ショートドラマアプリが銀行アプリを消し、同じ見た目の偽物をインストールした
ショートドラマアプリで「アップデート」を押しただけなのに、数日後には銀行アプリが見た目だけ同じ改造版に入れ替わっています。セキュリティ企業ThreatFabricが公開したAndroidマルウェアHirudoを整理しました。なぜ通用するのか、今何を確認すればいいのかを書きました。
学校の廊下の突き当たりにロッカーが並んでいるとしましょう。自分のロッカーには、自分で買った青いダイヤル錠が掛かっています。毎朝番号を合わせるとカチッと開きます。その音が慣れたもので、錠そのものを確かめてみたことはありません。
ある日、誰かがその錠をこっそり取り外します。そして色も形もまったく同じ錠をその場所に掛けます。自分の番号を合わせれば、相変わらずカチッと開きます。違う点はひとつだけです。新しい錠は、押された番号をこっそり書き留めておきます。
今週公開されたAndroidマルウェアがやっているのがこれです。錠の代わりに銀行アプリをすり替えます。
何が起きているのか — ある一人の数日間
事実 セキュリティ企業ThreatFabricが2026年10月14日に新しいAndroidマルウェアを公開しました。名前は Hirudo(ヒルド)です。遠隔操作型のマルウェアです。かんたんに言えば、他人のスマホを遠くから操作するプログラムです。
場面を順に追っていきます。
1日目。 ショートドラマアプリをインストールしました。短いドラマを続けて見るアプリです。ドラマはちゃんと再生され、問題なく動きます。そのうちアプリの中に「アップデート」の案内が出ます。押すと権限を求めてきます。
事実 報告書に出てくるおとりアプリは4種類です。ショートドラマアプリのKoiShortとZoyaTV、ショッピングアプリのShopora、アダルト動画アプリの1V1 Xです。いずれも表向きは本来の機能を果たします。だから疑いにくいのです。アプリ内の「アップデート」を押すと、本当のマルウェアである本体がインストールされます。本体はユーザー補助権限と通知アクセス権限を取得しようとします。
ユーザー補助権限とは何かを押さえておきます。もともとは画面が見えにくい人や手が不自由な人を助けるための機能です。**画面の内容を読み上げ、本人の代わりにボタンを押してくれます。**ロッカーに例えるなら、「自分のロッカーの前に立って、自分の手の代わりに動かしてよい」という許可です。
数日後。 今度は銀行アプリにアップデートの案内が出ます。ところが開いたのはアップデート画面ではなく、アンインストール画面です。そして銀行アプリが再びインストールされます。アイコンも名前もそのままです。
事実 本体はまず、スマホにどの銀行アプリが入っているかを調べます。そのアプリの署名も確認します。その次に偽のアップデート案内を表示します。Androidのアンインストール画面で本物のアプリを消し、同じタイミングで改造版をダウンロードします。錠を外す手と新しい錠を掛ける手は同じ人物です。
事実 別に起こる場面がもうひとつあります。ショートドラマアプリで決済しようと注文画面を開きます。その上に透明な偽の決済ウィンドウが重なります。目には決済ウィンドウに見えます。ここに銀行の決済パスワードを入力すると攻撃者に渡ります。おとりアプリには「決済成功」という偽の結果が返されます。だから決済がうまくいったと思ってしまいます。
なぜ通用するのか — 錠の検査を騙す方法
事実 掛け替えられた銀行アプリは、元のアプリと**パッケージ名が同じです。**パッケージ名は、スマホがアプリを区別するための固有の名札です。コードもほぼそのままです。だから普段どおりきちんと動きます。番号を合わせればカチッと開く新しい錠と同じです。
変わっているのは中に隠された仕掛けです。改造版にはフッキングエンジンが入っています。フッキングとは、アプリが処理している途中に割り込んで結果をすり替える技術です。このエンジンは、公開ツールであるYAHFAとDobbyをベースに作られています。
事実 銀行アプリもそれなりに錠の検査をします。改造版はその検査を4つ無効にしてしまいます。
| 銀行アプリの検査 | 何を見るのか | ロッカーに例えると |
|---|---|---|
| 署名の確認 | このアプリを本当にその銀行が作ったのか | 錠の裏面のメーカー刻印 |
| ユーザー補助の検知 | 他人が画面を代わりに押していないか | 横で手の代わりに動かしている人がいないか |
| 画面キャプチャの遮断 | 画面をこっそり撮られないようにする | ロッカーの中を覗かれないようにする目隠し |
| Play Integrity 検査 | Googleから見て手を加えられていないアプリとスマホか | 学校が貼った純正確認シール |
推定 この4つの検査は、もともと「錠が替わっている」と気づくためにある仕掛けです。その仕掛けが無効になれば、銀行アプリは警告を出しません。だから**「銀行アプリが何も言わなかったから大丈夫」という判断は、今回は通用しません。**
事実 このマルウェアが抜き取るものは決済パスワードだけで終わりません。銀行・電子ウォレットのログインパスワードを持っていきます。スマホのロック解除パスワードやロックパターンも持っていきます。SMS、画面、音声、前後のカメラにもアクセスします。
事実 それでも隙はあります。改造版を作るときに使われた署名鍵は、すでに外部に漏れていた鍵でした。Googleはそのうち一部の証明書を失効リストに載せました。紛失届が出された印鑑のリストのようなものです。銀行がサーバー側でこのリストを確認すれば、偽造を検知できます。
数字で見た規模
事実
| 数字 | 意味 |
|---|---|
| 42個 | このマルウェアがパスワードを狙う金融アプリの数 |
| 8個 | 改造版をあらかじめ用意していた銀行アプリの数 (銀行7行) |
| 8個 | 偽の決済ウィンドウが対応する言語の数 |
42個はパスワードを盗み取るためのリストです。8個はアプリをまるごと掛け替えるためのリストです。42個のうち8個、5個に1個の割合で、すり替える錠まであらかじめ削り出しておいたことになります。一度感染すれば、スマホに入っている複数の金融アプリが同時に標的になります。
事実 改造版が用意されていた銀行アプリ8個は、すべてインドネシアの銀行のものです。パスワード窃取のリストには、中国・インド・メキシコ・モロッコ・タイの金融アプリも入っています。偽の決済ウィンドウには、マレーシアの銀行と電子ウォレットのブランドが使われていました。言語が8つあるということは、一国の人だけを狙っているわけではないという意味です。
事実 悪性のインストールファイルは、Google Playではなく外部サーバーからダウンロードさせる仕組みになっていました。Amazon CloudFrontというファイル配信サービスです。6月に保存された、あるダウンロードページには、Playストアを模したインストールボタンがありました。
自分が今やること
韓国の銀行アプリが狙われたという内容は報告書にありません。それでも手口そのものは、どの国のスマホでも同じです。2つだけ覚えておけば大丈夫です。
1. アプリが「アップデートファイルをダウンロードしろ」と言ってきたら押さないでください。 代わりにPlayストアを自分で開いて、そのアプリを探してみてください。アップデートが本当にあるなら、そこに表示されています。錠を替える必要があるなら、学校の事務室に直接行ってもらうのと同じです。廊下で誰かが差し出してくる錠は受け取りません。
2. 銀行アプリが勝手にアンインストール画面を開いたら、そこで止めてください。 その次の手順はこうです。
- 設定のユーザー補助メニューに入り、知らないアプリがオンになっていればオフにします。
- Play プロテクトでスマホを検査します。Googleがスマホに入っているアプリをチェックしてくれる機能です。
- 銀行のカスタマーセンターに連絡します。
疑わしいサインを1行ずつまとめると、こうなります。
- ドラマ・ショッピングアプリが「アップデート」を理由に、ストア外のインストールファイルやユーザー補助権限を要求してくる。
- 銀行アプリがアップデートすると言って、自らアンインストール画面を開く。
- ドラマ・ショッピングアプリで決済するのに、銀行の決済パスワードを尋ねるウィンドウが出てくる。
推定 ロッカーの話に戻ると、錠が同じに見えるということは何も証明しません。信じる根拠はその錠をどこで受け取ったかです。アプリもアイコンではなく、どこから入手したかで信じるべきです。
私たちが分からないこと
この事件でまだ明らかになっていないことです。知ったふりはしません。
- **感染者数は分かりません。**攻撃者のサーバーが外部に露出していて、そこからパスワードのようなログイン情報の記録が「数千件」出てきたとだけ伝えられています。正確な数値はありません。この記録の件数を被害者数と読んではいけません。
- **韓国の銀行や韓国のユーザーを狙ったという内容はありません。**確認された改造版の対象はインドネシアの銀行です。
- **銀行アプリを消すとき、誰が「アンインストール」を押すのか分かりません。**ユーザー自身が押すのか、ユーザー補助権限で自動的に押されるのかは、元の報告書でも明確ではありません。報告書には、ユーザーがアンインストールを途中で止められるとだけ書かれています。
- **どのように広まったのかは確定していません。**SNSの有料広告で広まった可能性があるという話は、アプリ内の広告トラッキングコードを根拠にした推定です。
- 改造版が用意されていたインドネシアの銀行7行の名前は公開されていません。
- **おとりアプリがGoogle Playに掲載されたことがあるのかは分かりません。**報告書に出てくる配布元は外部サーバーです。
- **誰が作ったのか分かりません。**攻撃組織の名前は明らかになっていません。国籍や所属も推定しません。
出典
- ThreatFabric (一次出典), “Hirudo: from fake updates to patched banking apps”, 2026-10-14 — https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps
- BleepingComputer, “Hirudo Android malware replaces banking apps to evade security checks”, 2026-10-14 — https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/
この記事は私たちのハニーポット観測ではありません。2026-10-15にThreatFabricの元報告書とBleepingComputerの報道を照合して整理しました。двух資料の間で矛盾する内容は見つからず、韓国国内の報道は見つかりませんでした。この記事には、IPアドレス、認証情報の値、悪性ファイルのアドレスを掲載していません。感染者数、韓国が対象かどうか、アンインストールの確認を誰が押すのか、流布経路は確認されていません。