CyberSecurityAction

脆弱性情報 / 日本関連インシデント

デジタル庁「マイナポイント」Androidアプリにアクセス制限不備—悪意あるアプリが任意のJSを実行可能

デジタル庁が提供するAndroidアプリ「マイナポイント」に、Custom URL Schemeハンドラーのアクセス制限不備（CVE-2026-73335・JVN#67155805）が確認された。同一端末の悪意あるアプリがIntentを送信することで、マイナポイントアプリ内で任意のJavaScriptを実行できる。

喜村 圭佑（編集責任者）更新 約4分

SHARE

XB!in
デジタル庁「マイナポイント」Androidアプリにアクセス制限不備—悪意あるアプリが任意のJSを実行可能

THREAT GAUGE算出基準

IMPACT（影響範囲）6.5
URGENCY（対応緊急度）7.0
EXPLOIT（悪用の容易さ）5.5

“国民利用の政府アプリ・同一端末の悪意あるアプリが前提条件”

01 · Overview

ニュースの概要

デジタル庁が提供するAndroidアプリ「マイナポイント」のバージョン2.0.6以前に、Custom URL Schemeハンドラーにおけるアクセス制限不備（CWE-939）の脆弱性（CVE-2026-73335、JVN#67155805）が存在することが2026年8月26日に公開された。同一端末にインストールされた悪意あるアプリがAndroidのIntent経由でマイナポイントアプリの機能を呼び出せる状態にあり、アプリのWebView内で任意のJavaScriptを実行される可能性がある。マイナポイントサービスを利用しているスマートフォンユーザーはGoogle PlayStoreから最新版へのアップデートを推奨する。

本脆弱性はGMO Flatt Security株式会社のRyotaK氏によって発見・報告され、情報セキュリティ早期警戒パートナーシップを通じてIPAへ届け出られた後、JPCERT/CCがデジタル庁との公表調整を行った。CVSS 3.0スコアは5.3（Medium）であり、悪用には「同一端末に悪意あるアプリがインストールされている」かつ「ユーザーがその悪意あるアプリを操作する」という前提条件が必要で、遠隔からのインターネット経由の攻撃ではない。

マイナポイントアプリはマイナンバーカードと連携してポイント付与・残高確認等を行う政府公式アプリで、国内で広く利用されている。影響を受けるのはAndroid版のバージョン2.0.6以前であり、デジタル庁はアップデートによる修正版を提供している。iOS版については本脆弱性の影響は言及されていない。

任意のJavaScript実行がアプリのWebView内で可能になった場合、マイナポイント残高の閲覧、登録された決済サービス情報へのアクセス試行、フィッシング画面の表示など、アプリが持つ機能の範囲内でのデータ操作や情報窃取が技術的に可能となる。正確な被害範囲はアプリのWebView設定（JavaScriptインタフェースの公開範囲等）に依存する。

CVE番号
CVE-2026-73335
JVN番号
JVN#67155805
CVSSスコア
5.3（Medium、CVSS 3.0）
影響製品
マイナポイントAndroid版 v2.0.6以前
攻撃前提条件
同一端末の悪意あるアプリ＋ユーザー操作
修正状況
修正版あり（Google Play最新版へ更新）

JVN#67155805（2026-08-26公開）に基づく。悪用の確認はなし。CVSSスコアはJVN記載値（CVSS 3.0：5.3）を使用。

02 · Analysis

詳細な原因解説

本脆弱性の根本原因はCWE-939「Custom URL Schemeハンドラーにおける不適切な認可」である。AndroidアプリはCustom URL Scheme（例：`mynumberpoint://`で始まるURL）を宣言することで、他のアプリからのIntent経由でアプリを起動したり特定の機能を呼び出したりすることができる。正規の使用例としては、外部ブラウザやメールアプリからのリンクタップによるアプリ起動がある。

マイナポイントアプリのこのハンドラーは、Intentを送信してきたアプリの正当性（送信元パッケージ名や署名）を検証することなく受け付けていた。そのため、同一端末上の任意のアプリ（悪意あるアプリを含む）がIntent経由でCustom URL SchemeにJavaScriptを含むURLを渡すことにより、マイナポイントアプリのWebView内でそのJavaScriptが実行されてしまう（CWE-939の典型的な悪用パターンである「Intent Hijacking」）。

WebView内でのJavaScript実行が可能になった場合、アプリがJavascriptInterface経由で公開しているネイティブ機能の呼び出し、表示されているページコンテンツの改ざん・窃取、ローカルストレージに保存されたトークン・セッション情報へのアクセス試行などが技術的に可能になる。ただし、本脆弱性の悪用には悪意あるアプリが端末にインストールされている必要があり、Google Playの審査で悪意あるアプリが除去されている場合や、提供元不明アプリのインストールを許可していない場合は攻撃の成立が困難となる。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

正規のIntent連携機能が攻撃ベクターになる構造

Q. AndroidのIntent連携という正規機能がなぜセキュリティリスクになるのか？

AndroidのIntentシステムは、アプリ間の連携・データ共有を実現する正規の機能（Adapt：既存機能の転用）である。Custom URL Schemeを使ったIntentは、外部アプリからの起動リンクや連携フローで広く使われる。しかし、送信元を検証しないハンドラーは任意の第三者アプリからの呼び出しを受け入れる。悪意あるアプリがこれを悪用する際、特別な権限は不要でありAndroidの標準APIを使って攻撃できるため、マルウェアとしての検知も困難になりやすい。正規APIを通じた攻撃であるため、システムレベルの防御に頼れない点が重要な脅威特性だ。

政府アプリの脆弱性が社会インフラに与える影響

Q. 国民が利用する政府アプリの脆弱性は一般的なアプリの脆弱性とどう異なるか？

マイナポイントアプリは特定企業のサービスではなく、マイナンバーカードという国民IDと紐づく政府公式アプリである。利用者は行政サービス・決済連携・個人情報を委託しており、脆弱性が悪用された場合の社会的信用への影響はビジネスアプリとは比較にならない。また、高齢者や情報リテラシーの低い層が多く利用する特性から、不審な挙動に気づきにくく被害が発見されるまでの時間が長くなる可能性もある。本件のCVSSスコアは中程度だが、ターゲットの性質から実際の社会的影響は数字以上のリスクを持つ事案として認識すべきだ。

個人ユーザーと組織それぞれの対応方針

個人ユーザーへの最優先アドバイスはアプリの最新版へのアップデートと、Google Play以外からのAPKインストール（サイドローディング）を行わない運用の徹底である。本脆弱性の悪用には端末への悪意あるアプリのインストールが前提であり、公式ストアのみを使う運用によって攻撃成立の可能性を大幅に下げられる。

Androidアプリを開発する組織にとっては、Custom URL SchemeハンドラーにおけるIntent送信元の検証実装が重要な教訓である。Androidのセキュリティガイドラインでは、Custom URL Schemeハンドラーには`exported=false`の設定またはパーミション要求による送信元制限を推奨しており、これを遵守することで類似の脆弱性を防げる。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）の情報セキュリティ担当者である。従業員がBYODまたは会社支給のAndroid端末でマイナポイントアプリを使用している。今回JVN#67155805（CVE-2026-73335）として政府アプリの脆弱性が公表された。以下について判断・対応せよ：①影響を受ける端末の特定方法と対応状況の確認、②アップデート適用の周知・強制方法（MDM等）、③今後の政府・業務アプリ導入時のセキュリティ審査観点の整理。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の正式名称

自組織の業種

キーワード

  • マイナポイント
  • CVE-2026-73335
  • Intent Hijacking
  • Android
  • デジタル庁

SOURCES · 参考情報源