物流企業を標的に新着SMS窃取や通話転送を行うAndroidスパイウェア「Corp MDM」が確認される

要点

• 物流企業のブランドを偽装した偽のGoogle Playサイトを通じ、Android端末を標的とするスパイウェア「Corp MDM」が配布されていることが判明した。

• 感染した端末では、権限付与後に新たに受信したSMSの平文送信や無条件通話転送が実行され、ワンタイムパスワードなどの重要情報が盗まれる恐れがある。

• 管理パネルとマルウェア本体の機能に一部不整合があり、攻撃者が開発過程で人工知能（AI）を活用した可能性が指摘されている。

• 当該インフラはWindows向けマルウェアやフィッシング攻撃にも併用されており、背後にはロシアやアルメニアに関連する攻撃者がいるとみられている。

• 物流業界を標的とした新たなサイバー攻撃キャンペーンにおいて、Android端末向けの監視スパイウェア「Corp MDM」が配布されていることが明らかになった。セキュリティ調査組織「Have I Been Squatted」の分析結果を、海外セキュリティメディア「The Hacker News」が2026年9月24日付で報じている。正規の物流サービスを装った不正アプリを通じて端末に侵入し、着信したSMSメッセージの傍受や通話の無断転送を行う手口が確認されている。

物流大手を偽装したWebサイトと配布の手口

調査によると、攻撃者はCEVA LogisticsやTKW Logisticsといった実在する物流企業のブランドを悪用し、Google Playストアに似せた偽の配布サイト（playgoogle.logisticstkwcargo[.]com や playgoogle.ceva-app[.]help など）を設置していた。訪問者に対してシステムサービスを装ったAndroid用パッケージファイル（APKファイル、パッケージ名「com.corp.mdm」）をダウンロードさせ、公式ストア外から手動でインストール（サイドロード）するよう誘導する手口が用いられている。

端末に導入されると、アプリはSMSの送受信、通話（テレフォニー）、および通知へのアクセス権限を要求する。権限が付与されると、アプリは通常のランチャーアイコンを画面から非表示にし、フォアグラウンドサービス（ユーザーの操作中以外でもOSから強制終了されにくい仕組み）を隠蔽した状態でバックグラウンド実行を維持する。

新着SMSの傍受と平文通信による情報送出

Corp MDMは、商用のスパイウェアで一般的に見られるような多機能性は持たず、機能を絞り込んだ設計になっているという。特徴的な点として、過去に受信したSMSの履歴を遡って取得する機能は備えておらず、権限取得後に「新たに届いたSMS」のみを監視して外部へ送信する仕組みとなっている。

調査を行ったセキュリティ研究者のBen Folland氏は、収集範囲が限定的であっても重大な被害につながると指摘している。SMSは現在でもワンタイムパスワードや二要素認証コード、パスワード再設定、アカウント復旧、取引通知、配送や配車に関する連絡などに広く使われているためである。また、取得されたSMSの送信者情報、本文、受信日時のタイムスタンプは、暗号化されていない平文のHTTP通信によって攻撃者のサーバーへ送信される仕様となっている。

マルウェアは感染後、特定のIPアドレス（69.55.61[.]82）を持つC2サーバー（指令サーバー）に対して端末識別子を登録（/api/v1/devices/register）する。その後、30秒間隔で稼働確認のハートビート（/api/v1/devices/heartbeat）を送信し、1秒ごとに新たな実行コマンド（/api/v1/devices/{ANDROID_ID}/commands）を問い合わせるポーリング処理を繰り返す。

管理パネルの機能とAIによる開発の痕跡

攻撃者が管理に使用するインフラ上には、ポート3456でパスワード保護されたCorp MDMの管理パネルが設置されていることが確認された。この管理画面から感染端末に対して以下のようなコマンドを送信できる設計になっている。

• ping: 応答確認を行い、コマンド結果のエンドポイント経由で「pong」を返す
• forward_on: オペレーターが指定した電話番号への無条件通話転送コードを発行する
• forward_off: 「##21#」コードを用いて無条件通話転送の解除を要求する
• sync_sms: 実際のデータ収集を行わずに同期プロセスの開始のみを通知する
• self_destroy: スパイウェアの構成要素を無効化し、サービスを停止してアプリデータの消去を要求する

なお、管理パネル側には位置情報の取得（get_location）や端末のロック（lock_device）といったメニュー項目も存在するが、配布されているマルウェア本体側にはそれらの機能が実装されていない。こうした機能の不整合や動作を妨げる不具合（バグ）の存在から、攻撃者がマルウェアの開発段階でAIツールを活用していた可能性が推測されている。

攻撃者の背景と物流業界を狙う脅威の動向

攻撃者の特定については、管理パネルのユーザーインターフェースや関連するソースコード内に見られる地域固有の言語的特徴から、アルメニアまたはロシアに関連する脅威アクターが関与している可能性が高いと報告されている。

さらに、今回のC2サーバーとして使用されているIPアドレスは、物流企業を狙った認証情報フィッシングページのホスティングや、Windows向けマルウェアの配信にも共用されていることが判明している。これにより、今回のAndroidスパイウェアは単独の攻撃ではなく、物流セクター全体を標的としたより広範なサイバー攻撃の一環であると分析されている。

物流・貨物業界を標的とするサイバー攻撃は近年相次いで報告されている。2025年11月には、セキュリティ企業Proofpointがトラック輸送および物流企業を狙い、金銭的利益や貨物窃盗を目的として遠隔監視・管理（RMM）ソフトウェアを感染させるキャンペーンを公表した。また2026年2月には、Ctrl-Alt-IntelとHave I Been Squattedが、欧米の貨物・物流関連企業（DAT Truckstop、TIMOCOM、Teleroute、Penske Logistics、Girteka、Electronic Funds Sourceなど）を標的とする脅威グループ「Diesel Vortex」の実態を明らかにしている。加えて、ロシア・アルメニア系の攻撃者が関与するフィッシング基盤「Global Profit」（別名MC Profit Always）により、2025年9月から2026年2月にかけて1600件以上の認証情報が窃取された事例も確認されている。