Android vs iPhone、セキュリティが高いのはどっち?CVE・ゼロデイ・エクスプロイト価格・パッチ速度を数字で比較(2026年)

ゼロクリックで動くiPhone向けエクスプロイトに、ブローカーは今、最大700万ドルを支払っています。同じものがAndroid向けなら最大500万ドル。これで決着、iPhoneのほうが安全?いいえ、そう急がないでください。2019年はまったく逆でした。ZerodiumはAndroidに250万ドル、iOSに200万ドルを払っていて、同社のトップは、市場がとにかくiPhone向けエクスプロイトであふれているからだと説明していたのです。💥

「ミハウ、iPhoneとAndroid、どっちが安全なの?」 – この質問は定期的に受けます。友人から、クライアントから、ちょうど社用スマホを一斉に入れ替えようとしている経営者から。そして私の答えはいつも同じです。何を測るか次第です、と。この議論では誰もが意見を持っていますが、数字を持っている人はほとんどいないからです。

そこで私は、自分がいちばん好きなことをやりました。硬いデータを一か所に集めたのです。脆弱性(CVE)の件数、実際の攻撃で使われたゼロデイ、パッチの速さ、闇市場でのエクスプロイト価格、ハッキングコンテストの結果、マルウェアとフィッシングの統計、バグバウンティプログラム。さらに、両OSの防御の仕組みと、実際の攻撃がそれをどう回避してきたかも簡単に紹介します – 障がいのある人のために作られた機能が、なぜ今Androidを狙う犯罪者のお気に入りの道具になっているのか、という話も含めて。すべての数字に出典と日付を付けています(リストは最後に)。そして締めくくりに、結論と、本体のロゴに関係なく誰もがやるべき7つのことをお伝えします。

目次

1. 比較の前に:リンゴ1個とリンゴの袋
2. AndroidとiOS、CVEはそれぞれ何件?
3. 実際の攻撃で使われたゼロデイ:2025年はモバイル向けが15件
4. 脆弱性はどれくらい速く修正される?Apple vs Google
5. 侵入の値段 – 闇市場の価格表とPwn2Own
6. セキュリティチームの規模は?バグバウンティとアプリストアの防御
7. マルウェアとフィッシング:実際にお金が消える場所
8. Pegasus、Graphiteとその仲間たち:誰が標的なのか
9. 城壁と裏口:攻撃は防御をどう回避するのか(そしてなぜユーザー補助機能が危険なのか)
10. 結論:採点表
11. OSに関係なくやるべき7つのこと
12. FAQ

比較の前に:リンゴ1個とリンゴの袋

最初に正直な注意点を一つ。これがないと、比較全体がフェアではなくなるからです。iPhoneは、メーカーが一つ、OSが一つ、ストアが一つ。一方「Android」は、GoogleのPixel、独自のカスタムUIと独自のセキュリティ情報(bulletin)を持つSamsung、Xiaomi、Motorola、そして最後に、発売日に受け取ったアップデートが最後だったスーパーの1万5,000円くらいのスマホまで含みます。つまり私たちは、リンゴ1個と、鮮度のバラバラなリンゴがぎっしり詰まった袋を比べているわけです。

規模も対称ではありません。世界ではAndroidが市場の69%、iOSが31%(StatCounter、2026年9月)。ポーランドではもう少し拮抗していて、Android 64%、iOS 36%です。シェアが大きいほど、大量型の犯罪を引き寄せる磁石も大きくなります – 犯罪者は、潜在的な被害者が最も多い場所でバンキング型トロイの木馬を書くのです。

そしてサポート期間。これが、パッチがそもそもあなたの手元に届くかどうかを決めます:

• Pixel 8以降: OSとセキュリティのアップデートが7年(Pixel 6/7は5年)。
• Samsung Galaxy S24/S25: 7年。
• 安価なAndroid: メーカーや機種次第ですが、たいていフラッグシップよりはっきり短めです。購入前に、メーカーのサイトで公表されているアップデート期間を確認してください。
• iPhone: Appleは何年とは約束していません。ただ、2026年9月14日にリリースされたiOS 27は、2019年のiPhone 11でもまだ動きます – つまり実質的に約7年です。

教訓その1: 「AndroidかiPhoneか」という問いは、そもそも立て方が間違っています。正しい問いは「どのAndroidか?」です。7年サポートのPixelと2年サポートのノーブランド機は、どちらもAndroidと呼ばれていても、まったくの別世界です。

AndroidとiOS、CVEはそれぞれ何件?

非エンジニアの方向けに:CVEとは公開されている脆弱性のカタログです – 公表された穴の一つひとつに番号が付き、誰もが同じバグについて話せるようになっています。詳しくは数字で見るサイバー脅威2026の記事で書きました。

ZimperiumはGlobal Mobile Threat Report 2025で次のように集計しています。2024年、AndroidのCVEは501件、iOSは317件。さらに興味深いのがゼロデイ、つまりパッチが出る前に攻撃で悪用された穴の数です。Androidは2022年/2023年/2024年で41件/97件/12件、iOSはそれぞれ5件/20件/5件でした。

最初の反応は「Androidのほうが穴が多い」。でも二つ目の反応、ペンテスター的な反応はこうです。CVEの件数は、システムがどれだけ安全かよりも、誰がどう数えているか、どれだけ多くの人が探しているかを物語っている。なぜでしょうか?

• AndroidのCVEには、モデムやQualcomm、MediaTekのチップといったサードパーティのコンポーネントも含まれます。Googleは自社のbulletinで他社のバグを修正しているのです。Appleは自社でチップを設計し、数え方も違います。
• Androidはオープンソースです – 誰でもコードを覗いてバグを報告できます。クローズドなiOSでは穴探しが難しく、そのため一部の穴はそもそも番号をもらえません。
• 2025年からGoogleはbulletinのリズムを変えました(これについてはすぐ後で)。そのため、Android単体の前年比較ですら単純ではなくなっています。規模感としては、2025年上半期のAndroid Security Bulletinで修正された脆弱性は約270件、2025年12月のbulletinだけで107件。AppleはiOS 26.0で27件のCVEを修正しました(SecurityWeekによる。Apple自身のリストには項目がもっと多く載っています。一つの穴が複数のコンポーネントにまたがることがあるためです)。

生の件数よりずっと興味深いのは、バグの質です。Googleは長年、Androidの脆弱性に占めるメモリ安全性バグ(大半のエクスプロイトの元になる種類の穴です)の割合を公表しています。2019年は76%、2024年は24%、そして2025年は20%未満。これはRustのおかげです – Androidにはすでにこの言語で書かれたコードが約500万行あり、GoogleによればRustのコードはC/C++と比べて100万行あたりのメモリバグが約1,000分の1です。Appleは2025年9月、iPhone 17でMemory Integrity Enforcement(MIE)を打ち出して応えました。常時有効のハードウェアによるメモリタギングで、Appleいわく「コンシューマー向けOS史上、最も重要なメモリ安全性のアップグレード」です。GoogleはハードウェアMTEを2023年のPixel 8ですでに搭載していましたが、あくまでオプションでした。Appleはこれを全員に、デフォルトで有効にしたのです。✔️

教訓その2: CVEの件数でスマホを選ばないでください。選ぶ基準は、メーカーがバグの種類そのものを根絶するために投資しているかどうかです – そしてこの点で、両巨人はこの2年間に、それまでの10年間以上のことをやってのけました。

実際の攻撃で使われたゼロデイ:2025年はモバイル向けが15件

最も硬い指標は「穴がいくつ見つかったか」ではなく、「パッチが出る前に、人に対して使われた穴がいくつあったか」です。Google Threat Intelligence Groupが毎年これを数えています:

• 2025年: 攻撃で悪用されたゼロデイは90件(2024年は78件、2023年は100件)。そのうち15件がモバイルプラットフォーム(2024年は9件、2023年は17件)。
• 企業別(スマホに限らず全製品):Microsoftが25件、Googleが11件、Appleが8件。
• 複数のゼロデイを組み合わせたチェーンは、ほぼ例外なく(約90%)スマホを狙っています。2025年は、3つ以上のバグからなるチェーンが前年より増えました – 一つの穴だけでは、もう防御を突破できないからです。
• Googleがプラットフォーム別に示した唯一の数字は、2024年に7件のゼロデイがAndroidに関するもので、うち3件がサードパーティのコンポーネントだった、というものです。iOSについては、Googleはそうした数字を公表していません。
• 測定史上初めて、国家のスパイ集団よりも商用スパイウェア業者に帰属するゼロデイのほうが多くなりました。
• iOSの最新事例: 2026年9月28日、AppleはiOS 26.7.1をリリースし、CoreGraphicsの穴(CVE-2026-86950)を修正しました。Appleによれば、この穴はiOS 27より前のバージョンで、特定の人物を狙った「極めて高度な攻撃」に悪用された可能性があるとのこと。対照的に、Androidの10月のbulletin(CVE 25件)には、悪用されていると明記された穴は一つもありません。1か月だけでは何も証明できません – でも「iPhoneにはゼロデイがない」が神話だということはよくわかります。

同じレポートの推奨は一文で言えるので、繰り返しておきます。AndroidではAdvanced Protection(Android 16以降)を、iPhoneではLockdown Mode(ロックダウンモード)を有効にしてください。「高リスクの人向け」のモードですが、経営者や弁護士、ジャーナリストにとっては、今やごく妥当な設定です。

教訓その3: ゼロデイの世界では、どちらのOSも標的であり、違いはネットで言われているほど大きくありません。重要なのはバグそのものより、それを組み合わせて実際に動く攻撃を作るのにいくらかかるかです – これについてはこの後すぐに。

脆弱性はどれくらい速く修正される?Apple vs Google

最も信頼できる独立した測定を持っているのは、Google Project Zeroです – (Google自身を含む)すべてのメーカーにバグを報告し、パッチまでに何日かかったかを公開で集計しているチームです。期限は90日です。

2019〜2021年の平均はiOS 70日、Pixel 72日、Samsung 72日。つまり引き分けです。2025年の表(2026年3月時点)にはAppleへの報告が1件もないため比較できません。Pixel 10は73日、98日、98日(うち2回は期限超過)、Samsungは画像コーデックの修正に平均49日かかりました。同じ集計からの豆知識をもう一つ:ブラウザです。Chromeは報告からユーザーへの修正配布まで30日、WebKit(Safariのエンジン)は73日でした。Appleは修正自体は速いのですが、リリースは自社のリズムで行うのです。

ただし、「メーカーがパッチを出した」は「あなたのスマホにパッチが当たった」と同じではありません。本当の違いはここから始まります:

Androidはリズムを変えました。10年にわたり、Googleは毎月パッチ入りのbulletinを出してきました。2025年7月、史上初めて空っぽのbulletinが登場し、2025年9月からは「リスクベース」の方式になりました。毎月出すのは、実際に悪用されている穴や既知のチェーンの一部になっている穴だけで、残りは四半期ごとの大型リリースにまとめられます。パートナー企業は数か月前にコードを受け取り、2026年からはAOSPのソースコード公開が年2回になりました。SamsungやPixelのユーザーにとっては、実質的に影響はありません。一方、代替OS(例えばGrapheneOS)の開発者にとっては問題です – パッチが届くのが遅くなるからです。

Appleは逆の方向に進みました。2026年3月、初のBackground Security Improvementsをリリースしました。小さなパッチ(このときはWebKitの穴、CVE-2026-20643)を、OSのフルアップデートも再起動もなしに、バックグラウンドでインストールする仕組みです。リリースから適用までの時間差が最小限に縮まります。

そして最終的な結果、つまり実際にどれだけのスマホが最新OSを使っているかです。日付に注意してください。これはメーカーが公表した最新の測定値です。その後iOS 27(2026年9月)とAndroid 17がすでにリリースされていますが、AppleもGoogleも新しい数字は出していません。

• iOS 26: 全iPhoneの79%、過去4年のモデルでは86%(Apple、2026年6月、リリースから9か月後)。
• Android 16: Googleの2025年12月のサンプルで端末の7.5%(リリースから6か月後)。StatCounterが2026年9月に測定したWebトラフィックでは38%。方法は違いますが、どちらもAppleには遠く及びません。
• Zimperium:1年の間にAndroid端末の61%、iOS端末の49%が、ある時点で古いOSバージョンのままでした。また、企業内の端末の約25%は、そもそも最新バージョンにアップデートできません。

教訓その4: 大元では、AppleとGoogleは同じくらいのペースで修正しています。違いはポケットに届くまでの道のりです。Appleのパッチは5台中4台のiPhoneに届きますが、Googleのパッチはメーカー、通信キャリア、カスタムUIのバージョンを経由しなければなりません。だから会社でAndroidを使っているなら、「14日以内にアップデート」というポリシーはユーザー任せにせず、MDM(社用スマホを管理するソフトウェア)で強制する必要があります。

侵入の値段 – 闇市場の価格表とPwn2Own

最も正直なセキュリティ指標は、価格です。私の意見でもマーケティングでもなく、実際に動く攻撃に誰かがいくら払う気があるか、です。エクスプロイトブローカー(政府向けにゼロデイを買い取る企業)は価格表を公開しています:

• Zerodium、2019年: Androidのゼロクリックが250万ドル、iOSが200万ドル。史上初めてAndroidのほうが高くなりました。同社トップの説明は、市場がiOS向け、主にSafariとiMessage向けのエクスプロイトであふれている一方、Googleは「じっくりと」Androidを堅牢化し、完全なゼロクリック・チェーンを組むのが難しくなった、というものでした。
• Operation Zero(ロシア)、現行の価格表: Android 250万ドル、iOS 200万ドル。2023年9月には、両OSの完全なチェーンに対して、期間限定で最大2,000万ドルを出すと発表していました。2025年には、L3Harris Trenchantの元部門責任者だったアメリカ人が同社へのエクスプロイト販売を認め、約7年の刑を受けました。
• Crowdfense(UAE)、2024年: iOSのゼロクリックが500万〜700万ドル、Androidが最大500万ドル、Chromeが最大300万ドル、Safariが最大350万ドル。この価格表は今も変わっていません。同社のコメントは「メーカーが導入している防御は効いている」 – かつては1人で書けたエクスプロイトが、今ではチームを必要とする、というわけです。

つまり2019年はAndroidが高く、2024年はiOSが高い。結論は?どちらのOSも今や非常に手ごわい標的で、動くチェーンにはワルシャワの家10軒分もの値段が付く、ということです。あなたの旅行写真を盗むためにそんな金額を払う人はいません – これは政治や諜報目的のお金です。

もう一つの中立的な測定がPwn2Ownです – 世界トップクラスのチームが、主催者(Zero Day Initiative)の賞金をかけて、その場でデバイスを攻略するコンテストです:

• アイルランド2024: Galaxy S24が攻略されました(5つのバグのチェーン、賞金5万ドル)。Pixel 8とiPhone 15にはそれぞれ25万ドルがかかっていましたが、挑戦の申し込みすらありませんでした。
• アイルランド2025: Galaxy S25が2回攻略(各5万ドル)。Pixel 9とiPhone 16にはそれぞれ30万ドルが用意されていましたが、申し込みはゼロ。
• アイルランド2026: ここで転機が訪れます。最終日にPixel 10が3回陥落し、そのうち一つのチェーンでIkotas Labsが30万ドル – コンテスト全体で最高額の賞金 – を獲得しました。Galaxy S26は7回攻略されましたが、その大半は「コリジョン」(メーカーがすでに把握していたバグなので賞金は少なめ)でした。iPhone 17(こちらも30万ドル)には3年連続で誰も申し込みませんでした。コンテスト全体では、ゼロデイ98件、賞金総額126万ドル。

なぜ3年間、30万ドルでiPhoneに挑む人がいないのでしょうか?動くチェーンには、ブローカーのところで約20倍の値が付くからです – コンテストに出すのは割に合わないのです。だからこそ今年のPixelは興味深い。3つのチームが、それを披露する価値があると判断したのですから。具体的に何が破られたのかは、まだわかりません – ZDIはバグの詳細を、メーカーが修正した後、90日経ってから公開します。独自のカスタムUIと独自アプリを持つSamsungは、単純に探せるコードが多い – だから毎年陥落するのです。😈

教訓その5: iPhoneとPixelは今も「ハードターゲット」 – 実際の攻撃で手が届くのは主に国家だけ、という標的です。ただ今年のPixelは、手ごわい標的は無敵の標的ではないことを思い出させてくれました。攻撃の難しさは定数ではなく、メーカーが毎年あらためて勝ち続けなければならない競争なのです。その他のAndroidは、メーカー独自のコードの量と修正スピードに応じて、もっと下に位置します。リスクにさらされやすい人(経営陣、財務、弁護士)のための端末を選ぶなら、この基準は月額料金よりも重視すべきです。

セキュリティチームの規模は?バグバウンティとアプリストアの防御

ここには二つの数字を入れたいと思っていました。Appleにセキュリティエンジニアが何人いて、Googleには何人いるのか。でも無理でした – どちらの企業もチームの人数を公表していないのです(Apple SEAR、Android Security、Project Zero)。ネットで見かける数字はどれも推測です。ただ、良い代替指標はあります。両社が外部の人に穴探しの報酬としていくら払っているか、そしてストアの入口でどれだけのゴミを止めているか、です。

バグバウンティ、つまり穴にいくら払うのか

• Apple: 2025年11月から、ゼロクリック・チェーンの最高報酬は200万ドル(以前は100万ドル)、ボーナス(Lockdown Modeの回避、ベータ版のバグなど)込みで「500万ドル超」。2020年のプログラム開始以来、Appleは800人以上の研究者に3,500万ドル以上を支払ってきました。Security Research Device(研究者向けの特別なiPhone)のプログラムでは、2024年の支払額の中央値が約1万8,000ドルで、50万ドルが支払われたケースも数回ありました。2026年には、スパイウェアのリスクにさらされている市民団体に、iPhone 17を1,000台配布もしています。
• Google: 2025年、全VRPプログラムで747人の研究者に1,710万ドルを支払いました(2010年からの累計は8,100万ドル超)。そのうちAndroidとGoogleデバイスは290万ドル(前年は330万ドル。Chromeは370万ドル)。2026年5月からは、Titan M2チップの突破と永続化を伴うPixelの完全なゼロクリック・チェーンに100万〜150万ドルの価値が付きました。Googleははっきりこう説明しています。AIのせいで長いレポートがプログラムに殺到しているので、報酬はAIにとって最も見つけにくいバグに振り向ける、と。
• Samsung: Knox Vaultでのリモートコード実行に最大100万ドル。2017年以来の支払総額は400万ドル超。
• さらにGoogleはProject Zeroを維持しています – AppleやSamsungの穴も探し、全員を90日ルールで公開の場で評価するチームです。Appleには公の同等組織はありません。

ストアの入口、つまりスマホに届かないゴミの量

• App Store、2025年: アプリの審査申請910万件のうち、200万件以上が却下。開発者アカウント19万3,000件を停止、不正取引22億ドルをブロック、海賊版ストア上の2万8,000本のアプリをブロック。
• Google Play、2025年: ポリシー違反の175万本のアプリを公開前に阻止、8万件のアカウントを停止、Play Protectが1日3,500億本のアプリをスキャンし、ストアの外で2,700万本の新たな悪意あるアプリを検出。

これらの数字は測っているものが違います(Appleはドルを、Googleはアプリを数えています)が、規模感はわかります。両巨人とも、ポーランドのどの銀行やECサイトも夢にすら見ないレベルの「ふるい分け工場」を運営しているのです。😈

教訓その6: チームの規模は公開されていませんが、お金は公開されています。Appleは一つのエクスプロイトに多く払い、Googleは総額で多く、より幅広く払っています。どちらも同じことを語っています。スマホのセキュリティは、今や年間数億ドル規模のコストがかかるものだということです。下請けが半年で作ったあなたのモバイルアプリには、その規模はありません – だからこそ、私が案件で穴を見つけるのは、たいていOSではなくアプリのほうなのです。

マルウェアとフィッシング:実際にお金が消える場所

ゼロデイや数百万ドルのエクスプロイトは、諜報機関の世界の話です。普通の人や企業のお金が消えるのは別の場所 – 悪意あるアプリとフィッシングです。そしてここでの構図ははっきりしています。ただし、カテゴリーごとに逆向きなのです。

マルウェア:Android

• Kaspersky、2025年: スマホ上でブロックしたマルウェア、アドウェア、迷惑ソフトウェアの攻撃は1,400万件(月約120万件)、新たな悪意あるインストールパッケージは81万5,000件、新たなバンキング型トロイの木馬は25万5,000件 – 前年比で数倍の増加です。ほぼすべてがAndroidです。
• Lookout、2025年第3四半期: 社用端末でのマルウェア検出は「圧倒的多数」がAndroid。四半期の間に、社用スマホ上で7万1,000本の悪意あるアプリが見つかりました。
• ESET、2025年下半期: NFCを使った攻撃(被害者のスマホが、ATMの前に立つ犯罪者に決済カードを「渡して」しまう手口)が87%増加。
• ポーランド: CERT Polskaは2025〜2026年に、ポーランドの銀行の顧客を狙った一連のキャンペーンを報告しています。NGate(SGB、Santander、PKO、INGになりすまし、NFC経由で盗む)、FvncBot(SGB、Alior、Paribas。「Playコンポーネント」を装う)、Cifrat(Bookingを装うインフラ)。共通点は、すべてがAndroidに手動でインストールされるAPKファイルで、被害者が「提供元不明のアプリのインストールを許可」の画面を通過した後に入り込む、ということです。
• Googleの推定では、ストア外からインストールされたアプリは、Playのアプリより50倍以上多くのマルウェアを含んでいます。そのため2026年9月30日から(ブラジル、インドネシア、シンガポール、タイ)、そして2027年からは全世界で、Androidはストア外であってもすべての開発者に本人確認を求めます。Zimperiumによれば、企業ではAndroidスマホの4台に1台にストア外のアプリがインストールされています。

念のため:iOSもクリーンではありません。2025年2月、KasperskyはSparkCatを報告しました – App Storeで初めて確認されたマルウェアで、スクリーンショットを読み取って暗号資産ウォレットのリカバリーフレーズを探すものです。さらにEUでは2024年からiPhoneでも代替ストアが認められています(TechCrunchによれば稼働中は6つ)。ただし、どのアプリも引き続きAppleの自動および人による「公証(ノータリゼーション)」を通ります。今のところ、これらのストア絡みで大きな事件は見かけていません。

フィッシング:iPhone

• Lookout、2025年第3四半期: フィッシングの試みが記録されたのはiOS端末の16%、Android端末の7.8%。2024年通年では26%対12%でした。Lookoutは正直にこう付け加えています。企業では経営陣や財務部門がiPhoneを支給されるので、単純により価値の高い標的なのだ、と。
• Zimperium、2026年: 社用スマホへのフィッシングは2025年1月から380%増加し、スパイウェアは10台に1台近くで検出されました(前年比4倍)。
• Googleは、ある調査(YouGov、米国・インド・ブラジルの5,000人)を誇らしげに紹介しています。それによると、AndroidユーザーはiPhoneユーザーより、1週間に詐欺SMSを1通も受け取らなかった割合が58%高いとのこと。調査を発注したのはGoogleなので、私は広告として受け止めています – ただ、AIによるSMSと通話のフィルタリングが、今のところAndroid側のほうが強力なのは事実です。⚠️

教訓その7: Androidはマルウェアで負け、iPhoneはフィッシングで負けています。前者はポリシーで対処できます(MDMで強制する「ストア外アプリはゼロ」)。後者はスマホでは対処できません – フィッシングはシステムではなく人間を攻撃するからです。CFOのiPhoneでも、「請求書」へのリンクはどこで見るのと同じくらいもっともらしく見えます。

Pegasus、Graphiteとその仲間たち:誰が標的なのか

商用スパイウェアは別リーグです:Pegasus(NSO)、Predator(Intellexa)、Graphite(Paragon)。覚えておく価値のある事実が一つあります。どれも両方のOS向けのバージョンを持っているということです。2025年、Citizen Labは2人のジャーナリストのiPhoneでGraphiteを確認し(iMessage経由のゼロクリック、CVE-2025-43200、iOS 18.2.1)、同時に2人のイタリア人活動家のAndroidでも確認しました(WhatsApp経由のゼロクリック)。同じ顧客、両方のプラットフォームです。

• Appleはスパイウェア攻撃の通知を150か国以上で送っています。2026年8月の通知の波だけで、110か国のユーザーに届きました。受信者の人数はAppleは公表していません。
• Lockdown Mode: 2026年3月、AppleはLockdown Modeを有効にしたiPhoneへの商用スパイウェア攻撃が成功した例を一つも把握していないと表明しました。独立した検証はされていませんが、Googleの研究者は、Lockdown Modeを検知すると自ら停止するスパイウェアを確認しています。
• Android: 同様のAdvanced ProtectionモードはAndroid 16(2025年)で登場しました。反対側の例としては、スパイウェアLANDFALLが、Samsungの画像処理の穴(CVE-2025-21042)を、パッチが出るまで約9か月にわたって悪用していました。
• 捜査用ツール:2024年のCellebriteの流出資料によると、iOS 17.4以降のiPhoneは「調査中」(ロック解除不可)で、2025年10月の流出資料によると、GrapheneOSを入れたPixel 9はまったく読み出せません – 普通のPixelは読み出せます。つまり、押収されたスマホから何を引き出せるかは、ロゴよりもOSのバージョンと設定に左右されるのです。

教訓その8: 誰かが数百万ドルを使ってまさにあなたに侵入しようとするなら、OSはあなたを救ってくれません。救ってくれるのは設定です – Lockdown Mode / Advanced Protection、リリース当日のアップデート、1日1回の再起動(モバイルスパイウェアの大半は再起動を生き延びられません)、そして「リンクをクリックしない」だけではもう足りないという認識。ゼロクリックはクリックを必要としないのですから。

城壁と裏口:防御の仕組みと、攻撃がそれを回避する方法

書類の上では、両OSの守り方は似ています。各アプリはそれぞれ別の「部屋」(サンドボックス)に入っていて、他のアプリが何をしているかは見えません。コードには署名が必要です。スマホは起動時に、誰もシステムを書き換えていないかをチェックします。メモリはプロセッサのハードウェア機構が守っています。良いニュース:こうした城壁を正面から突破する人は、実質的にいません。悪いニュース:突破する必要がないのです。攻撃者は裏口を探します – そしてOSごとに裏口は違います。

iPhone:数百万ドルの技術的な裏口

• BlastDoor対、中身がPDFだった「GIF」。 iOS 14で、AppleはiMessageのメッセージ処理をBlastDoorという特別なサンドボックスに閉じ込めました。2021年、NSO(Pegasusの開発元)は被害者に、拡張子が.gifなのに中身はPDFというファイルを送りつけました。iMessageはGIFをBlastDoorの外で動くプロセスに渡し、画像ライブラリは本当の形式を見抜いて、穴のあるデコーダー(CVE-2021-30860)を起動してしまいました。エクスプロイトはこのデコーダーの中で、7万を超える単純な演算から独自の仮想コンピューターを組み上げたのです。Google Project Zeroは、これを技術的に最も洗練されたエクスプロイトの一つだと評しました。さらにその先のサンドボックス脱出はロジックのバグだけに頼っていたため、Project Zeroが認めたとおり、ハードウェアのメモリ保護はまったく効果がありませんでした。城壁は良くできていた。ただ、すべてがそこを通っていたわけではなかったのです。AppleはiOS 14.8でこれを修正し、iOS 15からはGIFもBlastDoorの内側で処理しています。
• Operation Triangulation、つまり文書化されていないハードウェア。 2023年、Kasperskyは自社社員のiPhoneが、目に見えないiMessageメッセージで感染させられていたことを発見しました。チェーンには4つのゼロデイが含まれ、ポインタ認証(PAC – プログラムの制御を乗っ取れないようにする仕組み)を回避し、さらに – ここが一番面白いところですが – カーネルメモリのハードウェア保護まで回避していました。攻撃者が使ったのは、どのドキュメントにも載っておらず、Apple自身のソフトウェアすら使っていないプロセッサのレジスタでした(CVE-2023-38606)。Kasperskyは、これを自社の専門家がこれまでに見た中で最も洗練された攻撃だと呼びました。
• 城壁が持ちこたえたとき:BLASTPASS。 2023年9月、Citizen LabはNSOの新たなゼロクリックを捕捉しました。今回はiMessage内のApple Walletの添付ファイル経由です。ここで良いニュース:Citizen LabとAppleは、Lockdown Modeがこの攻撃をブロックしていたことを揃って確認しました。このモードは、メッセージの添付ファイルの大半、ブラウザのJITコンパイル(エクスプロイトのお気に入りの入口)、知らない相手からの通話、画面ロック中のケーブル経由のデータ転送、構成プロファイルやMDMのインストールなどを無効にします。
• エクスプロイト不要の裏口:MDMプロファイル。 ゼロデイを買うお金がないなら、ただお願いすればいい。GoldPickaxe(Group-IB、2024年2月)は、最初はTestFlight(Apple公式のアプリテスト用プラットフォーム)経由で配布され、Appleに削除されると、犯罪者はベトナムとタイの被害者にMDMプロファイルをインストールするよう仕向けました – つまり、スマホの管理を見知らぬ「会社」に明け渡させたのです。このマルウェアは顔の撮影も求め、その映像から銀行の生体認証をだますディープフェイクが作られました。注目してください:Lockdown Modeがブロックするのは、まさにMDMプロファイルのインストールなのです。

Android:ユーザー補助機能という格安の裏口

Androidにも同じ城壁があります。サンドボックス、SELinux、確認付きブート、そして(2024年から)端末上でアプリの挙動をAIで分析するPlay Protect。ただしAndroidには、iPhoneがサードパーティのアプリに与えていないものもあります。ユーザー補助サービス(Accessibility Services)です。

このAPIは崇高な目的で生まれました – 目の見えない人、弱視の人、運動機能に障がいのある人のためです。スクリーンリーダーが画面の内容を読み上げ、スイッチ操作が体の動かせない人の代わりにタップできるようにするには、アプリが画面上のすべてを見て、ユーザーの代わりにタップできる必要があります。どのアプリでも。銀行アプリでも。

バンキング型トロイの木馬にとって、これは王国の鍵です。「許可」を一度押させるだけで、アプリは次のことができるようになります:

• スマホに表示されるもの – ログイン情報、残高、SMSのコード – をすべて読み取り、キー入力を一つ残らず記録する、
• 次々に出てくる画面で自ら「許可」をタップし、さらに権限を自分に与えていく、
• 本物のアプリの上に偽のログイン画面や真っ黒な画面をかぶせ、その裏で何かを進める、
• そして最後に、あなたのスマホで、あなたの本物の銀行アプリから、自分で送金してしまう。銀行から見れば、顧客の信頼済み端末からの普通の操作にしか見えません。😈

これは理論ではありません。ここ数年の例をいくつか:

• Anatsa: 公式のGoogle Playにある偽のPDFリーダーや「クリーナー」アプリ経由で、約15万〜20万件の感染(ThreatFabric、2024年2月)。ユーザー補助へのアクセスは「バッテリーを食うアプリをスリープさせるため」という口実で求めていました。2025年には、PDFリーダーを装った別のドロッパーが米国で5万回以上ダウンロードされました。
• Crocodilus(ThreatFabric、2025年3月):スマホを乗っ取り、端末が勝手に操作されている様子を被害者に見せないよう、真っ黒な画面を表示して音を消します。
• Herodotus(ThreatFabric、2025年10月):0.3〜3秒のランダムな間隔を空けて1文字ずつテキストを入力し、銀行の不正検知システムに人間が入力していると思わせます。偽画面の対象リストにはポーランドも入っています。
• FvncBot – 私たちの地元の話:「mBankセキュリティキー」になりすましていました(Intel 471、2025年12月)。CERT Polska(2026年3月)は、インストール後に「System Update」という無害そうな名前でユーザー補助サービスを登録し、ウィンドウの内容を読み取ってジェスチャーを実行する権限を得る様子を報告しています。その後は、キー入力の記録、偽画面、画面の転送、スマホの遠隔操作です。念のため:ポーランドを狙うトロイの木馬がすべて同じ手口というわけではありません – 先に紹介したNGateはNFC経由で盗むので、ユーザー補助機能は必要としません。

Googleはこれを把握していて、何年も犯罪者といたちごっこを続けています:

• Android 13(2022年): ダウンロードしたAPKファイルからインストールしたアプリは、ユーザー補助を要求できません – オプションがグレーアウトされます。
• 犯罪者の回答(2023年): ThreatFabricはSecuriDropperを報告しました – アプリストアと同じ方法で本命のマルウェアをインストールする仲介アプリです。システムは両者を区別できないので、ブロックが効きません。2025年のFvncBotもまったく同じことをしていました。
• Android 15と16: 制限が他の機密性の高い権限にも広がり、2025年12月からGoogle Playは、障がいのある人向けのツールを装いながら実際はそうでないアプリを却下しています。Play Protectもスマホ上でそれらをブロックします。
• Android 17: Advanced Protectionモードを有効にすると、本物のユーザー補助ツール(スクリーンリーダー、スイッチ操作、音声操作、点字)ではないすべてのアプリから、ユーザー補助へのアクセスが自動的に取り上げられます。落とし穴:このモードを有効にした場合に限ります。また、例えばパスワードマネージャーや自動化アプリもアクセスを失います。

iPhoneにこの問題がないのは単純な理由からです。サードパーティのアプリには、他のアプリの中身を読み取ったり、ユーザーの代わりにタップしたりできるAPIが与えられていません。VoiceOverはシステムの一部です。これが、モバイルのバンキング型トロイの木馬がほぼAndroid専用である主な理由の一つです。

30秒でできる実践チェック: 設定 → ユーザー補助を開き、アクセスが有効になっているダウンロード済み/インストール済みアプリの一覧を確認してください。意識して使っているツール(スクリーンリーダー、音声操作)以外のもの、特に「システムアップデート」「PDFリーダー」「銀行のセキュリティキー」などがあれば、スマホをインターネットから切断して銀行に電話してください。銀行アプリにこの権限は必要ありません。⚠️

教訓その9: 今や両OSとも城壁は高い。iPhoneには、風変わりなファイル形式や文書化されていないプロセッサのレジスタといった、数百万ドル級の技術的な裏口から入ります。Androidには、犯罪者はもっと頻繁に格安の人間の裏口から入ります。ユーザー補助で「許可」を一度押させるだけで、100万ドルのエクスプロイト以上のものが手に入るのです。だからAndroidでは、機種選びよりも教育とストア外インストールのブロックのほうが重要です。

結論:採点表

私の主観的な評価です – ただし、どの項目も上で紹介した数字に基づいています。ここでの「Android」は、フルサポートのPixelまたはSamsungを指します。スーパーのノーブランド機は、すべての項目で両者に負けます。

一文にまとめるなら、こうです。何も設定しない人にとっては、iPhoneのほうが「箱から出した状態」で安全。設定をきちんとする企業にとっては、MDMで適切に管理されたPixelやSamsungも少なくとも同じくらい安全。そして最悪の選択は、価格に関係なく、アップデートのサポートがないAndroidです。

OSに関係なくやるべき7つのこと

1. 自動アップデートを有効にし、確認する。 この記事の中で、プラットフォーム間に10倍の差がつく唯一のパラメーターです。会社のAndroidなら、期限付きでMDMから強制しましょう。
2. ストア外のアプリはゼロ。 マルウェアは50倍多いのです。MDMがないなら、「提供元不明のアプリ」を無効にし、Auto Blocker(Samsung)またはPlay Protectを有効にしてください。ときどき、どのアプリがユーザー補助にアクセスできるかも確認しましょう。iPhoneでは、リンクから構成プロファイルやMDMをインストールしないでください。
3. Lockdown Mode / Advanced Protectionを経営陣、財務、弁護士、人事に。はい、一部の機能は使えなくなります。それが代償です。
4. 1日1回の再起動。 ばかばかしく聞こえますが、永続化の仕組みを持たないモバイルスパイウェアの大半に効きます。
5. カメラではなく、サポート期間で選ぶ。 7年(Pixel、Galaxy S)かiPhone。アップデートのないスマホは、2年後には「エクスプロイトの価格表が無料で公開されているスマホ」になります。
6. フィッシングに強い手順を。 社長のiPhoneにも、倉庫スタッフのAndroidと同じようにリンクは届きます。取引先の口座変更、いつもと違う送金、上司からの「至急」 – 必ず別の連絡手段で、別の人が確認しましょう。
7. 自社のモバイルアプリをテストする。 あなたの会社がiOSやAndroidのアプリを出しているなら、最も弱い輪はOSではなく、そのアプリです。AppleとGoogleは自分たちの担当部分に年間数億ドルを投じています。あなたの担当部分は、数日のテストで済みます。具体的にいくらかかるか知りたければ見積もり計算ツールで計算できますし、直接話したい方はお気軽にご連絡ください。

FAQ

iPhoneはAndroidよりも安全ですか?

「箱から出した状態」なら、はい。パッチが端末に届くのが速く(iOS 26を搭載したiPhoneが79%に対し、Android 16を搭載したAndroidは7.5〜38%)、大量型のマルウェアがなく、ストアが一つで閉じているからです。ただし、7年サポートでMDMにより適切に管理されたPixelやSamsungは、企業にとって同じくらい安全です。一方、サポートのない安価なAndroidは両者に負けます。

AndroidとiOSの脆弱性(CVE)はそれぞれ何件ですか?

Zimperiumによると、2024年のCVEはAndroidが501件、iOSが317件でした。ただし、この数字は完全には比較できません。AndroidにはQualcommやMediaTekなど他社のコンポーネントも含まれ、オープンソースのAndroidはより多くの研究者に調べられているからです。

iPhoneとAndroidのエクスプロイトはいくらですか?

Crowdfense(2024年の価格表、現在も有効)は、iOSのゼロクリック・チェーンに最大500万〜700万ドル、Androidに最大500万ドルを支払います。ロシアのOperation ZeroはiOSに200万ドル、Androidに250万ドルを支払います。2019年には、ZerodiumがAndroidのほうを高く評価していました(250万ドル対200万ドル)。

AppleとGoogleは脆弱性をどれくらい速く修正しますか?

Google Project Zero(2019〜2021年)によると、報告からパッチまでの平均はiOSが70日、PixelとSamsungがそれぞれ72日でした。違いはパッチがユーザーに届くまでの過程にあります。Appleは数か月でほぼ全ユーザーをアップデートしますが、Androidのアップデートはスマホのメーカー次第です。

iPhoneはクリックなしでハッキングされることがありますか?

はい。ゼロクリック攻撃(例えば2025年にiMessage経由で使われたParagon社のGraphite、CVE-2025-43200)は両方のOSに存在します。防御策は、Lockdown Mode(iOS)とAdvanced Protection(Android 16)、そして即時のアップデートです。Appleは、Lockdown Modeを有効にしたスマホへのスパイウェア攻撃が成功した例は把握していないとしています。

Androidのユーザー補助機能はなぜ危険なのですか?

ユーザー補助サービス(Accessibility Services)は障がいのある人のために作られたため、アプリが画面上のすべてを読み取り、ユーザーの代わりにタップすることを可能にします。Anatsa、Herodotus、ポーランド人を狙うFvncBotといったバンキング型トロイの木馬は、被害者にこのアクセスを有効にさせ、パスワードを盗み、本物の銀行アプリで自ら送金を実行します。Android 13以降はストア外のアプリによるこの手口を難しくしており、Android 17ではAdvanced Protectionモードを有効にすると、ユーザー補助ツールではないアプリからこのアクセスが取り上げられます。iOSは、こうしたAPIをサードパーティのアプリに提供していません。

会社用にはどのスマホを選べばいいですか?

iPhoneか、7年サポートが保証されたAndroid(Pixel 8以降、Galaxy S24以降)です。どちらも必ずMDMで管理し、アップデートを強制し、ストア外からのインストールを禁止してください。経営陣と財務部門には、Lockdown / Advanced Protectionモードを。

まとめ

長年、この議論はスポーツの応援合戦のようでした。数字が示すのは、もっと地味で、同時にもっと面白いことです。大元では、AppleとGoogleは今や同じリーグで戦っています – 同じくらいのペースで修正し、穴に数百万ドルを払い、両社のフラッグシップは国家しか手が出せない標的になりました。違いはその先にあります。実際にパッチを受け取るスマホがどれだけあるか、ユーザーがどこからアプリをインストールするか、そして誰がスマホを手にしているか。iPhoneは設定をしない人のところで勝ちます。Androidは設定をする企業のところで勝ちます – サポートのあるスマホを買っていれば、ですが。そして、アップデートしない人はいつでも負けるのです。🔓

あなたのモバイルアプリや社用スマホが攻撃者の目からどう見えるか知りたければ – 私がどこにいるかはもうご存じですよね。

本記事で使用したデータの出典

• StatCounter – 世界とポーランドにおけるモバイルOSのシェア(2026年9月)
• Google – Pixelのアップデートポリシー(support.google.com)、Samsung / 9to5Google – Galaxy S25の7年サポート(2025年1月)、Apple – iOS 26 security content(2025年9月)
• Zimperium – Global Mobile Threat Report 2025(2025年4月)および2026年版レポートの発表(2026年7月)
• Google Security Blog – 「Eliminating memory safety vulnerabilities at the source」(2024年9月)、Google – 「Rust in Android: move fast and fix things」(2025年11月)
• Apple Security Research – 「Memory Integrity Enforcement」(2025年9月)、「A major evolution of Apple Security Bounty」(2025年10月)
• Google Threat Intelligence Group – 「2024 Zero-Day Trends」(2025年4月)および「2025 Zero-Day Review」(2026年3月)、SecurityWeek – まとめ記事(2026年3月)
• Google Project Zero – 「A walk through Project Zero metrics」(2022年2月)、Reporting Transparency 2025(2026年3月17日時点)
• Android Security Bulletin – 2025年7月および2025年12月、Android Authority – リスクベースのアップデート方式(2025年9月)、SecurityWeek(2025年7月)、BleepingComputer(2025年12月)
• Help Net Security – Apple初のBackground Security Improvements(2026年3月)、Apple / 9to5Mac – iOS 26.7.1、CVE-2026-86950(2026年9月28日)、Android Security Bulletin – 2026年10月、MacRumors – iOS 27のリリース(2026年9月)
• Apple / MacRumors – iOS 26の普及率(2026年6月)、Google / 9to5Google – Androidバージョン別の分布(2026年1月)、StatCounter – Androidのバージョン(2026年9月)
• Crowdfense – Exploit Acquisition Program、TechCrunch(2024年4月)、Operation Zero – 価格表(opzero.ru)、TechCrunch(2023年9月)、Threatpost – Zerodium(2019年9月)、CyberScoop / The Hacker News – Peter Williams事件(2025〜2026年)
• Zero Day Initiative – Pwn2Own Ireland 2024、2025、2026の結果、BleepingComputer(2026年10月9日)、Privacy Guides(2026年10月13日)、SecurityWeek(2024年10月)
• Google – VRP 2024(2025年3月)およびVRP 2025(2026年3月)、SecurityWeek – プログラム別の内訳(2026年3月)およびAndroid VRPの変更(2026年5月)、Samsung Newsroom(2024年11月)
• Apple Newsroom – App Store fraud prevention 2025(2026年5月)、Google – 「How we kept Google Play safe in 2025」(2026年2月)
• Kaspersky Securelist – 「Mobile malware evolution in 2025」(2026年3月)および2024年版(2025年3月)、Lookout – Q3 2025 Mobile Threat Landscape、Lookout / Business Wire(2025年4月、2026年1月)、ESET Threat Report H2 2025(2025年12月)
• CERT Polska – NGate(2025年11月)、FvncBot(2026年3月)、Cifrat(2026年4月)の分析
• Android Developers Blog – 開発者の本人確認(2025年8月、2026年6月)、TechCrunch – EUの代替アプリストア(2025年3月)、Apple – EUにおけるアプリ配布
• Google – 「How Android provides the most effective protection…」(2025年10月、Googleが発注した調査)
• Citizen Lab – Report 186、Paragon Graphite(2025年6月)、Apple Support – 脅威通知、The Hacker News(2026年8月)、TechCrunch – Lockdown Mode(2026年3月)、The Record / Unit 42 – LANDFALL(2025年11月)
• 404 Media / TechSpot – Cellebriteの流出資料(2024年7月、2025年10月)、Android Authority(2025年10月)
• Google Project Zero – 「A deep dive into an NSO zero-click iMessage exploit」(2021年12月)および「FORCEDENTRY: Sandbox Escape」(2022年3月)、SecurityWeek(2021年12月)
• Kaspersky – Operation Triangulation(2023年6月)、Securelist – 「The last (hardware) mystery」(2023年12月)
• Citizen Lab – BLASTPASS(2023年9月)、Apple – Lockdown Mode(Newsroom 2022年7月、Personal Safety User Guide)
• Group-IB – GoldPickaxe / GoldFactory(2024年2月)
• ThreatFabric – SecuriDropper(2023年11月)、Octo(2022年4月)、Crocodilus(2025年3月)、Anatsa(2025年7月)、Herodotus(2025年10月)、BleepingComputer – Anatsa(2024年2月)、The Hacker News – Hook v3(2025年8月)
• Google Security Blog – Android 15とPlay Protectのライブ脅威検出(2024年5月)、Android Developers Blog – ユーザー補助APIの保護(2025年12月)、The Hacker News – Android 17のAdvanced Protectionとユーザー補助機能(2026年3月、2026年10月)
• Intel 471 – FvncBot(2025年12月)、CERT Polska – FvncBotの分析(2026年3月)