎖。Signal は 3 時間で報告を確認し修正しました。CVE は割り当てられていません。
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails（新しいタブで開きます）
本番環境の 5 つのバンキングアプリを 4 つの商用アプリ保護製品に対してテスト。検知は機能しても、防御の実行が機能しない箇所を示します。
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform（新しいタブで開きます）
多段階型の Android バンキングマルウェア基盤の静的解析。顧客のスマートフォンが直面する種類の脅威です。
One Scheme to Rule Them All: OAuth Account Takeover（新しいタブで開きます）
カスタム URL スキームの乗っ取りによるアカウント乗っ取り。モバイルバンキングのログインフローにも当てはまるパターンです。
zCamera, 100M+ installation app, from remote compromise to data leaks（新しいタブで開きます）
インストール数 1 億以上のアプリで、リモートからの侵害がデータ漏えいに至るまで。
AI エージェントの実践
エージェント型ペネトレーションテストで AI エンジンが発見した脆弱性。まずモバイルアプリ、次にその背後の API。
Javascript Interface Exposure（新しいタブで開きます）
AI エンジンが、ディープリンク経由で到達できる WebView の JavaScript ブリッジを Android アプリで発見しました。
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes（新しいタブで開きます）
AI エンジンが、探すよう指示されていない脆弱性クラスを発見。WebView の Safe Browsing 回避も含まれます。
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection（新しいタブで開きます）
AI エンジンが Android のインテントリダイレクトを発見し、動作する概念実証で証明した過程。
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions（新しいタブで開きます）
バックエンド API の GraphQL サブスクリプションにおけるアクセス制御の不備。モバイルアプリの背後にあるサーバーの問題です。
AI Engine Triggers Account Takeover via API Version Confusion（新しいタブで開きます）
古い API バージョンに残っていたパスワードリセットのフローを介したアカウント乗っ取り。
テクニック
モバイルセキュリティの実務者向け解説：難読化、計装、リバースエンジニアリング、証明書ピンニング。
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites（新しいタブで開きます）
シグネチャ照合と LLM による書き換えで、難読化された Android アプリから読めるコードを取り戻す方法。
Swift Under the Microscope: Practical Dynamic Instrumentation（新しいタブで開きます）
iOS アプリの Swift コードを動的に計装する実践的な手法。
Flutter Reverse Engineering and Security Analysis（新しいタブで開きます）
Flutter で作られたアプリをリバースエンジニアリングし、評価する方法。
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB（新しいタブで開きます）
LLDB による SSL ピンニングの汎用的な回避。理論から動作する概念実証まで。
Application Security Testing on non-Jailbroken iOS from Linux（新しいタブで開きます）
Linux マシンから、脱獄していないデバイス上の iOS アプリをセキュリティテストする方法。
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files（新しいタブで開きます）
ソースマップファイルを使って依存関係の混乱を検出する手法。
ベンチマークとテスト用アプリ
カリフォルニア大学バークレー校のCyberGymにおけるNeutronの検証済みエクスプロイト結果と、セキュリティツールの評価に使えるオープンなベンチマークや意図的に脆弱性を組み込んだアプリをご紹介します。
Ostorlab Neutron on UC Berkeley CyberGym（新しいタブで開きます）
Neutronは、カリフォルニア大学バークレー校のCyberGymで97.1%の検証済みエクスプロイト成功率を達成しました。オープンソースのC/C++プロジェクトの既知の脆弱性を扱う1,507タスク中、1,463タスクに成功しました。実行環境、手法、結果については、当社の技術解説をご覧ください。
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact（新しいタブで開きます）
実際のCVEとバグバウンティの検出結果に基づく、脆弱なモバイルアプリ93本のオープンなテストデータセットです。再現可能なこれらの対象を使って、モバイルセキュリティツールを評価できます。
脆弱な Android アプリと iOS アプリ
誰でもテスト対象として使える、意図的に脆弱にしたアプリ。
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security（新しいタブで開きます）
学習とツールのテストのための、意図的に脆弱にした Flutter アプリ。
オープンソース
私たちがオープンに開発・保守しているツール。
Ostorlab/oxo（新しいタブで開きます）
オープンソースのセキュリティスキャン・オーケストレーター。PyPI で月 15,000 回以上ダウンロードされ、過去 12 か月で 113 回リリース。
Ostorlab/KEV（新しいタブで開きます）
CISA KEV、Tsunami、Asteroid を使い、悪用が確認された既知の脆弱性をコマンド 1 つで検出。
Ostorlab/agent_asteroid（新しいタブで開きます）
KEV を支えるリモート脆弱性検出エージェント。
CI 連携
GitHub Actions、Azure DevOps、GitLab CI からリリースごとにスキャン。
さらに、Nmap、ZAP、Nuclei、Tsunami、OpenVAS、Semgrep、TruffleHog など 30 以上のオープンソースエージェントがあります。エージェント一覧を見る （新しいタブで開きます）
私たちのリサーチが御社のアプリで何を見つけるか、ご確認ください
Ostorlab のエージェント型ペネトレーションテストは、このリサーチをもとにモバイルアプリのリリースごとにテストします。