ESET/サイバーセキュリティ情報局

「他人の通話履歴が見られる」と課金誘導、Android詐欺アプリ「CallPhantom」の手口 とは

• 
• シェア
• ツイートする
  一覧
• 

　ESET社は、Google Play上で公開されていた、任意の電話番号の通話履歴やSMS記録確認できると謳い、ユーザーを課金へ誘導する詐欺アプリ「CallPhantom」を発見しました。その手口と対処法について解説します。

　今日、あらゆる用途のアプリが存在しますが、「特定の電話番号の通話履歴を調べる」というのは、そのあらゆる用途には含まれていません。しかし、その事実を何百万人ものAndroidユーザーが知ったのは、アプリに定期購入料金を支払った後のことでした。

　ESET社がその虚偽の主張に基づいて「CallPhantom」と命名したこれらの不正なアプリは、あらゆる電話番号の通話履歴、SMS記録、さらにはWhatsAppの通話ログへのアクセスを提供すると謳っています。この機能を利用しようとするユーザーには料金の支払いが求められますが、引き換えに提供されるのはランダムに生成されたデータだけです。

　ESET社の調査により、Google Playストア上で28個の同様の詐欺アプリが確認されました。これらの累計ダウンロード数は730万回を超えています。ESET社はApp Defense Allianceパートナーとしてこの調査結果をGoogleに報告し、本レポートで特定しているすべてのアプリがGoogle Playから削除されました。

本ブログの要点：

・新たなAndroid詐欺アプリ「CallPhantom」は、支払いを条件に、任意の電話番号の通話履歴、SMS記録、WhatsAppの通話履歴へのアクセスを提供すると虚偽の宣伝をしています

・ESET社はGoogle Play上で28個のCallPhantomアプリを特定し報告しました。これらのアプリの累計ダウンロード数は730万回を超えています

・一部のCallPhantomアプリはGoogle Playの正規の課金システムを迂回しており、被害者による返金要求を困難にしています

調査内容

　2025年11月、ESET社はGoogle Play上で公開されていた「Call History of Any Number」というアプリに関するRedditの投稿を目にしました。このアプリ（図1参照）は、ユーザーが指定した電話番号の通話履歴を取得できると謳っています。このアプリは「Indian gov.in」という開発者名で公開されていましたが、インド政府との実質的な関係は一切ありません。

　予想通り、ESET社の分析の結果、このアプリが提供する「通話履歴」データは完全に捏造されたものでした。図2に示すように、このアプリはランダムな電話番号を生成し、あらかじめコード内に埋め込まれた固定の名前、通話時刻、通話時間と一致させています。この偽のデータは、支払いが完了した後に被害者に提示されます。

　アプリの機能のデモンストレーションとして、捏造された通話履歴データのスクリーンショットがアプリの掲載情報にも含まれていました（図3参照）。

　さらなる調査の結果、Google Playストアで関連アプリが複数発見され、CallPhantomアプリは合計で28個に達しました。ESET社は2025年12月16日、これらの詐欺アプリをすべてGoogleに報告しました。本記事の公開時点で、報告したすべてのアプリがストアから削除されています。

　図4および図5に見られるように、外観上の違いはあるものの、アプリの目的は同じです。それは、偽の通信データを生成し、そのアクセス権に対して被害者に料金を要求することです。「分析したCallPhantomアプリ」セクションの表には、各アプリの名称と主な詳細情報（ダウンロード数など）が記載されています。

キャンペーンの概要

　Google Playで見つかったCallPhantomアプリは、主にインドおよびアジア太平洋地域のAndroidユーザーを標的にしていました。多くのアプリではインドの国番号「+91」があらかじめ選択されており、主にインドで使用されている決済システムUPIに対応していました。

　これらのアプリには否定的なレビューが数多く寄せられており、被害者からは詐欺に遭い約束されたデータを受け取れなかったという報告がなされています（図6参照）。

　これらのアプリがどのように配布・宣伝されていたのかは明確ではありません。おそらく、個人情報を覗き見できるかのように装って、人々の好奇心をうまく利用したものと考えられます。いくつかの（偽の）絶賛レビューが混ざっていたことで、魅力的なオファーのように見えた可能性があります。

CallPhantomの概要

　調査の結果、これらの詐欺アプリには主に2つのグループが存在することを特定しました。

　第1のグループに属するアプリは、コード内に名前、国番号、およびテンプレートがハードコードされています（図7参照）。これらはランダムに生成された電話番号と組み合わされ、部分的な「結果」としてユーザーに表示されます。完全な（偽の）履歴を表示するには、被害者が料金を支払う必要があります。

　第2のグループに属するアプリはユーザーに対し、「取得された」通話履歴の送信先となるメールアドレスの入力を求めます（図8のスクリーンショット参照）。支払いが完了するまでデータの生成は行われず、ユーザーはメールが送信される前に、支払いまたは定期購入を行う必要があります。

　一般的に、CallPhantomアプリのユーザーインターフェースはシンプルで、過剰な権限を要求することはありません。そもそも、そのような権限は必要がないからです。言うまでもありませんが、これらのアプリには実際の通話、SMS、またはWhatsAppのデータを取得できる機能は一切含まれていません。

　分析したCallPhantomアプリにおいて、3つの異なる支払い方法が確認されました。そのうちの後者2つは、Google Playの決済ポリシーに違反しています。

　第一に、一部のアプリはGoogle Playの公式課金システムを介した定期購入を利用していました。これはGoogle Playの決済ポリシーに基づき、アプリ内課金を提供するアプリに義務付けられているもので、このような課金はGoogleの返金保証の対象となります。

　第二に、一部のアプリは、UPI対応のサードパーティ製アプリを介した支払いを利用していました。これらのサードパーティ決済アプリに対し、CallPhantomアプリはハードコードされたURLを含めるか、Firebaseリアルタイムデータベースから動的にURLを取得していました。これは、決済用アカウントが運営者によっていつでも変更可能であることを意味します。

　第三は、クレジットカード決済フォームがCallPhantomアプリ内に直接組み込まれているケースです。 支払い方法の例を図9に示します。

あるケースでは、ユーザーに支払いを促すための追加の戦術が確認されました。ユーザーが支払わずにアプリを終了すると、通話履歴のメールが届いたという嘘の通知を表示するという手法です（図10参照）。この通知をクリックすると、定期購入画面へと誘導されます。

　この偽のサービスに対して要求される料金は、アプリによって大きく異なります。また、アプリによっては週単位、月単位、年単位などの異なる定期購入プランを提供しているようであり、最高請求額は80米ドルに達していました。最も低額な定期購入プランでの平均請求額は5ユーロでした。

詐欺に遭った場合の対処法

　一般的に、Google Playの公式課金システムを通じた定期購入は、Playストアアプリ内でプロフィールアイコンをタップし、「お支払いと定期購入」→「定期購入」へ進み、有効な定期購入を選択して「定期購入を解約」をタップすることでキャンセルできます。Googleは、詳細な手順をGoogle Playでの定期購入の解約、一時停止、変更ページで説明しています。

　本ブログで取り上げた28個のアプリについては、アプリがGoogle Playから削除された時点で、既存の定期購入は解約されています。

　場合によっては、Google Playでの購入に対して返金を受けられる可能性があります。Googleは、購入からの経過時間、アイテムの種類、および返金ポリシーに応じて払い戻しを行う場合があります。一般的に、返金請求はGoogleのサポートページに記載されている所定の払い戻し期間内に行う必要があります。

　アプリ内でクレジットカード情報を入力したり、サードパーティのサービスを介して支払ったりするなど、Google Play以外で購入が行われた場合、Googleは定期購入の解約や返金を行うことができません。その場合は、ユーザー自身が決済プロバイダーまたはアプリ開発者に連絡する必要があります。

結論

　ESET社は、Google Play上で新たな詐欺Androidアプリのグループを確認しました。これらのアプリは、ESET社からの通知を受けて削除されるまでに、累計で730万回以上ダウンロードされていました。ESET社が「CallPhantom」と呼ぶこれらのアプリは、任意の電話番号の通話履歴、SMS記録、およびWhatsAppの通話履歴を取得できると虚偽の宣伝をしています。これは技術的に不可能であり、単に人々の好奇心につけ込み、料金を支払わせることのみを目的として設計されています。

　これらのアプリの多くはGoogle Playの公式課金システムを回避し、ユーザーをサードパーティの決済サービスやクレジットカード情報の入力へと誘導することで、返金手続きを複雑化し、被害者は金銭的リスクにさらしていました。

　ESET社の分析により、被害者に表示される「結果」は完全に捏造されたものであることが判明しました。多くの場合、ハードコードされたインドの電話番号、事前定義された名前、および実際の通信データに見せかけて生成されたタイムスタンプが使用されていました。

　Google Playの公式課金システムを通じて定期購入したユーザーは、Googleの返金ポリシーに基づき、返金の対象となる可能性があります。一方、サードパーティの決済アプリやクレジットカード情報の入力を通じて行われた購入については、Googleによる返金は行われないため、ユーザーは外部の決済プロバイダーや開発者に頼らざるを得ない状況にあります。

分析したCALLPHANTOMアプリ

IOC（セキュリティ侵害の痕跡）

ファイル

　IoC（セキュリティ侵害の痕跡）の詳細なリストと検体は、ESETのGitHubリポジトリに掲載されています。

ネットワーク

MITRE ATT&CKの技術

　この表は、MITRE ATT&CKフレームワークのバージョン18を使用して作成されています。

手法	ID	名前	説明
C&C（コマンド&コントロール）	T1437.001	アプリケーションレイヤープロトコル：Webプロトコル	CallPhantomはC&C通信にFirebase Cloud Messagingを使用します。
影響	T1643	被害者からのトラフィックを生成します。	CallPhantomは不正請求を試みます。