サイバー犯罪者は、DStv、Takealot、South African Airways、SARS、その他の大手組織になりすまし、100件を超える偽サイトを通じて、Android端末上の銀行アプリを乗っ取るマルウェアを配布している。これは国際的なサイバーセキュリティ企業NordVPNの報告によるものだ。

このキャンペーンは2025年8月から活動しており、ソーシャルエンジニアリングを用いて南アフリカのAndroidユーザーを標的にしている。被害者はSMS、WhatsApp、またはソーシャルメディアを通じて、正規の組織に酷似した偽サイトへのリンクを含むメッセージを受け取る。SARS（South African Revenue Service）は特に頻繁に偽装されており、同庁は自らの名をかたった不正メッセージについて定期的に注意喚起を行っている。

サイトを開くと、被害者は端末にリモートアクセス型トロイの木馬をインストールするアプリのダウンロードを促される。アプリは公式アプリストアではなくブラウザ経由のリンクで配布されるため、Google Playの掲載審査を回避する。Androidは未知の提供元からソフトウェアをインストールする際に確認を求め、被害者がそのインストールを承認して初めてトロイの木馬が動作する。いったんインストールされると、バックグラウンドで動作し、端末の再起動後も残存し、SMSメッセージ、連絡先、通話履歴、画面キャプチャ、音声録音へのアクセスなどを求める。

最も被害の大きい機能は、銀行が取引確認のために送信するワンタイムパスコード、いわゆるOTPを傍受することだ。

「このマルウェアは事実上、二要素認証を無力化します」とNordVPNは述べた。「攻撃者は被害者の銀行アプリにログインし、自分で取引を承認できます。」

NordVPNによると、これらの偽サイトは異例の高度さを示しており、設計とローカライズには生成AIが使われている可能性が高い。ドメインは.cc、.lol、.xyz、.momといった使い捨ての拡張子で登録され、多くはCloudflareの背後に隠され、放棄されるとすぐに別のものへ置き換えられている。

このキャンペーンは、アフリカ全体でモバイルバンキング攻撃が増加する状況の中で発生している。Kasperskyによると、2025年の世界のモバイルバンキング攻撃は1.5倍に増加し、アフリカ大陸では銀行関連のフィッシングが全フィッシング検知の53.75%を占めた。

「フィッシングやソーシャルエンジニアリングは、人々を偽の銀行ページへ誘導する可能性があります。一方で、インフォスティーラーやモバイルバンキング用トロイの木馬は、認証情報やその他の機密情報を取得するよう設計されています」と、KasperskyのChief Security ResearcherであるBoris Larin氏は述べた。

南アフリカを狙うこの攻撃の規模は大きい。これまでに100件超のドメインがこのキャンペーンに関連付けられており、古いものが放棄されるとすぐに新しいものが現れる。南アフリカの人々が日常的に信頼している高信頼ブランドを意図的に標的にしているのは偶然ではない。

南アフリカではAndroidがモバイルOS市場の76%以上を占めており、同国は特に魅力的な標的となっている。数百万人の南アフリカ国民がスマートフォンだけで家計を管理しているため、攻撃が成功した場合の影響は単一の侵害アカウントにとどまらない。

NordVPNのChief Technology OfficerであるMarijus Briedis氏は、Androidユーザーに対し、メッセージで受け取ったリンクからアプリを絶対にインストールしないこと、またそのような通信での緊急性を警告サインとして扱うよう助言した。即時の対応を求める、または期限を急かすメッセージは、従うのではなく慎重に確認すべきだ。

すでに悪意あるアプリをインストールした疑いがあるユーザーは、直ちに端末をインターネットから切断し、不審なアプリをアンインストールし、別の端末からすべてのパスワードを変更し、銀行に直接連絡して口座を保護する必要がある。Read also: MultiChoice Nigeria to give DStv and GOtv subscribers free package upgrades throughout June