開発者たちは改めて思い知らされました。秘密情報がひとたびアプリケーションに組み込まれて出荷されると、攻撃者はサーバーに侵入せずともそれを見つけ出せるということを。
Anthropicによると、フランス語話者の脅威アクターが分散システムを用いて180万件のAndroid APKをダウンロード・逆コンパイルし、TruffleHogなどのツールを使ってハードコードされた認証情報やその他の秘密情報をスキャンしていたといいます。BleepingComputerはこの攻撃者を、より広範なShinyHuntersのエコシステムに関連付けています。
この攻撃活動は、開発者にありがちなセキュアコーディング上のミスを、攻撃者がいかにして大規模かつ組織的な認証情報の探索へと変えてしまうかを示すものです。クラウドインフラ、自動化されたセキュリティツール、そしてAIを組み合わせることで、企業システムへの侵入経路を大規模に特定できてしまうのです。
その危険性は、開発者が誤ってAPIキーを漏洩させてしまうという範囲にとどまりません。AIとクラウドインフラ、自動化されたセキュリティツールを組み合わせることで、攻撃者は認証情報を発見・検証・悪用するという反復作業の多くを、人手からオートメーション化されたワークフローへと移行できてしまう可能性があります。
180万アプリを標的とした認証情報の探索
Anthropicの報告書によると、この攻撃活動は2025年12月から2026年8月まで8か月間にわたって実行されていました。その期間中、同社は複数のストアからダウンロードされた180万件を超える固有のAndroid APKファイルにまたがる、異例のハッキングパターンを発見したとしています。
Anthropicの脅威インテリジェンスチームによると、これらのAPKは10台のAWS EC2ワーカー上で実行され、大規模にアプリケーションを検査するための分散パイプラインを構築していたことが明らかになりました。
APKは逆コンパイルされたうえでスキャンされました。専用のパイプラインが関連する発見事項をリアルタイムでTelegramチャンネルに送信し、100を超えるカテゴリーに分類していたほか、別のパイプラインはGitHubのPersonal Access Token(PAT)を送信していました。
この仕組みは、クラウドインフラ、自動化されたスキャンツール、そしてAIを組み合わせることで、大規模なソフトウェア群にわたる認証情報の発見をいかに加速できるかを物語っています。
Anthropicによれば、ある事例では攻撃者は約34時間で40超の企業ユーザーから2,100件を超えるAzure AD認証トークンセットを取得しており、別の侵入事例では、開発者から盗んだ単一のトークンが約3時間で管理者権限の掌握にまで至ったといいます。
なお、180万件という数字はスキャンパイプラインが処理したAPKの件数を指すものであり、180万件のアプリケーションが実際に侵害されたことを意味するものではありません。目的は、開発者システムや企業システムへのアクセスにつながりうる埋め込み済みの秘密情報を特定することにありました。
フランス語話者のアクター、ShinyHuntersエコシステムと関連
今回のキャンペーンはまた、新たなソフトウェア脆弱性に頼らずとも、認証情報の窃取だけで大規模な侵害が発生しうることを示しています。
Anthropicは、BleepingComputerがShinyHuntersのエコシステムに関連していると報じるフランス語話者のアクターによる攻撃活動を挙げています。使用されていたエイリアスには、frkoo、MeowSHA、blazespiderなどがあります。
この攻撃グループが単独で活動していたわけではない点にも注意が必要です。Anthropicの報告書では、Claudeが関与した別のロシア語話者・中国語話者による脅威活動についても記録されていますが、これらは今回のAndroid APKスキャン攻撃とは別件です。
ロシア関連の活動は、異なる経路をたどっていました。Anthropicはあるクラスターをミッドナイト・ブリザード(Midnight Blizzard)に関連付けており、同グループはマルウェア開発、フィッシング、永続化、データ窃取といった作業にClaudeを利用し、政府機関、防衛関連組織、外交機関、情報機関を標的にしていました。
AnthropicがGTG-10007として追跡する別の中国語話者グループも、ロシアのグループと同様の経路をたどっており、偵察、脆弱性調査、エクスプロイト開発、侵入の試みにClaudeを利用していました。
Anthropicは、侵害されたアカウントを停止し、Claudeのガードレールを強化したとし、今回の事案をこの攻撃を阻止するためのフィードバックとして活用したとしています。Claudeの開発元である同社はまた、法執行機関にも連絡を取ったと述べています。
警鐘はアプリ開発者だけにとどまらない
攻撃者は長年にわたり、APKを逆コンパイルしてアプリを改変し、課金の壁を回避したり、開発者が意図しなかった機能を追加したりしてきました。今回のキャンペーンは、同じ能力がより深刻な用途にも転用されうることを示しています。
これを踏まえ、開発者、ベンダー、組織は、一般に正規に入手可能なものはすべて、攻撃者にとっても検査可能な対象になりうると考えるべきです。これはモバイルアプリだけでなく、ウェブサイト、ブラウザ拡張機能、デスクトップソフトウェア、スクリプト、公開リポジトリ、コンテナイメージ、その他のソフトウェア成果物にも当てはまります。
同じ原則はハードウェアにも当てはまります。攻撃者がソフトウェアをリバースエンジニアリングして弱点や認証情報を暴き出せるのであれば、ファームウェア、組み込みソフトウェア、外部に露出したインターフェースに依存するハードウェアもまた、侵入口になりえます。
開発者やベンダーにとって、対応すべき範囲はコードに秘密情報を残さないことだけにとどまりません。
- 機微な処理をデバイスから切り離す。特権的な認証情報を必要とする処理はすべて、一般ユーザーがダウンロードしたり検査したりできないインフラ上で行うべきです。
- 実際に出荷しているものを監査する。アプリケーションのソースコードだけでなく、本番ビルド、ソースマップ、設定ファイル、デバッグ用エンドポイント、同梱された依存関係も確認すべきです。
- 認証情報が漏洩することを前提に設計する。盗まれたトークンの権限は限定的にし、有効期間を短くし、無関係なシステムへの不要なアクセス権を持たせないようにすべきです。
- リリース後の悪用を監視する。不審なAPI呼び出し、認証の試行、トークンの利用状況、アクセスパターンを追跡することで、数か月後に発覚するのではなく、漏洩した認証情報を早期に検知できるようにすべきです。
- サプライヤーも攻撃対象領域の一部として扱う。利用しているSDKや連携先について、それらが何にアクセスできるのか、何を外部に露出させているのかを確認すべきです。
セキュリティチームにとってより大きな教訓は、アプリケーションのリリースを潜在的な情報開示の境界線として扱うべきだということです。ダウンロード可能なソフトウェアにパッケージ化されたものは、いずれ検査・抽出され、自動化された攻撃の対象にされる可能性があります。
だからこそ、秘密情報のスキャン、認証情報のローテーション、最小権限アクセス、本番ビルドのレビューは、単なる開発上の衛生管理以上の意味を持ちます。攻撃者が数百万件のアプリケーションにまたがる発見作業を自動化できるようになった今、たった一つの忘れられた認証情報が、公開アプリから企業内部システムへの最短ルートになりかねません。
その他のサイバーセキュリティ関連ニュース: IDScanは、1億5,300万件を超える運転免許証情報がダークウェブで販売されているとの報告を受け、自社クラウドへの不正アクセスによって顧客データが侵害されたことを確認しました。
翻訳元: https://www.esecurityplanet.com/threats/news-android-apps-hardcoded-secrets-credential-scanning/
