AppleがApp Storeを紹介する際に掲げるキャッチコピーは「あなたが愛するアプリを。信頼できる場所から。」です。アプリそのものは気に入るかもしれませんが、そのストア自体は信頼できるのでしょうか。先週カリフォルニア州北部地区連邦地方裁判所に提出された訴状は、そうではないと示唆しています。
3名が、Appleが仮想通貨アプリ「Sparrow Wallet」の偽バージョンをApp Storeで宣伝していたとして訴えを起こしました。しかも本物のアプリの開発者は、モバイル版を作っていないことを1年以上にわたってAppleに伝え続けていたといいます。
この偽アプリは2025年5月から8月にかけて、被害者のウォレットから合計180万ドルを盗み取りました。被害者たちは、Appleがこれを許してしまったことに怒りをあらわにしています。
詐欺の手口
BleepingComputerが公開した訴状によると、James Ramirez氏、Christopher Ellis氏、Jalen Delgado氏の3名は、AppleのApp Storeから偽バージョンのSparrow Walletをダウンロードしました。このアプリはユーザーにリカバリーフレーズ(仮想通貨ウォレットへのアクセスを復元するための12語または24語)の入力を求めましたが、これ自体は正規のウォレットアプリでもセットアップ時に求められることがある操作です。
しかし、このアプリはその情報を秘匿するどころか、詐欺を実行する犯罪者に渡していました。リカバリーフレーズを他人に握られてしまえば、ウォレットへのアクセス権も奪われます。仮想通貨を別のアドレスに送金されてしまえば、取り戻すことはできません。
Ramirez氏、Ellis氏、Delgado氏は、それぞれ約875,000ドル、840,000ドル、120,000ドル相当のビットコインを失ったと述べています。
Appleは正規開発者のアカウントを停止
実在するSparrow Walletは、Windows、macOS、Linux向けのデスクトップアプリケーションです。公式のiPhone版アプリが存在したことは一度もありません。
実際のSparrow Walletの開発者であるCraig Raw氏は、2024年1月に至るまでの数週間にわたり偽バージョンをAppleに通報しており、その月には、繰り返し通報したにもかかわらず偽アプリが依然として公開されたままであることを公に確認していました。
その約1年後、同氏は偽アプリのダウンロードを食い止めるための回避策として代替手段を試みました。Sparrow WalletはiOSでは提供されていないと明示的に警告するスクリーンショットを添えた、プレースホルダー用のiOSアプリを申請したのです。これに対しAppleは、同氏の開発者アカウントを停止する対応を取りました。幸いその後アカウントは復活しましたが、そうでなければ同氏はmacOS版の維持すらできなくなっていたところです。
訴状はさらに、Appleが偽アプリを正規の製品と並べて仮想通貨関連のキュレーションコレクションに掲載していたこと、また消費者からの苦情があった後も追加の偽Sparrow WalletアプリをApp Storeに掲載し続けていたことを指摘しています。
TechCrunchによると、Appleの公式回答は次のようなものでした。
「他社になりすますアプリはガイドライン違反であり、当社は迅速に対応してこれを削除している」。どうやら、迅速とは言い難かったようです。
3人のユーザーは現在Appleを提訴しており、偽アプリの存在を把握していながらApp Storeを信頼できる場所であるかのように偽って表示していたと主張しています。訴状には不正な隠蔽をはじめとする複数の主張が含まれており、陪審裁判を求めています。原告らは、カリフォルニア州法で認められた追加の損害賠償に加え、自身が被った損失の補償を求めています。
単発の事件ではない
偽の仮想通貨アプリは一つの傾向として広がっています。Kasperskyの研究者は最近、Appleのエコシステム内で26件の仮想通貨ウォレットなりすましアプリを特定しました。いずれもシードフレーズやリカバリーキーを標的としたものです。
これらの詐欺の多くは、悪意あるコードをアプリ本体に直接組み込むのではなく、ユーザーを本物そっくりの偽App Storeウェブページへ誘導し、別バージョンのアプリをインストールするよう促す手口を取ります。この悪意あるバージョンは、本来社内アプリ向けに用意されているエンタープライズ配布証明書を悪用し、仮想通貨のリカバリーフレーズや秘密鍵を盗み出します。
安全を守るために
Appleは自社の取り締まり実績を強調しています。2025年には193,000件の開発者アカウントを停止し、371,000件を超える模倣アプリの申請を却下したとしています。これらの数字はApple自身が発表したものであり、第三者による監査への言及はありません。同社は、人間によるレビューと機械学習を組み合わせて悪意あるアプリを検出していると説明しています。
iPhoneで仮想通貨を利用している方は、App Storeに掲載されているからといってそのアプリが本物である保証にはならないことを念頭に置いてください。可能な限り、開発者の公式サイトに掲載されたリンクからアプリをダウンロードし、インストール前にその開発者が実際にiPhone版を提供しているかどうかを確認しましょう。
App Storeは他の場所からアプリをダウンロードするよりも一般的には安全ですが、今回の事件は、それが決して万全ではないことを改めて示しています。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、迷惑メッセージ、悪意あるサイトなどからあなたを守ります。リアルタイムのAI搭載Scam Guardも標準搭載です。
