Last Updated on 2026年7月28日 by oba3
スマートフォン内の画像を収集し、暗号資産ウォレットのシード句を探すマルウェアのスパークキティ（SparkKitty）が改めて注目されている。感染したアプリは写真へのアクセス権限を取得し、スクリーンショットや撮影画像を外部へ送信する。関連する攻撃では光学文字認識を使い、画像内の単語から復元用フレーズを探す仕組みも確認された。問題の中心は特定のマルウェア名ではない。紙に書くべき秘密情報をスマートフォンで撮影し、通常の写真と同じ保存領域へ置く運用が、自己保管資産の秘密鍵をアプリ権限へさらしている点にある。
何が起きたのか？
セキュリティー企業は、スパークキティがアイフォーン（iPhone）とアンドロイド（Android）の両方を標的にし、感染端末の写真や端末情報を攻撃者側へ送信すると報告している。攻撃活動は少なくとも2024年初めから続いていたと分析され、2025年6月に詳しい調査結果が公表された。
スパークキティは、暗号資産関連アプリ、メッセージ機能を持つアプリ、賭博関連サービス、動画共有アプリを装ったソフトなどへ組み込まれていた。非公式サイトだけでなく、アップル（Apple）のアップストア（App Store）やグーグル（Google）のグーグルプレイ（Google Play）でも感染アプリが確認され、一部のアンドロイド向けアプリは削除前に1万回を超えて導入されていた。
感染アプリは利用者へ写真へのアクセス許可を求め、許可後に端末内の画像や新しく保存された画像を収集する。確認された検体の一部は画像を広く外部サーバーへ送信し、攻撃者側で内容を選別できる構成だった。別の関連手法では、光学文字認識によって画像内の文字を読み取り、ウォレットの復元に使われる単語列を探す動作も報告されている。
ただし、すべてのスパークキティ検体が端末上でシード句だけを自動判定していたとは限らない。大量の写真を送信する検体と、文字認識で特定画像を選ぶ攻撃を分けて見る必要がある。共通するのは、写真フォルダーを金融情報の保管場所として狙っている点である。
なぜ重要なのか？
シード句は、暗号資産ウォレットを別の端末で復元するための12語や24語の単語列である。攻撃者がこの語句を取得すれば、元のスマートフォンやウォレットアプリを操作しなくても、別の端末で同じ秘密鍵を再現できる場合がある。
取引所口座であれば、不審なログインを検知して出金を停止したり、本人確認を通じてアカウントを回復したりできる余地がある。自己管理型ウォレットでは、正しいシード句から作られた送金をネットワーク側が盗難と判別する仕組みはない。攻撃者が先に資産を移せば、運営会社へ連絡して取引を取り消すことは通常できない。
従来の対策では、偽サイトへシード句を入力しないことや、クリップボードを監視するマルウェアへの注意が重視されてきた。画像を狙う攻撃では、利用者が文字を入力しなくても、過去に撮影した写真やスクリーンショットが残っているだけで情報が流出する。攻撃対象が入力操作から保存習慣へ広がったことが重要である。
市場構造への影響
自己保管は、交換所や銀行へ資産管理を委ねず、利用者自身が秘密鍵を管理する仕組みである。中央事業者の破綻や出金停止を避けられる一方、端末、復元情報、バックアップの安全性は利用者側の管理に依存する。
スパークキティ型の攻撃は、この責任がウォレットアプリの外側まで及ぶことを示している。ウォレット自体が安全でも、同じ端末にある別のアプリが写真へアクセスできれば、シード句を撮影した画像から資産管理権を奪われる可能性がある。
スマートフォンでは、クラウド写真同期も攻撃面を広げる。端末上の画像を削除しても、クラウドのごみ箱、別端末、共有アルバム、バックアップに複製が残る場合がある。一度撮影したシード句は、一つのファイルではなく複数サービスに分散した秘密情報となり得る。
この問題が広がれば、ウォレット事業者にはシード句を表示するだけでなく、安全な保管方法を利用者へ具体的に示す責任が強まる可能性がある。初期設定時にスクリーンショットを警告する、画面記録を制限する、クラウド保存の危険を説明するなど、利用者の保存行動まで含めた設計が求められる。
一方、画面保存を技術的に制限しても、別の端末で撮影されれば完全には防げない。安全性はアプリの機能だけで解決できず、復元情報をオンライン端末へ残さない運用と組み合わせる必要がある。
資金・規制・流動性との関係
シード句を盗まれた場合、攻撃者はウォレット内の複数資産を短時間で移動できる。最初に主要資産を別アドレスへ送り、その後に交換所、分散型取引所、ブリッジなどを経由して追跡を難しくすることも考えられる。
被害者が感染に気付いた時点で資産が残っている場合は、同じシード句を使い続けるのではなく、安全な端末で新しいウォレットを作成し、残高を新しいアドレスへ移す必要がある。アプリを削除しただけでは、すでに外部へ送られたシード句を無効化できない。
写真へのアクセス権限を後から取り消しても、過去に送信された画像は回収できない。そのため、感染が疑われる場合は、画像内に保存していたシード句や秘密鍵を漏えい済みとして扱う方が安全である。ウォレットの変更後には、接続していた分散型アプリの許可や、同じ端末に保存していたパスワード、本人確認書類も確認する必要がある。
アプリストア運営企業にとっては、審査済みアプリから写真窃取機能が見つかった点も課題になる。公式ストアから入手したことは危険を下げる材料にはなるが、無害であることを保証しない。更新後に不正機能が追加される場合や、正規開発者の環境が侵害される場合もあるため、配布時だけでなく継続的な動作監視が必要になる。
規制当局やウォレット企業が補償制度を設けても、自己管理型ウォレットから正しい署名で送られた資産を誰が補償するかは難しい問題として残る。利用者の保存方法、アプリの権限設計、ストア審査、端末の安全管理が重なるため、責任主体を一つに限定しにくい。
初心者向け補足
シード句はウォレットのログイン用パスワードとは異なる。ウォレット全体を復元できる最上位の秘密情報であり、端末を買い替えた場合にも同じ資産へアクセスするために使われる。
スマートフォンでシード句を撮影すると、写真アプリだけでなく、クラウド同期、端末バックアップ、画像編集アプリなどにも複製される可能性がある。画像を見えにくいフォルダーへ移したり、ファイル名を変更したりしても、アクセス権限を持つ不正アプリから守れるとは限らない。
安全な保管方法としては、シード句を紙や金属製の保管媒体へ記録し、インターネットへ接続する端末では撮影、入力、保存しない方法が基本となる。保管場所を分ける場合も、第三者が単独で全情報を取得できない構成にする必要がある。
Web3Timesの視点
スパークキティを一つの新型マルウェアとして扱うだけでは、自己保管の設計上の弱点を見落とす。攻撃者が利用しているのは高度なブロックチェーン攻撃ではなく、利用者が復元情報を写真として残す日常的な行動である。
自己保管では秘密鍵を交換所から取り戻せる一方、その秘密をスマートフォンの写真フォルダーへ置けば、管理権限はウォレット所有者だけのものではなくなる。写真アクセスを許可されたアプリ、クラウド運営者、端末バックアップへ接触できる攻撃者も、同じ情報へ近づけるためだ。
見るべきなのは、どの不正アプリが削除されたかだけではない。利用者がシード句を撮影していないか、過去の画像がクラウドや別端末に残っていないか、ウォレットが漏えい時に新しい鍵へ移行しやすい設計になっているかが重要になる。
スパークキティが示したのは、自己保管資産の安全性がブロックチェーンの強度だけでは決まらないという現実である。公開鍵暗号が破られなくても、復元情報を画像として保存する運用が残れば、攻撃者は端末の一般的な権限から資産管理権へ到達できる。秘密鍵管理の基準は、ウォレットの中だけでなく、写真、クラウド、アプリ権限を含む端末全体へ広げる必要がある。
