アプリケーション内に秘密情報を組み込んだ時点で、攻撃者はそれを見つけるためにサーバーを侵害する必要がなくなる可能性がある――開発者はまた一つ、そのことを思い知らされた。
Anthropicによると、フランス語を話す脅威アクターが分散システムを使い、TruffleHogなどのツールで180万件のAndroid APKをダウンロード、逆コンパイルし、ハードコードされた認証情報などの秘密情報をスキャンしたという。BleepingComputerは、このアクターをより広範なShinyHuntersエコシステムと結び付けている。
この活動は、攻撃者がよくある安全なコーディング上のミスを、クラウドインフラ、セキュリティ自動化ツール、AIを組み合わせた大規模な認証情報探索へと転換できることを示している。これにより、企業システムへの侵入経路となり得るものを大規模に特定できる。
危険は、開発者が誤ってAPIキーを公開してしまうことにとどまらない。AIとクラウドインフラ、セキュリティ自動化ツールを組み合わせれば、認証情報の発見、検証、利用に伴う反復作業の大部分を、人の手から自動化されたワークフローへ移せる可能性がある。
180万件のアプリを対象にした認証情報の脅威ハント
Anthropicのレポートによると、この活動は2025年12月から2026年8月までの8カ月間にわたって実施された。その間に同社が確認したのは、複数のストアからダウンロードされた、180万個の個別のAndroid APKファイルにまたがる異例のハッキングパターンだった。
Anthropicの脅威インテリジェンスチームによると、これらのAPKは10台のAWS EC2ワーカーで実行され、アプリケーションを大規模に調査する分散パイプラインが構築されていた。
APKは逆コンパイルされ、スキャンされた。専用パイプラインは、関連する検出結果をリアルタイムでTelegramチャンネルに送り、100を超えるカテゴリーに分類した。一方、別のパイプラインはGitHub Personal Access Token（PAT）を送信していた。
この構成は、クラウドインフラ、スキャン自動化ツール、AIを組み合わせることで、大規模なソフトウェアコレクション全体から認証情報を発見する作業を加速できることを示している。
Anthropicが確認したあるケースでは、攻撃者が約34時間で40を超える企業ユーザーから2,100組以上のAzure AD認証トークンを入手した。一方、別の侵入では、1つの盗まれた開発者トークンから始まり、約3時間で管理者権限の掌握に至った。
180万という数字はスキャンパイプラインで処理されたAPKの数であり、侵害が確認されたアプリケーションが180万件あったという意味ではない。目的は、開発者システムや企業システムへのアクセスを可能にする恐れのある、組み込み済みの秘密情報を特定することだった。
ShinyHuntersエコシステムに関連するフランス語話者のアクター
このキャンペーンはまた、新たなソフトウェア脆弱性に頼らなくても、認証情報の窃取によって大規模な侵害を引き起こせることを示している。
Anthropicは、フランス語を話すアクターによる活動について、BleepingComputerはShinyHuntersエコシステムに関連すると報じている。使用された別名にはfrkoo、MeowSHA、blazespiderがある。
このグループも単独で活動していたわけではない。Anthropicのレポートには、Claudeが関与したロシア語話者および中国語話者による別個の脅威活動も記録されているが、これらの事例はAndroid APKのスキャン活動とは別のものだった。
ロシア関連の活動は異なる経路をたどった。Anthropicは、あるクラスターをMidnight Blizzardと関連付けている。同グループはClaudeをマルウェア開発、フィッシング、永続化、データ窃取などに利用し、政府、防衛、外交、情報機関を標的にしていた。
AnthropicがGTG-10007として追跡している別の中国語話者グループも、ロシアのグループと同様の経路をたどり、偵察、脆弱性調査、エクスプロイト開発、侵入の試みにClaudeを利用していた。
Anthropicは侵害されたアカウントを禁止し、Claudeのガードレールを強化したうえで、このインシデントを攻撃阻止のためのフィードバックとして活用した。Claudeの開発元は、法執行機関にも連絡したと述べている。
警告はアプリ開発者だけに向けられたものではない
攻撃者は長年にわたり、APKを逆コンパイルしてアプリを改変し、ペイウォールを回避したり、開発者が意図していなかった機能を追加したりしてきた。今回のキャンペーンは、同じ能力がより深刻な目的に利用され得ることを示している。
開発者、ベンダー、組織は、一般の利用者が正当に入手できるものはすべて、攻撃者による調査の対象になり得ると考えるべきだ。対象はモバイルアプリだけでなく、Webサイト、ブラウザー拡張機能、デスクトップソフトウェア、スクリプト、公開リポジトリ、コンテナイメージ、その他のソフトウェア成果物にも及ぶ。
同じ原則はハードウェアにも当てはまる。攻撃者がソフトウェアをリバースエンジニアリングして弱点や認証情報を明らかにできるなら、ファームウェア、組み込みソフトウェア、外部に公開されたインターフェースに依存するハードウェアも、侵入経路になり得る。
開発者やベンダーに求められる対応は、秘密情報をコードに含めないことだけではない。
- 機密性の高い処理をデバイス外に移す。特権認証情報を必要とする処理はすべて、一般ユーザーがダウンロードしたり調査したりできないインフラ上で実行すべきだ。
- 実際に出荷するものを監査する。アプリケーションのソースコードだけでなく、本番ビルド、ソースマップ、設定ファイル、デバッグ用エンドポイント、同梱された依存関係も確認する。
- 認証情報の漏えいを前提に設計する。盗まれたトークンには限定的な権限、実用上の有効期間の短さ、無関係なシステムへの不要なアクセスがないことが求められる。
- リリース後の悪用を監視する。異常なAPI呼び出し、認証試行、トークンの使用状況、アクセスパターンを追跡し、数カ月後に発見するのではなく、露出した認証情報を検知できるようにする。
- サプライヤーを攻撃対象領域の一部として扱う。利用しているSDKや統合機能について、アクセス可能な対象と外部に公開する情報の両方を確認する。
セキュリティチームにとってのより大きな教訓は、アプリケーションのリリースを、情報が漏えいする可能性のある境界として扱うべきだということだ。ダウンロード可能なソフトウェアに組み込まれたものは、いずれ調査、抽出され、自動化された攻撃の対象になる可能性がある。
そのため、秘密情報のスキャン、認証情報のローテーション、最小権限アクセス、本番ビルドのレビューは、単なる開発上の衛生管理ではない。攻撃者が何百万ものアプリケーションを横断して探索を自動化できるようになると、忘れられた認証情報1つが、公開アプリから非公開の企業システムへ至る最短経路になり得る。
サイバーセキュリティ関連のニュース：IDScanが顧客データへの不正アクセスを確認したことをめぐり、同社のクラウドでの不正アクセスが発生した。身元確認プロバイダーである同社について、ダークウェブ上で提供された運転免許証記録1億5300万件以上との関連が報じられていた。