広く使用されている電話監視アプリ「LetMeSpy」が傍受したメッセージ、通話記録、位置情報がハッカーによって盗まれたと、このスパイウェアを作成した会社が発表した。
世界中でAndroidスマートフォンを使用している何千人ものユーザーを監視するために使用されているこの電話監視アプリは、ログインページの通知で、6月21日に「ウェブサイトのユーザーのデータへの不正アクセスに関するセキュリティインシデントが発生した」と述べた。
「攻撃の結果、犯罪者は電子メールアドレス、電話番号、アカウントに収集されたメッセージの内容にアクセスできました」と通知には記されている。
LetMeSpyは、ペアレンタルコントロールや従業員の監視を目的として販売されている電話監視アプリの一種です。このアプリは、スマートフォンのホーム画面に隠れて表示されるように特別に設計されているため、検出や削除が困難です。ストーカーウェアや配偶者監視ウェアとも呼ばれるこの種の電話監視アプリは、配偶者や同性パートナーなど、スマートフォンに物理的にアクセスできる人物によって、本人の同意や承諾なしにインストールされることがよくあります。
LetMeSpy は、アプリを仕掛けると、携帯電話のテキスト メッセージ、通話記録、正確な位置情報を密かにサーバーにアップロードし、アプリを仕掛けた人物をリアルタイムで追跡できるようになります。
これらの監視アプリは、個人の携帯電話に深くアクセスできることから、バグが多く、基本的なセキュリティ上のミスが多いことで知られており、これまで数え切れないほどのスパイウェア アプリがハッキングされたり、知らない間に盗まれた個人の携帯電話データが漏洩・公開されたりしてきました。
LetMeSpy もそれほど違いはありません。
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
この侵害を最初に報じたのは、ポーランドのセキュリティ研究ブログ「Niebezpiecznik」だった。Niebezpiecznikがスパイウェアメーカーにコメントを求めたところ、ハッカーはスパイウェアメーカーのドメインへの広範なアクセス権を掌握したと主張して返答したという。
LetMeSpyハッキングの背後にいる人物やその動機は不明です。ハッカーは、サーバーに保存されていたLetMeSpyのデータベースを削除したと示唆しました。ハッキングされたデータベースのコピーも同日中にオンラインに登場しました。
公共の利益のために漏洩したデータセットをインデックス化する非営利の透明性団体DDoSecretsは、ハッキングされたLetMeSpyデータのコピーを入手し、TechCrunchと共有しました。DDoSecretsは、キャッシュに含まれる個人情報の量を考慮し、データの配布をジャーナリストと研究者に限定していると述べています。
TechCrunchは、2013年まで遡る被害者の何年分もの通話記録やテキストメッセージを含む漏洩データを検証した。
私たちが調査したデータベースには、少なくとも13,000台の侵害されたデバイスの最新記録が含まれていましたが、一部のデバイスはLetMeSpyとデータをほとんど、あるいは全く共有していませんでした。（LetMeSpyは、アカウントが2ヶ月間使用されていない場合、データを削除すると主張しています。）
1月、LetMeSpyのウェブサイトは、同社のスパイウェアが23万6000台以上のデバイスを追跡し、これまでに数千万件の通話記録、テキストメッセージ、位置情報データを収集したと発表しました。本稿執筆時点では、サイトのカウンターはゼロとなっています。また、スパイウェアアプリ自体も含め、サイトの機能の多くが機能していないようです。TechCrunchはLetMeSpyの電話アプリのネットワークトラフィックを分析した結果、本稿執筆時点ではアプリが機能していない状態であることが示されました。
データベースには、数千人の被害者に関する13,400以上の位置情報データポイントが含まれていました。位置情報データポイントのほとんどは人口集中地域に集中しており、被害者の大部分が米国、インド、西アフリカに居住していることを示唆しています。
データには、スパイウェアを無料で使用した 26,000 人の顧客に関する情報や、有料サブスクリプションを購入した顧客の電子メール アドレスなど、スパイウェアのマスター データベースも含まれていました。
LetMeSpy を含むスパイウェア作成者が、開発者の現実世界の身元を公にしないことは珍しくない。これは、多くの国で犯罪とみなされる大規模な秘密の電話監視を促進することで生じる評判や法的リスクから自らを守るためであることが多い。
しかし、漏洩したデータベースの情報によると、LetMeSpyはクラクフを拠点とするポーランド人開発者、ラファル・リドウィン氏によって開発・保守されている。リドウィン氏は複数回のコメント要請に応じなかった。
LetMeSpyは、侵害通知の中で、法執行機関とポーランドのデータ保護当局UODOに通知したと述べています。UODOの広報担当者アダム・サノッキ氏は、TechCrunchに対し、LetMeSpyからの通知を受け取ったことを確認しました。
LetMeSpy が、電話が侵害され監視された被害者に通知するかどうか、また同社にそうする能力があるかどうかは不明だ。
これまでは被害者が自身のデータが侵害されたかどうかを自分で確認することが可能でしたが、漏洩したLetMeSpyデータには、被害者に直接通知するために使用できる識別可能な情報は含まれていません。たとえ含まれていたとしても、スパイウェアの被害者に通知することは困難です。スパイウェアを仕掛けた人物にも警告が届き、危険な状況を引き起こす可能性があるからです。
Androidスパイウェアアプリは、通常、重要なシステムアプリを装って偽装されています。LetMeSpyは見つけやすく、アンインストールも簡単です。アプリ名は「LMS」で、特徴的なアイコンが特徴です。Androidスパイウェアの削除に役立つ一般的なガイドをご用意しています（安全な場合）。
また、悪意のあるAndroidアプリから身を守るための最善のセキュリティ対策の一つであるGoogle Play Protectをまだ有効にしていない場合は、有効にしてください。Google Playの設定メニューから設定できます。
LetMeSpy は、近年ハッキングや侵害を受けたり、被害者のデータを漏洩させたりしたスパイウェアや電話監視アプリの長いリストの最新のものです。数あるアプリの中には、Xnspy、KidsGuard、TheTruthSpy、Support King などがあります。
ご自身またはお知り合いの方が助けを必要としている場合は、全米家庭内暴力ホットライン（1-800-799-7233）が、家庭内暴力や暴力の被害者に対し、24時間365日、無料、秘密厳守のサポートを提供しています。緊急の場合は、911番に電話してください。また、スパイウェアに感染したと思われる場合は、Coalition Against Stalkerwareもリソースを提供しています。このレポーターへの連絡は、SignalまたはWhatsApp（+1 646-755-8849）またはメール（[email protected]）で受け付けています。
ポーランドのUODOからのコメントを加えて6月28日に更新されました。
続きを読む：
- Xnspyストーカーウェアが数千台のiPhoneとAndroidデバイスをスパイ
- FTCによって禁止されたSupport Kingは、新たな電話スパイ活動に関連している
- 数千人をスパイするストーカーウェアネットワーク「TheTruthSpy」の内部
- TheTruthSpyが暴露：Androidデバイスが侵害されたか確認しましょう
- Androidスマートフォンにストーカーウェアが潜んでいる可能性があります。削除方法はこちらです。
- ストーカーウェアアプリ「KidsGuard」が数千人の被害者の電話データを漏洩
