偽ストリーミングアプリ経由で拡散するMirax──アクセシビリティ悪用で“正規アプリ上”から資金を抜く新潮流です

今日の深掘りポイント

• 供給経路は「低評価ストリーミングアプリ（Google Play）→外部ドロッパー→本体（Mirax）」の多段化です。公式ストアを踏み台に、最終的な不正アプリをストア外から入れさせる古典と最新の合わせ技です。
• 攻撃の肝はAndroidアクセシビリティサービスの悪用です。キーロギング／SMS傍受／画面共有の合わせ技で、正規の銀行アプリを遠隔操作し、不正送金（ATS: Automated Transfer System）を成立させます。
• 活動は継続中で、祝祭日などトランザクションが膨らむタイミングでスパイクが見られるとの報です。金融機関側のリアルタイム監視とユーザー教育を“同時に”上げる必要があります。
• 技術的新規性は中程度ながら、実害化の確度と即時性が高いタイプです。短期は運用（サイドローディング制御／MTD導入／取引監視強化）、中長期は設計（SMS OTP依存の脱却、FIDO等の署名型SCA）に舵を切る局面です。
• BYODを含む企業環境では、銀行被害にとどまらず、ワンタイムコードやMFAプッシュの取り込み、業務アプリのスクリーン情報漏えいに波及しかねません。モバイルを“本格的なエンドポイント”として扱うべき時期です。

参考情報（報道・ドキュメント）を末尾に載せています。一次資料を中心に、実務の意思決定につながる論点を抽出しています。

はじめに

Miraxは、Android向けのバンキング型トロイの木馬で、偽のストリーミングアプリを起点に拡散し、最終的に被害者の端末上で正規の銀行アプリを遠隔操作して不正送金を成立させる系統のマルウェアです。報道では、被害規模はすでに数百万ドル相当、2026年3〜9月にかけてMETA地域で数千件規模の感染が確認され、祝祭日や月末に活動が跳ね上がった、とされています。これらは進行中のキャンペーンの一部にすぎないとの指摘もあります［出典: 報道］。

この手の攻撃は、技術的な“驚き”より、オペレーションの巧妙さで差をつけてきます。ユーザーの心理（無料コンテンツ／視聴アプリ）を突き、公式ストアの信頼で敷居を下げ、最後はアクセシビリティをテコに「正規アプリ内部で不正」を完結させる——守る側から見ると、従来のマルウェア検知・不正APIコール検知をすり抜けやすいワークフローです。

深掘り詳細

事実整理（確認された報道と公知仕様）

• 配布経路
  • Google Play上の低評価ストリーミングアプリ経由で、ユーザーをストア外のドロッパーに誘導、最終的にMirax本体をインストールさせる手口が報じられています［出典: 報道］。
  • Android 13以降、ストア外インストール由来のアクセシビリティ有効化・通知リスナー等は「Restricted setting」としてハードルが上がりましたが、ユーザー操作で突破可能です［Android 13 セキュリティとプライバシーの公式解説］。
• 機能と手口
  • アクセシビリティサービスの悪用により、キーロギング、UI操作の自動化、オーバーレイ生成、画面共有に近い情報取得、SMSの傍受などの能力を備えるとされています［出典: 報道］。
  • 銀行・ウォレットごとの設定（ターゲットリスト）を持ち、該当アプリ起動時にフィッシング的オーバーレイやリアルタイム操作（ATS）で認証情報・送金を奪取します［出典: 報道］。
• 被害状況（報）
  • 損失は数百万ドル規模、感染はMETA地域で数千件規模、祝祭日や月末で顕著に活動がスパイクしたと報じられています［出典: 報道］。

公知仕様として、Googleは開発者に対しアクセシビリティAPIの濫用禁止と限定的な利用を求めていますが、ユーザーが権限を付与すれば悪用は可能です［Google Play 開発者ポリシー：アクセシビリティ］。

インサイト（編集部の見立て）

• 「低評価ストリーミング→外部ドロッパー」は、検知回避とKPI改善のためのオペレーション最適化と見ます。公式ストアは入口の“信頼バイアス”を生み、最終ペイロードはストア審査の外で更新・差し替えが自由です。端末側のRestricted settingは、確かにバリアですが、無料視聴の“代償”として数タップ要求されても、相当数が通過します。
• アクセシビリティ悪用は、APIフックや証明書ピン破りのような派手さはありませんが、「正規アプリのUIを遠隔操作」できるため、サーバー側からは“お客さま自身の正当な操作”に見えやすいのが最大の脅威です。結果として、デバイス健全性チェック（Play Integrityなど）を通過しつつ、SCA（二要素）を人質化（SMS傍受やUI操作）して突破することが可能です。守りは「端末」と「取引」の双方でスコアリングを高め、手口の組み合わせに応じて“段階的に関門を上げる”設計に寄せる必要があります。
• 時間帯と祝祭日のスパイクは、人の監視が薄れる瞬間と小口トランザクションの増加に合わせた“攻め時”の最適化と読めます。日本でも、給与日・大型連休前後・年末の送金ピークは同様に狙われます。金融SOCは「営業日カレンダー×大量小口×新規宛先×MFAの失敗パターン変化」を重ねた動的閾値に寄せると、運用効果が出やすいです。
• 指標面では、新規性は中程度ですが、実害化の確度と即時性が高い事案です。つまり「最先端の0-day対策」より「既知の悪用（アクセシビリティ／オーバーレイ／SMS）の多層封じ」が短期の費用対効果で勝ちます。中長期は、SMS OTP依存の縮退と、取引署名型の強固な本人認証（FIDO/WebAuthn＋トランザクションバインディング）への移行が、被害総量を決めます。

脅威シナリオと影響

以下は、MITRE ATT&CK for Mobileの戦術に沿った想定シナリオです（個別のMirax機能は報道準拠、それ以外は同系統マルウェアで一般的に観測される手口に基づく仮説で、断定は避けます）。

• 初期侵入（Initial Access）
  • 公式ストア上の低評価ストリーミングアプリを踏み台に、外部サイトからドロッパーをインストールさせる。ユーザーに「更新が必要」等で誘導（User Execution）。［仮説と報道の併記］
• 実行・権限取得（Execution / Privilege Escalation）
  • アクセシビリティサービス有効化を誘導。これによりUI操作、キーロギング、画面上テキスト抽出、オーバーレイ表示などの広範な能力を得る。［報道＋公知仕様］
• 永続化・防御回避（Persistence / Defense Evasion）
  • 自動起動の登録、通知権限の取得、アイコン隠しや正規名乗りなどで滞留を図る。［一般的傾向としての仮説］
• 認証情報奪取（Credential Access）
  • オーバーレイと入力監視、クリップボード監視、SMS傍受で、ID/パスワード、OTP、受取人情報を書き換え・収集。［報道＋一般的傾向］
• 発見・コマンド制御（Discovery / C2）
  • 端末内の銀行・ウォレットアプリの有無、OSバージョン、権限状態を確認し、C2から対象銀行に合わせたシナリオを受信。通信はHTTPS/FCM等を併用する可能性。［報道＋仮説］
• 収集・流出・影響（Collection / Exfiltration / Impact）
  • 画面共有相当の機能やスクリーン情報で操作を補助し、正規アプリ上でリアルタイム不正送金（ATS）を成立。送金先はマネーミュールや即時決済口座に分散。［報道＋一般的傾向］

この連鎖は、サーバー側からは「正規端末・正規セッション・正規アプリ・正当ワークフロー」に見えます。したがって、端末基盤の健全性と、取引コンテキストの双方で“何が通常と違うか”を積み上げる以外に、単一のシグナルで止めるのは難しいです。

セキュリティ担当者のアクション

• 企業（CISO/SOC/IT運用）

  • サイドローディングの抑止
    • Android Enterpriseで「不明ソースからのアプリインストール禁止（UserManager: DISALLOW_INSTALL_UNKNOWN_SOURCES/…_GLOBALLY）」等のユーザー制限を有効化します［Android Enterprise UserManager 仕様］。
    • 社内端末の“Restricted settings”該当権限（アクセシビリティ／通知リスナー／オーバーレイ）付与を可視化し、例外運用を最小化します（MDMの設定監査レポートを定期化）。
  • MTD/モバイルEDRの導入
    • アクセシビリティ濫用・オーバーレイ・SMS権限の組み合わせ検知、C2ドメインのIOC連携、アプリレピュテーション（特にストア外）を備えた製品で、検知から隔離・コミュニケーションまでのプレイブックを整備します。
  • 監視・ハンティング
    • 端末設定から有効なアクセシビリティサービス一覧（Settings.Secure.ENABLED_ACCESSIBILITY_SERVICES）を収集し、既知の支援技術（TalkBack等）以外の新規付与を検知トリガーにします。オーバーレイ権限（Settings.canDrawOverlays）の付与と組み合わせ、相関検知を構築します［Android API 参照: canDrawOverlays］。
  • ユーザー教育
    • 「ストリーミングアプリ内の“更新/視聴用プラグイン”からのインストールをしない」「アクセシビリティは支援技術以外に付与しない」を、実例ベースで年2回のマイクロラーニングに組み込みます。

• 金融機関（チャネルセキュリティ/不正対策）

  • クライアント側の健全性シグナル強化
    • Play Integrity API等の端末健全性シグナルを収集しつつ、アクセシビリティ有効化（特に非支援アプリ）、オーバーレイ権限、スクリーンキャプチャ検出（FLAG_SECURE反応）など“挙動系”も取り込み、総合スコアでステップアップ認証を制御します［Play Integrity、FLAG_SECURE、canDrawOverlays 参照］。
  • 認証の設計見直し
    • SMS OTP依存を縮退し、FIDO/WebAuthnや取引バインディング（金額・宛先を署名対象に含む）に移行します。NIST SP 800-63BでもSMSは制約付き要素と位置づけられており、移行の根拠になります［NIST 800-63B］。
  • 取引監視（FRM）チューニング
    • 「新規宛先×時間帯×端末シグナル（アクセシビリティ/オーバーレイ）×微小多発（スプリット送金）」のコンボをルール化。祝祭日や月末のスパイクを想定した“動的閾値”を採用し、行内SOCと二人三脚で即時止血のラインを引きます。
  • アプリ実装のハードニング
    • 機密画面でのFLAG_SECUREを徹底し、オーバーレイ検知時（canDrawOverlays=true）に重要操作を抑止または追加検証を要求します。アクセシビリティ使用中の正当なユーザーへの配慮として、アクセシビリティが必要な操作でも代替経路（コールセンター連絡や店舗での大口承認）を提示します。

• インシデント対応（共通）

  • 兆候検知時は、端末のオフライン化→モバイルEDR隔離→銀行アカウント凍結→ID基盤のトークン失効（メール/コラボ/CRM）→端末の初期化・再プロビジョニング、までを標準手順化します。モバイルは“端末リフレッシュが早い”利点を活かし、迷ったら初期化で再現性のある安全状態に戻すのが現実的です。

——編集後記として。Miraxが教えるのは「悪意あるコードを正規アプリの影に隠す」現実です。だからこそ、私たち守る側は“アプリの外”——端末の姿勢と、取引そのものの妥当性を同時に見て、初めて輪郭が見えてきます。技術の分厚い壁を積むだけでなく、運用で磨く“気づき”を組み合わせること。現場で明日から効くのは、往々にしてそこです。

参考情報

• 報道: Mirax Android malware spreading via fake streaming apps（概要・被害・機能）
  https://gbhackers.com/mirax-android-malware/
• MITRE ATT&CK for Mobile（戦術・技術の全体像）
  https://attack.mitre.org/matrices/mobile/
• Android 13: Security and privacy（Restricted settings 等の強化）
  https://developer.android.com/about/versions/13/features#security-privacy
• Google Play 開発者ポリシー：アクセシビリティサービスの利用制限
  https://support.google.com/googleplay/android-developer/answer/6373891
• Play Integrity API（端末・アプリの健全性シグナル）
  https://developer.android.com/google/play/integrity
• Android API: FLAG_SECURE（画面キャプチャ抑止）
  https://developer.android.com/reference/android/view/WindowManager.LayoutParams#FLAG_SECURE
• Android API: Settings.canDrawOverlays（オーバーレイ権限検出）
  https://developer.android.com/reference/android/provider/Settings#canDrawOverlays(android.content.Context)
• NIST SP 800-63B Digital Identity Guidelines: Authentication and Lifecycle Management（SMSの制約等）
  https://pages.nist.gov/800-63-3/sp800-63b.html

注記

• Mirax固有の挙動・被害規模・地域・時期に関する定量は、上掲の報道に基づく記述です。個別の機能差分やIOCは、金融ISACやベンダーからのアドバイザリ更新に追随して評価を更新するのがよいです。