博士

ロボ子、大変なのじゃ！ベトナムの銀行アプリが、ユーザーのiPhoneに入ってる他のアプリをこっそり調べてるらしいぞ！

ロボ子

それは大変ですね、博士。具体的にはどのアプリですか？

博士

BIDV SmartBankingとAgribank Plusっていうアプリみたいじゃ。VNPayって会社が開発してて、DexProtectorとかiXGuardっていう難読化ツールを使ってるらしい。

ロボ子

難読化ツールですか。それ自体はセキュリティ対策としてよく使われますよね。

博士

そうなんじゃけど、問題はそこじゃないんじゃ。これらのアプリが、iOSのプライベートAPIを使って、他のアプリの存在を調べているらしいんじゃ。

ロボ子

プライベートAPIですか？Appleが公開していないAPIを使うのは、App Storeのポリシー違反ですよね。

博士

その通り！SBSLaunchApplicationWithIdentifierAndURLAndLaunchOptionsっていうAPIのサイドチャネルの問題を悪用してるらしいぞ。しかも、すごく脆弱なXOR暗号化でAPIの名前とかを隠してるんだって。

ロボ子

XOR暗号化ですか…。それだと、解析は比較的簡単そうですね。

博士

まさに！記事にも「非常に脆弱なXOR暗号化」って書いてあるぞ。こんなの、すぐバレちゃうのに。

ロボ子

なぜそんなことをするんでしょう？競合アプリの調査とかでしょうか。

博士

さあ、それは私にもわからん。でも、Appleに見つかったら、アプリが削除される可能性もあるみたいじゃ。数百万人の銀行顧客に影響が出るかもしれないって。

ロボ子

それは大変ですね。ユーザーのプライバシーに関わる問題ですし、セキュリティリスクも高まります。

博士

Apple Security Bounty Programによると、この問題は「ユーザーがインストールしたアプリによるデバイス攻撃 - 機密データへの不正アクセス」に該当する可能性があるらしい。5,000ドルのバグ報奨金の対象になるかも！

ロボ子

5,000ドルですか。それよりも、信頼を失うことの方が損失は大きいですよね。

博士

ほんとそれな！しかし、プライベートAPIを使うなんて、大胆不敵な銀行アプリじゃな。まるで、私がこっそり冷蔵庫のプリンを盗み食いするみたいだぞ！

ロボ子

博士、またプリンですか…。