あまり知られていない電話監視アプリ「Xnspy」が、何万台ものiPhoneやAndroid端末からデータを盗んだが、その大半の所有者は自分のデータが侵害されたことに気づいていない。
Xnspyは、親が子供の行動を監視できるという名目で販売されている、いわゆるストーカーウェアアプリの一つです。しかし、実際には配偶者や同性パートナーのデバイスを本人の許可なくスパイすることを目的として販売されています。Xnspyのウェブサイトでは、「浮気している配偶者を捕まえるには、Xnspyが必要です」や「Xnspyを使えば、レポート作成とデータ抽出が簡単になります」と謳っています。
ストーカーウェアアプリ（別名：配偶者ウェア）は、携帯電話に物理的にアクセスできる人物によって、デバイス上のセキュリティ保護を回避して密かに埋め込まれます。また、ホーム画面に表示されないように設計されているため、検出が困難です。インストールされると、これらのアプリは通話記録、テキストメッセージ、写真、閲覧履歴、正確な位置情報など、携帯電話のコンテンツを密かに継続的にアップロードし、アプリを仕掛けた人物は被害者のデータにほぼ完全にアクセスできるようになります。
しかし、新たな調査結果によると、多くのストーカーウェアアプリにはセキュリティ上の欠陥が多数存在し、被害者の携帯電話から盗まれたデータが漏洩していることが明らかになりました。Xnspyも例外ではありません。
セキュリティ研究者のヴァンゲリス・スティカス氏とフェリペ・ソルフェリーニ氏は、数ヶ月かけて既知のストーカーウェアアプリをデコンパイルし、アプリがデータを送信するネットワークのエッジを分析しました。今月ロンドンで開催されたBSidesで発表された彼らの研究は、Xnspyを含む複数のストーカーウェアファミリーに共通する、簡単に発見できるセキュリティ上の欠陥を特定しました。例えば、開発者がコード内に残した認証情報や秘密鍵、暗号化の不備、あるいは暗号化の不完全性などが挙げられます。これらの欠陥によって、被害者が盗んだデータが、安全でない第三者のサーバー上に放置されているというケースも発生しています。
スティカス氏とソルフェリーニ氏は調査中に、各活動の背後にいる人物を特定する手がかりや痕跡を発見したが、悪意のあるハッカーに利益をもたらし、被害者にさらなる被害を与えることを懸念し、ストーカーウェア運営者と脆弱性の詳細を共有したり、欠陥の詳細を公表したりすることを拒否した。スティカス氏とソルフェリーニ氏は、発見した欠陥はすべて簡単に悪用でき、おそらく何年も前から存在していたと述べた。
他にも、簡単に見つかる脆弱性を悪用し、より曖昧な法的領域に踏み込んだ者もいます。その目的は、自警行為の一種としてストーカーウェアの活動を摘発することにあるようです。TheTruthSpyストーカーウェアとその関連アプリのサーバーから取得され、今年初めにTechCrunchに提供された膨大な内部データのおかげで、デバイスが侵害された数千人の被害者に通知することができました。
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
TheTruthSpy に関する調査以来、TechCrunch は Xnspy を含むさらなるストーカーウェア データのキャッシュを入手し、その活動と監視から利益を得ている個人を明らかにしました。
TechCrunchが確認したデータによると、Xnspyの被害者は2014年以降少なくとも6万人に上り、その中には2022年という最近の時点でも記録された数千件の新たな侵害も含まれている。被害者の大半はAndroidユーザーだが、Xnspyは数千台のiPhoneから取得したデータも保有している。
多くのストーカーウェアアプリはAndroid向けに開発されています。これは、インストールできるアプリやアクセスできるデータに厳しい制限があるiPhoneよりも、悪意のあるアプリを仕掛けやすいためです。iPhone向けのストーカーウェアは、悪意のあるアプリを仕掛ける代わりに、AppleのクラウドストレージサービスiCloudに保存されているデバイスのバックアップを利用します。
ストーカーウェアは、被害者のiCloud認証情報を利用し、所有者に知られることなく、Appleのサーバーからデバイスの最新のiCloudバックアップを継続的にダウンロードします。iCloudバックアップにはデバイスのデータの大部分が含まれており、ストーカーウェアはメッセージ、写真、その他の情報を盗むことができます。2要素認証を有効にすると、悪意のある人物が個人のオンラインアカウントに侵入することがはるかに困難になります。
私たちが確認したデータには、被害者のクラウド保存データへのアクセスに使用された1万件以上のiCloudメールアドレスとパスワードが含まれています。ただし、多くのiCloudアカウントは複数のデバイスに接続されています。このうち、データには6,600件以上の認証トークンが含まれており、これらはAppleのクラウドから被害者のデバイスデータを盗み出すために実際に使用されていましたが、多くは期限切れでした。被害者への継続的なリスクの可能性を考慮し、TechCrunchは記事掲載前に、侵害されたiCloud認証情報のリストをAppleに提供しました。
私たちが入手したXnspyのデータは暗号化されていませんでした。また、Xnspyの開発者の正体をさらに明らかにする情報も含まれていました。
Konextはパキスタンのラホールに拠点を置く小規模な開発スタートアップ企業で、LinkedInのページによると、従業員は12名ほど。同社のウェブサイトによると、同社は「オールインワンソリューションを求める企業向けのオーダーメイドソフトウェア」を専門としており、数十ものモバイルアプリやゲームを開発してきたという。
Konext が宣伝していないのは、同社が Xnspy ストーカーウェアの開発と保守を行っていることです。
TechCrunchが確認したデータには、Konextの開発者と従業員が社内のXnspyシステムにアクセスするために独自に登録した名前、電子メールアドレス、暗号化されたパスワードのリストが含まれていた。
キャッシュには、サードパーティの決済プロバイダーのXnspy認証情報も含まれており、これはKonextの主任システムアーキテクトのメールアドレスに紐付けられている（LinkedInの情報によると）。このアーキテクトは、スパイウェア活動の主要開発者とみられている。他のKonext開発者は、Xnspyと、同じくKonextが開発したXnspyのクローンであるTrackMyFoneで使用されている決済システムのテストに、ラホールの自宅住所に登録されたクレジットカードを使用していた。
データによれば、コネクストの従業員の一部はキプロスに居住している。
Konextは他のストーカーウェア開発会社と同様に、自らの活動を隠蔽し、開発者の身元を公に知られないように懸命に努力している。これは、大規模な秘密監視を促進することに伴う法的リスクや評判リスクを回避するためであると考えられる。しかし、Konext自身の開発者が残したコーディングミスは、同社がストーカーウェア開発に関与していたことをさらに示唆している。
TechCrunchは、KonextのウェブサイトがTrackMyFoneのウェブサイト、そしてキプロスに拠点を置くSerfoletのウェブサイトと同じ専用サーバーでホストされていることを発見した。Serfoletは、明らかに簡素なウェブサイトを運営しているキプロス企業で、Xnspyによると、顧客に代わって返金処理を行っているという。他のウェブサイトは同サーバーでホストされていない。
TechCrunchは、Konextの主任システムアーキテクトにコメントを求めるメールをKonextとXnspyの両方のメールアドレス宛てに送った。しかし、Salという人物が返信してきた。彼のKonextのメールアドレスもデータに含まれていたものの、氏名は伏せられた。SalはTechCrunchとの一連のメールで、KonextとXnspyの関連性について反論も否定もしなかったものの、コメントは拒否した。侵害されたデバイスの数について尋ねられたSalは、あるメールで「あなたが提示した数字は、私たちが把握している数字と一致しません」と述べ、Konextの関与を認めたようだ。ただし、明確な説明を求められたSalは、詳細を明かさなかった。
Xnspy は、欠陥のあるストーカーウェア アプリの長いリストの最新のものです。mSpy、Mobistealth、Flexispy、Family Orbit、KidsGuard、TheTruthSpy はすべて、近年、被害者のデータを漏洩または侵害しています。
ご自身またはお知り合いの方が助けを必要としている場合は、全米家庭内暴力ホットライン（1-800-799-7233）が、家庭内暴力や暴力の被害者に対し、24時間365日、無料、秘密厳守のサポートを提供しています。緊急の場合は、911番に電話してください。また、スパイウェアに感染したと思われる場合は、Coalition Against Stalkerwareもリソースを提供しています。このレポーターへの連絡は、SignalまたはWhatsApp（+1 646-755-8849）またはメール（[email protected]）で受け付けています。
続きを読む：
- 数千人をスパイするストーカーウェアネットワーク「TheTruthSpy」の内部
- TheTruthSpyが暴露：Androidデバイスが侵害されたか確認しましょう
- Androidスマートフォンにストーカーウェアが潜んでいる可能性があります。削除方法はこちらです。
- ストーカーウェアアプリ「KidsGuard」が数千人の被害者の電話データを漏洩
https://techcrunch.com/2022/02/22/remove-android-spyware/
