セルゲイ・トーシンの名前を聞いたことがないかもしれませんが、彼の作品は知っておくべきです。
トシン氏はモスクワ在住の24歳のセキュリティ研究者で、主にモバイルアプリのセキュリティに焦点を当てています。様々なモバイルセキュリティの欠陥に関する知識を活かし、アプリのコード内の脆弱性を迅速かつ自動的に検出するカスタムAndroidモバイルアプリ脆弱性スキャナーを開発したと、TechCrunchに語りました。
このスキャナーは、Androidアプリをデコンパイルし、ソースコードを人間と同じように1行ずつ実行することで、脆弱性を引き起こす可能性のあるコード上の欠陥を検出します。Toshin氏によると、スキャナーはさまざまな種類の脆弱性を効果的に記述した一連のルールを取り込み、それらの条件を満たす脆弱なコードを検索します。
スキャナーが終了すると、コード内の脆弱性がどこにあるかを説明するレポートが出力されます。
彼が過去 2 年間かけて開発したこのスキャナーを使用することで、バグの発見プロセスを高速化できました。
「バグ報奨金に参加するには、アプリをダウンロードして、脆弱性レポートで特定された脆弱性をコピーするだけです」と彼は語った。
8月には、悪意のあるアプリが同じデバイス上の他のアプリからユーザーの機密データを盗むことを可能にするAndroidの脆弱性の詳細を明らかにした。2週間後には、ユーザーアカウントの乗っ取りにつながる可能性のあるTikTokのAndroidアプリのバグの詳細を明らかにした。
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
Androidのセキュリティバグにより、悪質なアプリがユーザーの個人情報を盗み出すことが可能に
これらは、バグ報奨金プログラムを通じて彼が企業に報告した数百のセキュリティバグのうちの2つにすぎない。バグ報奨金プログラムとは、研究者が企業に潜在的な問題を警告すると同時に、その発見に対して報酬を得る方法である。
「スタートアップを立ち上げて、他の企業がモバイルアプリの脆弱性を見つけるのを手伝おうと思ったんです」とトーシン氏はTechCrunchに語った。
こうしてオーバーセキュアードは設立されました。しかし、トーシン氏がスタートアップに資金を調達した方法は、少々型破りでした。
Oversecuredの珍しい点は、自己資金で運営しているという点ではなく、実質的に採算が取れる製品からスタートしたという点です。Toshin氏は、スキャナーを使って1年間で100万ドル以上のバグ発見報奨金を獲得しました。これは主に、1億回以上インストールされたAndroidアプリで発見されたセキュリティバグに対して、セキュリティ研究者にはるかに高額の報奨金を支払うGoogleのセキュリティ報奨プログラムのおかげです。
GoogleはAndroidの最も人気のあるアプリのいくつかをハッキングすると1,000ドルを支払う
Oversecuredはまだ収益を上げていないが、Toshinはこれまでベンチャーキャピタルからの資金調達も行っていない。現在、同社には約5人の開発者に加え、デザイナーと翻訳者がおり、スキャナーの開発と改良に全力を注いでいる。
同社は現在、Androidアプリのスキャンのみに対応している。Toshin氏によると、このスキャナーはバグハンターやセキュリティ研究者向けに公開されており、アプリごとにスキャン料金を支払うことで、5回分のスキャンが無料で提供されるという。
しかし、トーシンは、企業顧客がスキャナーへのアクセスを購入し、自社の開発ツールに統合できるようにすることに大きな期待を寄せています。オーバーセキュアドは先週、B2B向けサービスを開始しました。これにより、アプリ開発者は既存のアプリ開発プロセスにスキャナーを直接統合し、コーディング中にバグを発見できるようになりました。
Toshin は、企業顧客が iOS アプリの Swift ソースコードのスキャンのサポートをまもなく受けられるようになると述べた。
Oversecuredは、この分野で実績のある数多くのアプリセキュリティ企業に加わりました。しかし、Toshin氏は自社の技術が他社に差をつけていると確信しています。
「すべてを見つけることが重要だ」と彼は言った。
続きを読む：
- TikTok、アカウント乗っ取りにつながる可能性があったAndroidのバグを修正
- Androidのセキュリティバグにより、悪質なアプリがユーザーの個人情報を盗み出すことが可能に
- 今週のアプリ：選挙がアプリストアに与える影響、アプリの新たなプライバシー要件、iOS 14.2の登場
- 確かに、「プライバシーを保護する」と約束するソーシャルネットワーキングアプリは、プライベートメッセージやユーザーの位置情報を公開した。
ザック・ウィテカーはTechCrunchのセキュリティエディターです。彼はまた、毎週のサイバーセキュリティニュースレター「今週のセキュリティ」の執筆者でもあります。
Signalのzackwhittaker.1337宛ての暗号化メッセージで連絡を取ることができます。また、メールで連絡を取るか、確認したい場合は[email protected]までご連絡ください。
バイオを見る
