Security

EngageSDK Android脆弱性で数百万のウォレットが危険に

3分で読める

概要

Microsoftは、Android向けサードパーティライブラリ EngageSDK における深刻な intent redirection flaw を公表しました。この問題により、数百万の暗号資産ウォレット利用者がデータ漏えいや権限昇格のリスクにさらされる可能性がありました。問題は EngageSDK バージョン 5.2.1 で修正されており、この事例は可視性の低いモバイルアプリのサプライチェーン依存関係がもたらすセキュリティリスクの増大を浮き彫りにしています。

Securityでお困りですか？専門家に相談する

Introduction

Microsoftは、広く利用されている Android 向けサードパーティライブラリ EngageSDK における深刻なセキュリティ問題を公表しました。この脆弱性が実際に悪用された証拠は確認されていませんが、大規模にインストールされたアプリに影響しており、サードパーティ SDK が一見信頼されたモバイルアプリに重大なサプライチェーンリスクを静かに持ち込む可能性があることを改めて示しています。

What happened

この脆弱性は、Android アプリでメッセージングやプッシュ通知に使用されるライブラリ EngageSDK に存在する intent redirection flaw です。

主なポイントは次のとおりです。

  • 同一デバイス上の悪意あるアプリが、脆弱なアプリの信頼されたコンテキストを悪用できる可能性がありました。
  • これにより、保護されたコンポーネントへの不正アクセス、機密データの漏えい、権限昇格につながるおそれがありました。
  • Microsoft によると、サードパーティ製の暗号資産ウォレットアプリだけでも 3,000万件以上のインストール が潜在的なリスクにさらされていました。
  • この問題は、ビルド工程で SDK によって追加される exported Android activity、MTCommonActivity に起因していました。
  • これはビルド後のマージ済み manifest に現れるため、通常のレビューでは開発者が見落とす可能性があります。

Microsoft は EngageLab および Android Security Team と連携して情報開示を行いました。この問題は 2025年11月3日 に EngageSDK version 5.2.1 で修正されました。

Why this matters for security teams

この公表は、Android ウォレットに限らず重要な意味を持ちます。以下の点を示しているためです。

  • サードパーティ SDK は、明確な可視性がないまま攻撃対象領域を拡大し得る
  • Exported components は、アプリ間に意図しない信頼境界を生み出す可能性がある
  • モバイルアプリのサプライチェーン上の弱点は、一度に数百万人規模のユーザーへ影響し得る

Android では、この EngageSDK 固有のリスクに対するプラットフォームレベルの緩和策も追加されており、脆弱と判定されたアプリは Google Play から削除されました。Microsoft は、すでに脆弱なアプリをダウンロードしていたユーザーにも追加の保護が提供されていると述べています。

Impact on administrators and developers

セキュリティ管理者にとって、これはモバイルアプリケーションのガバナンスにおいて、アプリの評判やストア承認だけでなく、依存関係のレビューも含める必要があることを示す明確な事例です。

開発者および DevSecOps チームにとって、主な教訓は次のとおりです。

  • ソース manifest だけでなく、マージ済み Android manifest も確認する
  • Exported activities やその他の公開コンポーネントを監査する
  • intent 処理とアプリ間の信頼前提を検証する
  • ソフトウェアサプライチェーン管理の一環としてサードパーティ SDK のバージョンを追跡する
  • Android アプリに EngageSDK が含まれている場合は、直ちに EngageSDK を version 5.2.1 以降へ更新してください。
  • 依存関係によって追加された exported components がないかモバイルアプリを確認してください。
  • 依存関係および manifest の分析を CI/CD のセキュリティチェックに追加してください。
  • Microsoft の検出ガイダンスと元のアドバイザリにある指標を使用して、影響範囲を評価してください。

この事例は、モバイルセキュリティがますます、開発者が直接書くコードだけでなく、アプリが依存するライブラリによって左右されることを改めて示しています。

Securityでお困りですか？

私たちの専門家がMicrosoftソリューションの導入と最適化をお手伝いします。

専門家に相談する

Microsoftテクノロジーの最新情報を入手

Microsoft Defender Security Research Teamの元の記事を読む
Android securitymobile app securitythird-party SDKcrypto walletsMicrosoft Defender

関連記事

Security

Storm-2755給与攻撃：カナダ従業員を狙う手口

Microsoftは、金銭目的のStorm-2755キャンペーンについて詳報し、給与振込先変更を狙ってカナダの従業員を標的にした攻撃を明らかにしました。脅威アクターはSEO poisoning、malvertising、adversary-in-the-middle手法を使ってセッションを窃取し、旧来型MFAを回避して口座振込情報を改ざんしており、phishing-resistant MFAとセッション監視が重要な防御策となります。

Security

SOHOルーターのDNSハイジャック攻撃をMicrosoftが警告

Microsoft Threat Intelligence によると、Forest Blizzard は脆弱な家庭用・小規模オフィス向けルーターを侵害し、DNS トラフィックをハイジャックし、一部のケースでは標的接続に対する adversary-in-the-middle 攻撃を可能にしていました。このキャンペーンは、リモートワークやハイブリッドワークの従業員が使用する未管理の SOHO デバイスが、企業環境自体が安全でもクラウドアクセスや機密データを危険にさらす可能性があるため、IT チームにとって重要です。

Security

Storm-1175のMedusa ransomware攻撃がWeb資産を標的に

Microsoft Threat Intelligence は、Storm-1175 が脆弱なインターネット公開システムを急速に悪用し、場合によっては初期侵害から 24 時間以内に Medusa ransomware を展開していると警告しています。新たに公表された脆弱性、web shell、RMM ツール、迅速な横展開に注力する同グループに対し、防御側には迅速なパッチ適用、露出管理、侵害後の検知が不可欠です。

Security

AI対応デバイスコードフィッシング攻撃が深刻化

Microsoft Defender Security Research は、AI生成のおとり、動的なコード生成、自動化されたバックエンド基盤を使って OAuth device code flow を悪用する大規模なフィッシングキャンペーンの詳細を明らかにしました。このキャンペーンは、攻撃者の成功率を高め、従来の検知パターンを回避し、トークン窃取、受信トレイルールによる永続化、Microsoft Graph を使った偵察を可能にするため、組織にとってのリスクを高めます。

Security

AIサイバー攻撃が攻撃チェーン全体で脅威を加速

Microsoftは、脅威アクターが偵察やフィッシングからマルウェア開発、侵害後の活動まで、サイバー攻撃のライフサイクル全体にAIを組み込んでいると警告しています。防御側にとっては、攻撃の高速化と精度向上、フィッシング成功率の上昇を意味し、ID、MFA保護、AI主導の攻撃対象領域に対する可視性強化の必要性が高まっています。

Security

Cookie制御PHP webshellのLinux回避手法を解説

Microsoftは、Linuxホスティング環境でHTTP cookieを使ってPHP webshellを制御する脅威アクターについて警告しています。この手法により、特定のcookie値が存在しない限り悪意のあるコードは休眠状態を維持し、通常のログでの可視性を低下させます。さらに、cron jobによる永続化を支援し、ホストされたLinuxワークロードに対する監視、Web保護、endpoint detectionの強化が必要であることを示しています。