初期化しても残る — 半額「ウルトラ」スマホの裏地に縫い込まれたアプリ

半額のブランドダウンを買った日

オンラインマーケットでダウンジャケットを一つ買ったとしましょう。胸元に有名ブランドのロゴが付いています。値段は定価の半分もしません。着てみると暖かく、見た目もちゃんとしています。

ところが、この服の裏地の中に工場で誰かが何かを縫い込んでいたとしたらどうでしょう。外からは見えません。洗濯機で何度回しても裏地の中の縫い目はそのまま残ります。取り出すには裏地を破って縫い直さなければなりません。普通の人が家でできることではありません。

今週出た報告書は、まさにこういう服の話です。ただし服ではなくスマートフォンです。

何が起きているのか

宅配の箱から新しいスマホを取り出します。箱には「S25 Ultra」と書かれています。初めて電源を入れてアカウントを連携します。ここまでは何も起きません。

数日経つとおかしなことが起きます。何のアプリも開いていないのに画面に広告が出ます。インストールした覚えのないアプリアイコンが現れたり消えたりします。設定に入って削除しようとすると「システムアプリ」なので削除ボタンがありません。

事実 セキュリティ企業Bitdefenderは、このマルウェアに**「Midnight Mimosa（ミッドナイト・ミモザ）」という名前を付けました。このコードはスマホのファームウェアの中に入っていました。ファームウェアは、スマホが起動するときに最初に動く基本プログラムです。工場でスマホに入れて出荷するものですね。つまり持ち主が初めて電源を入れる前から**すでにインストールされていたのです。

ダウンジャケットで言えばこうです。買った人が着方を間違えてできた汚れではありません。工場で裏地の中にあらかじめ縫い込んであったものです。

該当する人

事実 感染した端末は、たいていオンラインマーケットで売られている低価格製品や偽造製品でした。報告書に出てきたケースは大きく三つです。

• サムスンの名前を真似た偽造スマホ。「S24 Ultra」「S25 Ultra」「S26 Ultra」「Note 18 Ultra」といった名前が付いていました。
• iPhoneの名前を真似た偽造スマホ。「i16_Pro_Max」「i17 Pro Max」「17_Pro_Max」といった名前でした。
• Doogee S200 X、Cubot KINGKONG X のような低価格タフネススマホ。タフネススマホとは、落としても壊れにくいよう厚く頑丈に作られたスマホです。

事実 ある偽造スマホは、本物のGalaxy S25 Ultraのモデルコードをそのまま使っていました。それでもサムスン製品ではありませんでした。ロゴだけでなく内側のラベルまで真似た服ということです。

こうしたスマホを親や子どもに「2台目のスマホ」として買ってあげた場合も、ここに入ります。

なぜ通用するのか — 削除ボタンが届かない場所

普段スマホの調子がおかしいとき、私たちは二つのことをします。怪しいアプリを削除します。それでもだめなら工場出荷状態に初期化します。この二つが、今回は通用しません。

事実 この悪性アプリはシステム領域に入っています。システム領域は、スマホが動くために必要な基本アプリが入る場所です。ここにあるアプリは、スマホの持ち主より高い権限を持ちます。そのため、一般的な方法では削除できません。

事実 研究チームは、これを消すには二つの道しかないと見ました。ファームウェアを丸ごと入れ替えて整えるか、ADBで無効化するかです。ADBは、スマホをパソコンにつないで開発者用のコマンドで操作するツールです。研究チームは大半のユーザーには現実的ではないと記しています。

推定 工場出荷状態への初期化は「工場から出てきた最初の状態」に戻す機能です。ところが、その最初の状態にすでに悪性アプリが入っていました。ですから初期化をしても、悪性アプリがある状態に戻るだけです。洗濯機をいくら回しても裏地の中の縫い目が落ちないのと同じです。

事実 一部のメーカーは、この問題を修正するアップデートを出したと報道されました。 ただし、どのように感染したのかを公に説明したメーカーはないといいます。また、マルウェアを手作業で削除したスマホが、メーカー公式のアップデートを受けた後に再び感染したというユーザー報告もあると報道されました（Doogee Fire 3 Max ユーザーのXDAフォーラム投稿）。この事例はBleepingComputerの記事にのみ出ており、私たちは一次出典と照合できていません。

修理店に預けて裏地を直してもらったのに、同じ工場から送られてきた新しい裏地に同じものが縫い込まれていた、という話です。まだ確認された事実ではありません。ただ「直せば大丈夫」と安心しにくい理由にはなります。

裏地の中でしていること

事実 システム権限を持つこのアプリは、持ち主に知られずにこうしたことができます。

• 他のアプリをインストールしたり削除したりします。 偽装アプリは最低32種類が確認されました。
• アプリに権限を与えます。 本来は持ち主が「許可」を押さなければならないことです。
• 遠隔から受け取ったコードを実行します。 外から新しい指示を受け取って、そのまま動かすという意味です。

事実 こっそりアプリをインストールする直前にはGoogle Playストアを一時的に止めます。 インストールされるアプリが検査を受けないようにするためです。インストールが終わると再び起動します。一部の変種では、アプリがGoogle Playから入手したように出所を偽装することもあります。

事実 目に見える症状は広告です。このアプリは隠れたウィンドウで広告を表示し、自分でクリックします。 これを広告詐欺といいます。人が広告を見たように、クリックしたように見せかけて広告費を横取りする手口です。アプリの外で広告が飛び出してくるのも、これが理由です。

事実 アプリロックツールに偽装したアプリの中にはプロキシ機能も入っていました。この機能は、スマホを「中継ノード」として登録します。簡単に言うと、他人がインターネットに接続するとき自分のスマホを経由して出ていくようにする中継器として名前を登録しておくということです。そうすると外部からは、その接続が自分のスマホから出たように見えます。

事実 ただし、研究チームのテスト端末には中継しろという指示は来ませんでした。そのため実際に他人の接続を受け渡したのかは確認されていません。 登録はされていたが、仕事をしたかは分からないという意味です。

事実 悪性アプリの設定ファイルには、ユーザー補助（アクセシビリティ）、通知アクセス、SMSの権限が記されていました。ユーザー補助の権限は、本来は画面を代わりに読み上げる機能などに使う強い権限です。しかし研究チームは、この権限で情報を抜き取る動作は観測できませんでした。 ですから「銀行情報を盗む」と言うことはできません。鍵は握っているが、ドアを開けるところはまだ見ていない、という状態です。

数字で見た規模

事実 最後の行は別に押さえておく価値があります。Playアプリ13個にはシステム権限がありません。それでもアプリの外で広告を表示することはできます。報告書を書いた時点ではPlayに掲載されていました。ダウンジャケットに例えると、裏地の中ではなくポケットに入れて売る付属品に同じものが入っていた、ということになります。

事実 報告書には韓国の感染事例は出てきません。 150か国に韓国が入っているのかも、報告書だけでは分かりません。

私が今やること

やることは二つです。一つは選ぶ前に、もう一つはすでに買った後にやることです。

1. レジで弾く 「Galaxy Ultra」や「iPhone Pro Max」という名前が付いていて、値段がおかしく安いスマホは買わないでください。正規の流通経路で買います。裏地の中の縫い目は、家に帰ってから破り取るのが難しいです。ですから服はレジで弾くのが一番簡単です。

2. すでに使っているなら — 大事なものはそのスマホに入れない そのスマホでは、銀行やメインのメールのような重要なアカウントにログインしないでください。そして、メーカーのファームウェアアップデートが出ているか確認します。

推定 情報を抜き取る動作は観測されませんでした。それでもこのスマホは、遠隔から受け取ったコードを実行できます。今日やっていないことを明日やらせられるという意味です。ですから重要なアカウントは、最初から別のスマホに置くほうが安全です。

自分のスマホが疑わしいなら — こんなサイン

• アプリを使っていないのに広告が出ます。
• インストールした覚えのないアプリが現れたり消えたりを繰り返します。
• アプリ一覧に、システムアプリのように見えるが正体の分からない項目があります。
• モデル名はサムスンやアップルなのに、メーカーの正規販売店ではないところで相場よりはるかに安く買いました。

最後の項目は症状ではありません。それでも四つの中で最初に確認できるサインです。レシートを見るだけで分かるからです。

私たちが分からないこと

この記事は他者の調査を伝えたものです。まだ明らかになっていない部分が多くあります。知ったふりをしないよう、別に記しておきます。

• 韓国にも広がったのか分かりません。 韓国で感染したスマホがあるのか、同じモデルが国内のオープンマーケットや海外通販で売られたのかは確認されていません。
• 自分のスマホが実際に中継器として使われたのか分かりません。 研究チームも、他人の接続が通過したことを確認できていません。「自分のスマホが犯罪に使われた」と断定することはできません。
• 個人情報を抜き取ったのか分かりません。 SMS・通知・ユーザー補助の権限は宣言されていました。しかし、個人情報や認証番号を抜き取る動作は観測されませんでした。
• バッテリーやデータ使用量についての内容はありません。 「バッテリーが早く減れば感染」といった判別法は報告書に出てきません。
• 誰が、どの段階で仕込んだのか分かりません。 ファームウェアの署名に使われた証明書が中国・深圳のある業者とつながるといいます。しかし、その業者が関与したのかは不明です。特定の国や業者の仕業とは見ていません。
• Playアプリ13個が今も残っているのか分かりません。 削除されたのかは確認されていません。
• どのメーカーがどのモデルを修正したのか、リストがありません。 修正アップデートを出したところがあると報道されましたが、具体的なリストは出ていません。

確認されていないこと: 国内の感染の有無、実際のトラフィック中継の有無、情報窃取の有無、公式アップデート後の再感染事例（海外記事1件のユーザー報告）。

出典

• Bitdefender Labs (1차 출처, 2026-10-08) — The phone was compromised before the user turned it on: the rise of Midnight Mimosa https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
• BleepingComputer (2026-10-08) — Low-cost Android phones ship with residential proxy malware https://www.bleepingcomputer.com/news/security/low-cost-android-phones-ship-with-residential-proxy-malware/

この記事は2026-10-10時点で上記の二つの出典をもとに書きました。私たちのハニーポットが観測した内容ではなく、外部の調査を整理したものです。そのため、マスキングするIPや引用する認証情報はありません。BleepingComputerの記事はBitdefenderの元報告書と照合しました。報告書と照合できなかった項目は、本文で「報道されました」と区別して記しました。攻撃を真似できるコマンド・アドレス・インストール手順と悪性アプリの名前は、意図的に載せていません。