スマートフォン：世界のサイバーセキュリティを再定義する新たな犯罪現場

2025年グローバル・モバイル脅威レポート：法執行機関と公共安全への示唆

はじめに

この10年で、スマートフォンは単なる通信機器から、重要なデジタル・アイデンティティへと進化しました。現在では、コミュニケーションを促進し、ユーザーの身元を認証し、金融取引を管理し、企業および政府のシステムへアクセスするための多機能ツールとして機能しています。モバイル技術が変革するのに伴い、サイバー犯罪者が用いる戦略もまた変化してきました。2025年グローバル・モバイル脅威レポートは、今日のサイバー環境においてモバイル端末が主要な標的となっていることを示し、この傾向を裏付けています。本分析は、警察技術センター（CPT）が作成したもので、法執行と公共安全の観点からこれらの知見の意味合いを検討し、モバイルセキュリティに戦略的に注力する必要性を強調します。

ミッシング（mishing）とソーシャルエンジニアリング攻撃の増加

レポートの際立った発見の一つは、モバイルを標的とするフィッシングの一形態であるミッシングが急増している点で、現在では全モバイル脅威の約3分の1の原因となっています。このカテゴリの中では、スミッシング（SMSフィッシング）が先頭に立ち、記録された攻撃の3分の2超を占めています。ユーザーがSMS通信に寄せる本質的な信頼が、欺罔の強力な経路となっています。

レポートは、ビッシング（音声フィッシング）が28%増、スミッシングが22%増となったことを指摘しています。これらの傾向は、サイバー犯罪者による生成AIの利用拡大と密接に関連しています。特に憂慮すべき動向として、SMS経由で配信されるPDFベースのフィッシング攻撃の出現が挙げられます。これは従来のセキュリティ対策を回避し得るうえ、モバイルでの文書共有に対するユーザーの慣れを悪用します。CPTの研究の観点からは、こうした進展は大規模な詐欺や標的型攻撃のリスクを大幅に高め、とりわけ政府関係者や重要インフラ分野の運用担当者に対して深刻です。

端末の脆弱性とレガシーハードウェア問題

レポートはまた、世界のモバイル・エコシステムにおける構造的な弱点も明らかにしています。現在使用されている端末の約25%は、ハードウェア上の制約によりOSをアップグレードできません。これらの旧式端末は既知の脆弱性に恒常的に晒され続け、サイバー犯罪者にとって特に魅力的な標的となります。

さらに、企業ネットワークに接続された端末の23.5%でサイドロードアプリ（公式アプリストア以外の入手元からインストールされたアプリ）が確認されました。これらのサイドロードアプリは審査プロセスを回避しがちで、悪意あるコードを含む可能性があります。CPTの研究では、こうしたアプリが、詐欺や組織的サイバー犯罪の捜査において、秘匿型の監視ツールやバンキングマルウェアとして機能するケースが多いことが示唆されています。

アプリケーションレベルおよびデータ主権のリスク

モバイル脅威のもう一つの重要な側面は、業務関連アプリケーションとそのデータフローに伴うリスクです。レポートによれば、業務用途で使用されるモバイルアプリの23%が、高リスク国または禁輸対象国に所在するサーバーと通信しています。これは、以下を含む重大な規制上および公共安全上の懸念を引き起こします。

• データ主権の侵害：これらの法域で保存・処理されるデータに、どの国の法律が適用されるのかという問題が生じます。
• 無許可の越境データ移転：機微情報が、規制に違反する形で露出する可能性があります。
• 機微情報の露出：政府および企業のデータが十分に保護されないおそれがあります。

これらのリスクは、ユーザーだけでなくIT管理者でさえ見落としがちであり、継続的なアプリ審査と実行時監視の緊急性を浮き彫りにしています。

AI統合：新たな「見えない」リスク

レポートは、企業端末にインストールされたモバイルアプリにおけるAIサービス利用が160%増加したという驚くべき事実を示しています。AIは機能性と生産性を高め得る一方で、データ処理における複雑性を持ち込み、その実態が見えにくくなる可能性があります。CPTの分析では、多くのAI駆動アプリが、機微データがどのように、どこで処理・保存・送信されるのかを透明性高く開示していないことが明らかになっています。

この不透明性は、データ漏えいの追跡、監視の悪用の解明、法域をまたぐサイバー事案への対応を担う法執行機関にとって、新たな課題をもたらします。AIへの依存が高まるほど、捜査官は絶えず変化する技術環境に向き合わねばならず、リスクの重大性も増していきます。

研究者所見（CPT）

CPTの研究からの示唆に富む所見が、調査結果を端的に表しています。「今日のモバイル端末は、アイデンティティ、金融、コミュニケーション、アクセス制御の収束点である。1台のスマートフォンが侵害されるだけで、攻撃者は個人・企業・政府のエコシステムへ持続的にアクセスできる。 本レポートの知見は、モバイルセキュリティの失敗が、いまやサイバー犯罪、詐欺、国家安全保障上のリスクへと直結することを確認している。」

これは、現代のデジタル環境において、個人の安全と公共安全が相互に絡み合っていることを示しています。

提言と今後の進め方

レポートの知見とCPTの独自分析に基づき、いくつかの提言が導かれます。

1. AI対応のモバイル脅威対策：高度化するミッシング攻撃に対抗するために設計されたツールを優先する。
2. 厳格な廃止（デコミッショニング）方針：アップグレード不能な端末を機微な環境から排除し、リスクを最小化する。
3. 継続的なアプリ審査：すべてのアプリ、とりわけサードパーティ製およびAI対応ソフトウェアについて、継続的な監視を実施する。
4. 端末アテステーションの義務化：侵害端末やroot化端末をリアルタイムで検知するプロセスを確立する。
5. 対象を絞った啓発プログラム：政府関係者、警察職員、企業ユーザーに教育・訓練の取り組みを集中させる。

これらの統制の導入を検討する機関・組織向けに、CPTのリソースを通じてモバイル保護ソリューションのライブデモも提供されています。

レポートで提示されたデータと洞察は、モバイルセキュリティがもはや単なる技術的検討事項ではなく、サイバー犯罪への対抗、デジタル警察活動の強化、国家のサイバー・レジリエンスの醸成における重要な最前線の課題となったことを強調しています。モバイル端末がサイバー攻撃の好まれる侵入口となるにつれ、技術・政策・人間行動にまたがる協調的な対応が不可欠です。

モバイル脅威対策に関する追加の研究協力、助言支援、または導入ガイダンスについては、警察技術センター（Centre for Police Technology）まで [email protected] にご連絡ください。