自社アプリのリリースや大幅な改修を控え、外部の第三者に脆弱性診断を依頼するかを検討する段階では、費用の桁と、事業者ごとに何をどこまでやってもらえるかの違いを、稟議に載せられる形で早く把握したくなります。
本記事では、スマートフォンアプリを対象とする脆弱性診断について、事業者公式の逐語値をもとにした費用相場、通信・端末内データ・設計・API/サーバの各領域で確認される診断項目、iOSとAndroidで対応内容が異なる論点まで解説します。
国際的な基準（OWASP MASVS／Mobile Top 10）や国内の業界ガイドライン（JSSEC）との対応関係、経済産業省の情報セキュリティサービス基準適合サービスリストといった選定の目印まで押さえ、稟議前段階の情報収集から複数社への見積依頼までを、この記事で完結できる情報量にしています。
目次
一括ダウンロードする
スマホアプリ脆弱性診断とは
スマホアプリ脆弱性診断とは、iOSまたはAndroidで動作するスマートフォンアプリケーションを対象に、外部からの攻撃で悪用され得る不具合や設計上の弱点を、第三者の専門家が疑似攻撃・静的解析・動的解析を組み合わせて洗い出す検査です。診断結果は報告書として提示され、発見された脆弱性の内容・危険度・再現手順・修正方針が示されます。
いま外部診断が求められる理由（IPA被害統計と主要リスク）
独立行政法人情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織向けカテゴリでは、第4位に「システムの脆弱性を悪用した攻撃」が、第2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。
スマホアプリの脆弱性は「システムの脆弱性を悪用した攻撃」の射程に含まれ、決済・EC・金融・ヘルスケアなど個人情報や機微情報を扱うアプリを提供している場合は、リリース前に外部の視点で検証しておく実務上の必要性が高い領域です。
出典・参考資料（1件）
スマホアプリ脆弱性診断の費用相場｜規模条件と実額
ここからは、稟議に載せる金額の当たりをつけるうえで最も知りたい費用相場を、事業者公式の逐語値を出所付きで整理します。全体レンジと、規模条件（画面数・対応OS・API/サーバを診断範囲に含めるか）ごとに変わる要因を分けて示します。
費用が決まる要因（画面数／対応OS／API・サーバ／診断手法）
費用は主に4つの要因で変動します。第一に、アプリの画面数と機能数。NECセキュリティは料金決定要因として「スマホアプリ動的画面数とWebアプリケーションの動的ページ数」を明示しています。
第二に、対応OSがiOSかAndroidか、あるいは両方か。第三に、API・サーバサイドも診断範囲に含めるかどうかで、含めれば料金レンジは上方向にシフトします。第四に、静的解析のみのライトプランか、静的＋動的の組み合わせか、リバースエンジニアリングまで踏み込むかといった診断手法の深さです。
出典・参考資料（1件）
規模条件別の実額レンジ
事業者公式ページで実額を提示している例として、株式会社ユービーセキュアは、Android 10画面程度の診断で 600,000円（税込 660,000円）〜 と明示しています。全体のレンジ感を示す情報としては、エムオーテックス（LANSCOPE）の解説記事が「一般的な価格帯は30万円から200万円程度」と記載し、手動診断やペネトレーションテストを含む詳細な診断ほど高額になる傾向を示しています。
スマートフォンアプリケーション診断（Android）10画面程度：600,000円（税込 660,000円）〜
スマートフォンアプリケーション脆弱性診断｜UBsecure
スマホアプリ脆弱性診断の費用は、診断内容、規模、手法に応じて大きく異なります。特に、手動診断やペネトレーションテストを含む詳細な診断は、ツールを使用した簡易診断に比べて高額になる傾向があり、一般的な価格帯は30万円から200万円程度とされています。
スマホアプリの脆弱性診断とは？種類・費用・診断項目・実施タイミングを解説｜LANSCOPE
本記事で確認できた事業者公式の逐語値は、ユービーセキュアのAndroid 10画面 600,000円（税込 660,000円）〜と、エムオーテックス（LANSCOPE）ブログの30〜200万円レンジの2件のみです。以下は両者を組み合わせた大まかな当たりで、正確な金額は事業者への相見積で確認してください。
Android 10画面規模を診断範囲の下限として60〜70万円台、Web/APIも含む中規模診断で100万円台、フルスコープ（iOS＋Android両OS＋API/サーバ＋リバースエンジニアリング相当）まで踏み込むと200万円前後を目安として、稟議の当たりをつけると実態から大きく外れません。ただし個別見積で条件は動くため、複数社に相見積を取ることをおすすめします。
診断以外にかかる費用（再診断・報告会・改修支援）
診断本体の費用に加えて、脆弱性が発見された箇所を改修した後の再診断、報告会の開催、QAサポート期間の延長、セキュアコーディング支援などが別料金または付帯サービスとして提供されます。
株式会社ポルトは「修正後の再診断は1度まで無料」と明示し、株式会社バルテスは「修正後の再診断を無償で提供」「報告書提出後1ヶ月間はメール・電話でのQAサポート」を提供しています。株式会社ラックは「お問い合わせ対応（3カ月間）」を明記しています。
出典・参考資料（3件）
複数社の見積を比べる際は、診断本体の費用だけでなく、再診断の無料回数・報告会の有無・QAサポートの期間・改修方針への助言範囲を条件に含めて比較すると、実質的なコスト差が見えやすくなります。
候補になる事業者に資料請求で規模条件（画面数・対応OS・API/サーバの範囲・希望スケジュール）を投げれば、条件に沿った具体額の目安が返ってきます。まずは複数社の資料を一括で取り寄せ、社内で比較の土台をそろえるのが近道です。
一括ダウンロードする
スマホアプリ脆弱性診断の主要サービス比較
費用感が掴めたら、次は事業者ごとの診断範囲・準拠基準・付帯サービスを横並びで比較し、候補を2〜3社に絞り込むフェーズです。ここではスポット比較表で7社を概観し、続くセクションで各社の特徴を紹介します。
各社の選定観点（基準適合登録・保険付帯・実績業種など）は後段の「事業者選定で確認したい観点」で深堀りするので、まずは表と個別紹介で全体像を掴んでください。
各社の選定観点（基準適合登録・保険付帯・実績業種など）は後段の「事業者選定で確認したい観点」で深堀りするので、まずは表と個別紹介で全体像を掴んでください。
| サービス名 | GMO byイエラエ | MBSD 脆弱性診断サービス | SQAT for Smartphone | サイバー保険付き脆弱性診断サービス（DSCB） | Cloudbric脆弱性診断 | ラック スマートフォンアプリケーション診断 | NRIセキュア スマートフォンアプリケーション診断 |
|---|---|---|---|---|---|---|---|
| 提供会社 | GMOサイバーセキュリティ byイエラエ株式会社 | 三井物産セキュアディレクション株式会社 | 株式会社ブロードバンドセキュリティ | NTTドコモソリューションズ株式会社 | ペンタセキュリティ株式会社 | 株式会社ラック | NRIセキュアテクノロジーズ株式会社 |
| 対応OS | iOS／Android | iOS／Android | iOS／Android | iOS／Android | iOS／Android | iOS／Android | iOS／Android |
| 参考価格 | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） | 要問い合わせ（公式非公表） |
| 診断手法 | 完全手動診断（静的・動的・リバースエンジニアリング） | 手動診断＋静的・動的解析 | ハイブリッド（静的・動的・API診断） | ハイブリッド（ツール＋手動） | ハイブリッド（手動＋自動ツール／3プラン構成） | 手動主体のハイブリッド | 手動主体（プロフェッショナル方式／ハイブリッド方式） |
| 準拠基準 | JSSEC／OWASP Mobile Top 10／MASVS | 明記なし | 総務省「スマートフォン利用者情報取扱指針」 | 明記なし | OWASP Mobile Top 10（Standard Scan） | JSSEC／OWASP Mobileプロジェクト | 明記なし |
| 再診断 | 明記なし | 明記なし | 診断後3ヶ月以内可 | メニューにより3ヶ月以内無料 | 明記なし | 明記なし | 明記なし |
| 保険付帯 | 明記なし | 明記なし | 全脆弱性診断に付帯 | 税抜80万円以上で自動付帯（上限1,000万円／三井住友海上） | 明記なし | 明記なし | 明記なし |
| 詳細情報 | カタログを見る | カタログを見る | カタログを見る | カタログを見る | カタログを見る | カタログを見る | カタログを見る |
1. 脆弱性診断・ペネトレ（byイエラエ）（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエ株式会社が提供する、完全手動診断を強みとする脆弱性診断サービスです。スマホアプリ診断の項目には、JSSEC「Androidアプリのセキュア設計・セキュアコーディングガイド」／OWASP Mobile Top 10／MASVSの3基準への準拠を明示しています。
通信プロトコルへの対応は TCP・UDP・SIP・Bluetooth・NFC・WebSocket・gRPC・ProtocolBuffers・独自プロトコルまでカバーします。
経済産業省の情報セキュリティサービス基準適合サービスリストに、スマホアプリ診断（iOS/Android）名義で登録番号 019-0004-60 として掲載されています。
2. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション株式会社（MBSD）のスマホアプリ診断は、iOS・Androidアプリに対して静的解析と動的解析を組み合わせ、疑似攻撃を実施する診断メニューです。診断対象はアプリ間連携、通信、認証、端末内データ、アプリファイル／ログ、パーミッションと明示されています。SSS-ERC（審査登録機関）の登録番号は 018-0040-60 で、名義に「スマホアプリ診断」を含みます。
3. SQAT（脆弱性診断サービス）（株式会社ブロードバンドセキュリティ）
株式会社ブロードバンドセキュリティ（BBSec）のスマートフォンアプリ診断サービス「SQAT for Smartphone」は、サーバ検査とクライアントアプリケーション検査を組み合わせ、利用者情報が適切に取り扱われているかを診断します。総務省「スマートフォン利用者情報取扱指針」6つの基本原則を診断観点に取り込むと明記されています。
診断手法は静的解析（APK/IPAバイナリ）・動的解析・API診断のハイブリッドで、サイバー保険付帯にも対応しています。
4. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
NTTドコモソリューションズ株式会社（旧・NTTコムウェア）が提供する「サイバー保険付き脆弱性診断サービス（DSCB）」は、スマホアプリ診断メニューでAndroid／iOSの通信と端末の両面をカバーします。
特徴は、診断契約の合計金額が税抜80万円以上の場合に、三井住友海上火災保険を引受会社とするサイバー保険が自動で付帯し、年間補償上限1,000万円が用意される点です。診断メニューはネットワーク／サーバ構成／Webアプリ／スマホアプリ／ペネトレーションテストの5種で構成されます。
5. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
ペンタセキュリティ株式会社が提供するCloudbric脆弱性診断は、Quick Tool Scan（静的解析中心の簡易診断）／Standard Scan（OWASP Mobile Top 10ベース）／Advanced Scan（攻撃ベクトルを拡張）の3プラン構成で、予算・診断深度に応じた選択肢を明示しています。
Standard ScanはOWASP Mobile Top 10を裏づけとして明記しています。情報セキュリティサービス基準適合登録（登録番号 021-0017-20）を取得しています。
6. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックのスマートフォンアプリケーション診断は、Android／iOSを対象に、JSSECおよびOWASP Mobileプロジェクトを基にした基準で診断を実施します。長年のセキュリティコンサルティング実績に加え、診断後3ヶ月間の問い合わせ対応（QAサポート）が提供される点も、改修フェーズを含めた運用に効きます。
7. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズ株式会社のスマートフォンアプリケーション診断は、診断領域を以下の7カテゴリに整理しています。事業者ページで診断領域の分類が体系立てて示されているため、社内の説明資料に落とし込みやすいのも実務上の利点です。
- データ保護
- 通信保護
- 解析防止
- プライバシー保護
- 連携機能
- 不正行為防止
- パーミッション認可
ここまではスマホアプリ診断に対応する7サービスをスポット比較でご紹介しましたが、Web・API・クラウド・ネットワーク・IoTなど他領域も含めた脆弱性診断サービス全般を横並びで比較したい場合は、以下の記事で診断方法・費用相場・選び方をより網羅的に解説しています。
スマホアプリの主な診断項目（通信／端末内データ／設計・実装／API・サーバ）
ここからは、事業者ページに散らばる診断項目を、通信・端末内データ・設計/実装・API/サーバサイドの4カテゴリに整理し、具体項目まで踏み込んで示します。事業者ごとに項目名は異なりますが、概ねこの4カテゴリで整理できます。
なお、この4分類はOWASP MASVSカテゴリ（STORAGE／CRYPTO／AUTH／NETWORK／PLATFORM／CODE／RESILIENCE／PRIVACY）を実務語で開いたもので、後段「業界共通基準」の節と同じ枠組みを別角度から眺めた整理になります。
通信の脆弱性（SSL/TLS・平文通信・MITM耐性）
通信領域では、SSL/TLSの証明書検証が適切に行われているか、平文通信を許容していないか、中間者攻撃（MITM）に対する耐性があるかを検査します。
GMOサイバーセキュリティ byイエラエは、通信プロトコルへの対応範囲としてTCP・UDP・SIP・Bluetooth・NFC・WebSocket・gRPC・ProtocolBuffersに加え、独自プロトコルまでを明示しています。
IoT機器連携やアプリ内課金の決済通信を持つアプリでは、この通信領域の網羅性が事業者選定の分かれ目になります。
出典・参考資料（1件）
端末内データの脆弱性（ローカルストレージ・Keychain/Keystore・ログ・キャッシュ）
端末内データの領域では、アプリがユーザー情報や認証トークンをどこに保存しているか、暗号化しているか、ログ・キャッシュに機密情報が出力されていないかを検査します。
iOSではKeychain、AndroidではKeystoreといったOS標準のセキュアストレージへの保管が推奨され、SDカードや共有領域への保存はデータ漏洩リスクとして評価されます。
ユービーセキュアは自社が「JSSECのガイドラインに沿った」診断を実施すると明記しており、この領域の実装評価はJSSECガイドの章立てが実務上の共通言語になっています。
出典・参考資料（1件）
設計・実装の脆弱性（WebView・逆コンパイル耐性・パーミッション・アプリ間連携）
設計・実装の領域では、WebViewを介したJavaScriptInterfaceの悪用、アプリバイナリの逆コンパイル・改ざん耐性、パーミッションが最小権限になっているか、Intent（Android）やURLスキーム経由の他アプリ連携に不備がないかを検査します。
JSSECガイドの2022年8月29日版では、Android 13対応として「アプリからのIntentの遮断」「動的Broadcast Receiverのセキュリティ強化」「メディアコレクションのパーミッション」「通知のランタイムパーミッション」「ランタイムパーミッションの取消」「新規インストール時のsharedUserId非推奨」の項目が追加されています。
これらはAndroid側の設計検証で参照される規範になっています。
API・サーバサイドの脆弱性（認証・認可・SQLi・XSS）
スマホアプリはバックエンドAPIと通信して機能を提供するのが一般的で、アプリ本体の診断だけでは攻撃面をカバーしきれない場合があります。
API・サーバサイドの領域では、認証・認可の設計、SQLインジェクション（SQLi）、クロスサイトスクリプティング（XSS）、認証トークンの検証、レート制限の実装などを検査します。
多くの事業者では、スマホアプリ診断とWebアプリ診断（API診断を含む）を別メニューとして提供しており、両方を組み合わせて発注するケースが実務上多いパターンです。
API単体の診断では、Webアプリ診断では拾いきれない認可欠陥（OWASP API Security Top 10）が主要な論点になります。スマホアプリと合わせてAPI診断メニューを選ぶ際の観点は、以下の記事で整理しています。
業界共通基準（OWASP MASVS／Mobile Top 10／JSSECガイドライン）と診断範囲の対応
事業者ページを比較していると「OWASP Mobile Top 10準拠」「JSSECガイドライン準拠」「MASVS準拠」といった表記に繰り返し出会います。これらは業界共通の基準・規範で、事業者選定の共通言語になります。ここでは3つの基準の位置づけと、実際の診断範囲との対応を整理します。
OWASP MASVS（現行はMAS Testing Profiles）
OWASP MASVS（Mobile Application Security Verification Standard）は、モバイルアプリのセキュリティ要件を定めた国際的な規格です。従来はL1（標準セキュリティ）／L2（高保証）／R（リバースエンジニアリング耐性）の3レベルで区分されていました。
MASVS v2.0.0以降、この「L1／L2／R」というVerification LevelsはMASVS本体から外れ、テストの実行基準としてMASTG（Mobile Application Security Testing Guide）側の「MAS Testing Profiles」に再編されました。
MAS Testing Profilesは、MAS-L1「Essential Security」／MAS-L2「Advanced Security」／MAS-R「Resilient Security」／MAS-P「Baseline Privacy」の4区分で構成されます。
競合の事業者ページや古い解説記事では「MASVS L1／L2」の呼称が現役ですが、現行のOWASPドキュメントで参照する場合はMAS Testing Profilesと同義として理解すれば実質同じ位置づけです。
MASVS本体のカテゴリはSTORAGE／CRYPTO／AUTH／NETWORK／PLATFORM／CODE／RESILIENCE／PRIVACYの8領域で構成されています。
出典・参考資料（2件）
OWASP Mobile Top 10（M1〜M10）
OWASP Mobile Top 10は、モバイルアプリで発生しやすい代表的な脅威を10項目に絞ってランキング化した資料です。最新版は2024年版で、以下の10項目で構成されています。
- M1: Improper Credential Usage（不適切な認証情報の使用）
- M2: Inadequate Supply Chain Security（不十分なサプライチェーンのセキュリティ）
- M3: Insecure Authentication/Authorization（安全でない認証／認可）
- M4: Insufficient Input/Output Validation（不十分な入出力の検証）
- M5: Insecure Communication（安全でない通信）
- M6: Inadequate Privacy Controls（不十分なプライバシー制御）
- M7: Insufficient Binary Protections（不十分なバイナリ保護）
- M8: Security Misconfiguration（セキュリティ設定ミス）
- M9: Insecure Data Storage（安全でないデータ保存）
- M10: Insufficient Cryptography（不十分な暗号化）
出典・参考資料（1件）
事業者ページに「OWASP Mobile Top 10準拠」と書かれている場合、上記M1〜M10のカテゴリに対応する検査項目を診断メニューに含んでいる、と理解できます。Cloudbric脆弱性診断のStandard ScanはOWASP Mobile Top 10ベースの診断であることを明示しています。
JSSECガイドライン（Androidアプリのセキュア設計・セキュアコーディングガイド）
一般社団法人日本スマートフォンセキュリティ協会（JSSEC）が公表する「Androidアプリのセキュア設計・セキュアコーディングガイド」は、日本国内で最も参照されるAndroid向けのセキュア設計ガイドです。最新版は2022年8月29日版で、Android 13／API 33に対応しています。
ガイドはIntent・パーミッション・WebView・Broadcast Receiverなど、Android固有の設計論点を章立てで解説しており、GMOサイバーセキュリティ byイエラエ・ユービーセキュア・ラックなど複数の事業者が診断の裏づけとして参照を明示しています。
iOS側は同名のガイドが公表されていないため、Apple公式のセキュリティ資料（Apple Platform Security）や、後述するMASVS／Mobile Top 10で補うのが実務上の対応です。
出典・参考資料（1件）
なお、経済産業省が主管する「情報セキュリティサービス審査登録制度」と、そのもとで公表される「情報セキュリティサービス基準適合サービスリスト」（IPA公表）は、上記の技術基準とは別レイヤーの「事業者選定の目印」に位置づきます。後段の「事業者選定で確認したい観点」で扱います。
iOSとAndroidで診断できる項目はどう違うか
片方のOSだけでリリースする場合と、両OS対応でリリースする場合とでは、診断範囲と費用が変わります。ここではOS依存の診断項目を整理し、片OSリリース時に何を判断材料にすればよいかを示します。
OS依存項目のマトリクス（アプリ間連携・端末内データ・SDカード等）
両OSに共通する診断項目（SSL/TLS通信、認証設計、APIの認可、ローカル保存の暗号化など）は同じ枠組みで検査できますが、OS固有の機構に依存する項目は片方でのみ検査対象になります。診断カテゴリごとにiOS／Androidそれぞれで対応する主な項目を整理すると、以下のようになります。
| 診断カテゴリ | 通信 | 端末内データ | 設計・実装 | API・サーバ |
|---|---|---|---|---|
| iOSで対応する項目 | App Transport Security／TLS証明書検証 | Keychain／App Sandbox内保存の暗号化 | URLスキーム連携／App Extensions／WebView（WKWebView） | 共通（認証・認可・SQLi・XSS・レート制限） |
| Androidで対応する項目 | Network Security Config／TLS証明書検証 | Keystore／内部ストレージ・SDカード出力の可否 | Intent／Broadcast Receiver／WebView／sharedUserId | 共通（認証・認可・SQLi・XSS・レート制限） |
| 備考 | 共通項目（平文通信・MITM耐性）は両OSで同一枠 | SDカード出力の検査はAndroidのみ（iOSはOS仕様上機能なし。バルテス診断項目確認表で明示） | Android側はJSSECガイド2022年8月29日版が規範 | OS非依存のバックエンド診断 |
出典・参考資料（1件）
片OSリリース時の判断軸
片OSのみのリリースであれば、そのOS向けの診断だけで実務上は成立しますが、後日もう一方のOSに対応する計画がある場合は、初回診断の段階で共通項目（通信・認証・API）を先に押さえておくと、2回目の診断コストを抑えられる場合があります。
両OS同時リリースであれば、両OSを同一の事業者に依頼したほうが、報告書の様式・観点が揃うため社内共有・改修対応が進めやすい構成になります。事業者に見積を依頼する際は、対応OSと、将来的な追加対応の計画があるかを最初に伝えると、提案が絞り込みやすくなります。
診断手法の選び方（静的解析／動的解析／リバースエンジニアリング／API・サーバ診断）
診断手法の選び方は、アプリの規模とビジネス上受容できるリスクの度合いで変わります。ここでは3つの軸——手法の役割分担、プランの深さ、内製ツールと手動診断の使い分け——で判断材料を整理します。
静的解析／動的解析／リバースエンジニアリング／API・サーバ診断の役割分担
静的解析は、アプリのバイナリ（APK／IPAファイル）や設定を解析し、既知の危険なパターン・平文でハードコードされた認証情報・弱い暗号アルゴリズムの利用などを検出します。
動的解析は、実機またはエミュレータでアプリを実行しながら、通信・入力・振る舞いを観察し、実行時にしか現れない脆弱性を検出します。
リバースエンジニアリングは、バイナリを逆コンパイルして内部処理を追跡し、逆コンパイル耐性（難読化）・改ざん耐性を評価します。API・サーバ診断は、アプリが通信する裏側のエンドポイントを対象にした診断で、多くの事業者がスマホアプリ診断とは別メニューで提供しています。
ライトプラン／フルプランの使い分け
事業者によっては、診断範囲を絞ったライトプランと、静的・動的を組み合わせたフルプランを分けて提供しています。株式会社ポルトは、ライトプランを「バイナリファイルに対し、静的解析でスマホアプリ自体の脆弱性を網羅的に診断」、アドバンスドプランを「静的診断に加え、動的診断の側面からも解析し、アプリケーション全体の処理を網羅的に検証」と定義しています。
Cloudbric脆弱性診断は、Quick Tool Scan／Standard Scan／Advanced Scanの3段階でプランを分け、予算と診断深度のバランスを取れる構成にしています。
出典・参考資料（2件）
個人情報・決済情報を扱わないシンプルなアプリで、内部の設計評価が主眼であればライトプランで足り、決済・EC・金融など機微情報を扱うアプリや、リリース後の重大インシデントが致命傷になる領域であればフルプランを選ぶ判断が実務上一般的です。
内製のSAST／DAST・OSSツールと第三者手動診断の使い分け
SAST／DAST／SCA（Software Composition Analysis）などのツールを内製の開発パイプラインで回している場合、外部の第三者診断は何を追加でカバーするのかを整理して稟議に載せる必要があります。
ユービーセキュアはFAQで、ツール検査は自動で高速・低コストだが検出範囲や誤検知の面で手動診断と差があり、目的別に選ぶと説明しています。
MobSFなどのOSSツール、OWASP MASTGに沿った内製検証は、CI/CDに組み込むことでレギュラーな検査には有効ですが、アプリ固有の実装特性・攻撃シナリオを踏まえた深い検証は、第三者診断の手動検証を組み合わせるのが実務上の標準的な組み立てです。
どの診断項目までを内製ツール／CI-CDで置き換えられ、どこからは要人判断や第三者診断が必要かを診断項目レベルで切り分け、実装手順まで踏み込んで検討したい場合は、以下の記事で内製化の可否と自動化ツールの選び方を解説しています。
診断の進め方（実施タイミング・発注フロー・事前準備）
発注してから報告書を受け取るまでの流れと、いつ診断を実施するのが実務上妥当か、事前に何を用意しておくべきかを整理します。稟議に載せるスケジュール項目としても使える内容です。
実施タイミングの4パターン（新規リリース／機能追加／脆弱性報告時／年1定期）
スマホアプリの脆弱性診断を実施するタイミングは、大きく4つのパターンに整理できます。第一に、新規リリース前の初回診断。第二に、大きな機能追加や大幅な改修が発生したタイミングでの追加診断。第三に、外部から脆弱性の報告を受けたときのスポット診断。第四に、半年〜年1回程度の定期診断です。
株式会社ポルトはFAQで「サービス公開前や大きな機能追加・改修のタイミングでの実施が推奨されています」と回答しており、エムオーテックス（LANSCOPE）の解説記事では定期診断について「一般的には半年に1回、または年に1回」「金融や医療など高リスク分野のアプリでは、3ヶ月に1回程度」と示されています。
発注から報告書までの流れ（依頼→事前確認→診断→報告→再診断）
発注してから報告書を受け取るまでの流れは、事業者を問わずほぼ共通しており、①依頼・見積、②事前確認（診断範囲・診断対象ファイル・環境要件のすり合わせ）、③診断（1〜4週間程度、規模により変動）、④報告書提出・報告会、⑤修正後の再診断、という5段階で進みます。
株式会社GSXは「脆弱性が検出された箇所をお客様側で改修された後、同様の脆弱性が検出されないかを再度診断します」と再診断の位置づけを明示しており、再診断は多くの事業者で「初回契約に含まれる／有料オプション／回数制限付きで無料」のいずれかで提供されています。
出典・参考資料（1件）
事前に用意するもの（IPA/APK・テストアカウント・仕様書・診断範囲の合意）
診断開始前に発注側で準備する必要があるのは、まずアプリのバイナリファイル（AndroidはAPK、iOSはIPA）です。ユービーセキュアは配布形態としてAPK/IPAファイルの受け渡しを標準としています。
次に、実際にアプリを操作するためのテストアカウント、機能一覧を把握するための仕様書や画面遷移図、決済など外部連携を含む場合は接続先の情報。加えて、診断範囲（画面数・機能・API/サーバを含めるかどうか）の書面での合意も、後日「診断対象外だった」という認識ずれを避けるために重要です。
出典・参考資料（1件）
事業者選定で確認したい観点
候補を2〜3社に絞り込む段階で、料金や診断範囲のほかに確認したい観点を整理します。事業者ページには自社の強みしか書かれていないため、複数社を横並びで比べるときの客観的な物差しとして使える項目です。
基準適合登録の有無（経産省サービスリスト／JASA審査登録機関）
経済産業省が主管する「情報セキュリティサービス審査登録制度」は、情報セキュリティサービスが一定の品質基準に適合していることを第三者が客観的に判断する制度です。
制度の基準文書は経済産業省が策定（現行は「情報セキュリティサービス基準第4.1版」令和7年3月31日公表・令和7年4月1日施行）、審査登録機関は日本セキュリティ監査協会（JASA）が運営するSSS-ERCが担い、適合サービスのリストは独立行政法人情報処理推進機構（IPA）が公表しています。
情報セキュリティサービスについて一定の品質の維持向上が図られていることを第三者が客観的に判断し、その結果を台帳等でとりまとめて公開することで、利用者が調達時に参照できるような仕組みの提供が求められます。
情報セキュリティサービス審査登録制度｜経済産業省
SSS-ERCの検索ページで脆弱性診断サービスを絞り込むと、2026年8月時点で183件が登録されています。事業者ページに「情報セキュリティサービス基準適合サービスリスト登録」「JASA登録」「登録番号」といった記載があれば、この制度への適合を意味します。
ただし、登録名義がスマホアプリ診断メニュー単体か、脆弱性診断サービスの総体としての登録かを区別する必要があります。たとえばGMOサイバーセキュリティ byイエラエと三井物産セキュアディレクション（MBSD）は、スマホアプリ診断メニュー単体で登録番号を取得しており、他の事業者は総体としての登録が中心です。
出典・参考資料（2件）
再診断・報告会・QAサポートの有無
再診断が初回契約に含まれるか、有料オプションか、回数制限付きで無料かは事業者ごとに異なります。株式会社ポルトは「修正後の再診断は1度まで無料」、株式会社バルテスは「修正後の再診断を無償で提供」「報告書提出後1ヶ月間はメール・電話でのQAサポート」を明示しています。
株式会社ラックは「お問い合わせ対応（3カ月間）」を明記しており、改修フェーズを含めた長期的なサポート体制の比較材料になります。報告書の提出だけでなく、開発チームへの説明会や個別のQAが必要な場合は、その実施可否・時間・費用を事前に確認しておくと、社内での改修対応が円滑になります。
保険付帯・アフター体制
診断契約にサイバー保険が付帯するサービスも複数登場しています。株式会社バルテスは、診断完了後にサイバーリスク保険（東京海上日動火災保険引受、最大1,000万円）が1年間無料で付帯します。
NTTドコモソリューションズの「サイバー保険付き脆弱性診断サービス（DSCB）」は、診断契約合計金額が税抜80万円以上の場合に、三井住友海上火災保険を引受会社とするサイバー保険（年間補償上限1,000万円）が自動付帯します。
診断後に万が一の事象が発生した場合の備えとして、料金だけでなく付帯サービスも含めて総合的に比較すると、実質的なコストパフォーマンスが見えやすくなります。
出典・参考資料（2件）
実績業種・導入事例の見方
事業者ページには導入事例が掲載されているケースが多く、自社と同じ業種の事例があるかは実務上の判断材料になります。金融・フィンテック・EC・ヘルスケアなど、扱うデータの機微性が高い業種の実績が豊富な事業者は、業界固有のリスクや規制動向への理解が期待できます。
報告書サンプル入手の可否
報告書のサンプルを事前に確認できるかも、事業者選定の実務的な判断材料です。報告書は脆弱性の検出結果・危険度・再現手順・修正方針をまとめたもので、稟議に添付するイメージを持てるかどうかで、社内での稟議通過のしやすさが変わります。事業者ページに「サンプル」の章立てがあるか、営業担当に依頼してサンプルを入手できるかを、見積依頼時に確認しておくと安心です。
見積依頼時に伝えるべき情報のチェックリスト
ここまで整理した情報をもとに、複数社に相見積を依頼するときに事業者側から求められる情報を整理します。ユービーセキュアはFAQで、見積時に必要な情報として「画面数・機能・対応OS・通信先API情報・診断範囲・希望スケジュール等」を挙げています。この記事の内容を踏まえると、以下の項目を1枚のメモにまとめて事業者に共有すると、初回の見積提示までがスムーズです。
- アプリの規模：画面数・主要機能の一覧
- 対応OSとOSバージョン：iOS／Android／両方の別、対応する最低バージョン
- API／サーバサイドを診断範囲に含めるか：バックエンドAPIの本数、エンドポイントの認証方式
- リリース時期・希望スケジュール：診断結果を反映した改修期間を含む全体スケジュール
- テストアカウント・仕様書・IPA/APKの提供可否：診断に必要な資材の準備状況と提供タイミング
- 診断後に必要なサポート：報告会の開催希望、QAサポートの想定期間、改修支援の要否
出典・参考資料（1件）
これらの情報を最初に共有しておくと、事業者側は「一般的なテンプレ回答」ではなく、自社アプリの条件に沿った具体的な見積とスケジュールを提示しやすくなります。逆に、これらの情報が曖昧なまま複数社に依頼すると、返ってくる見積の前提条件がバラバラで比較しにくくなるため、依頼前に社内で条件を固めておくことをおすすめします。
まとめ
スマホアプリの脆弱性診断は、Android 10画面程度で60〜70万円台から始まり、フルスコープで200万円前後を目安とする費用帯で、規模条件（画面数・対応OS・API/サーバの範囲）と診断手法（静的・動的・リバースエンジニアリング）の組み合わせで金額が決まります。
診断項目は通信・端末内データ・設計/実装・API/サーバサイドの4カテゴリに整理でき、OWASP MASVS／Mobile Top 10／JSSECガイドラインといった業界共通基準が事業者選定の共通言語として機能します。
iOSとAndroidでOS依存項目が異なる点、静的解析と動的解析の役割分担、経済産業省の情報セキュリティサービス基準適合サービスリスト（IPA公表・JASA審査登録）や保険付帯・アフターサポートといった選定観点を踏まえ、この記事でまとめた見積チェックリストを使って複数社に相見積を出すのが、稟議前段階から実際の依頼まで最短ルートです。
一括ダウンロードする
よくある質問（FAQ）
Q. スマホアプリ脆弱性診断とは何ですか？
A. スマホアプリ脆弱性診断とは、iOSまたはAndroidで動作するスマートフォンアプリを対象に、外部からの攻撃で悪用され得る不具合や設計上の弱点を、第三者の専門家が疑似攻撃・静的解析・動的解析を組み合わせて洗い出す検査です。
診断結果は報告書として提示され、発見された脆弱性の内容・危険度・再現手順・修正方針が示されます。検査は通信・端末内データ・設計/実装・API/サーバサイドの4カテゴリに沿って進み、OWASP MASVS／OWASP Mobile Top 10／JSSECガイドラインといった業界共通基準を裏づけとして採用する事業者が一般的です。
Q. スマホアプリ脆弱性診断は、SASTやDASTなどのツール検査と何が違いますか？
A. スマホアプリ脆弱性診断における第三者手動検証は、ツール検査が自動で高速・低コストな一方で検出範囲や誤検知に限界があるのに対し、アプリ固有の実装特性や攻撃シナリオを踏まえた深い検証を行える点が違いです。
SAST（静的解析ツール）・DAST（動的解析ツール）・MobSFなどのOSSツールは、CI/CDに組み込んで日常的なレギュラー検査を回す用途に向いています。
一方、リリース前や機能改修時の判断に足る検証を得るには、ツールで既知パターンを潰しつつ、第三者の手動診断で「攻撃者視点の想定・アプリ固有の設計論点」を深掘りする組み立てが実務上の標準です。株式会社ユービーセキュアもFAQで、診断範囲・深さを目的別に選ぶことを推奨しています。
Q. スマホアプリ脆弱性診断は本番環境で実施するのですか、それともステージング環境でよいですか？
A. スマホアプリ脆弱性診断は、原則としてステージング環境または診断専用に用意した検証環境で実施するのが一般的です。
本番環境で疑似攻撃を行うと、実ユーザーへの影響やデータの汚染が発生するおそれがあるためです。本番環境での実施を希望する場合は、実施時間帯・対象機能の限定・データ復旧手順など、事業者との事前調整が必要になります。株式会社ポルトのFAQでも、ステージング環境での実施が推奨されると回答されています。
Q. スマホアプリ脆弱性診断で見つかった脆弱性は、事業者に修正まで依頼できますか？
A. スマホアプリ脆弱性診断で見つかった脆弱性の修正対応は、基本的に発注側（自社の開発チーム）が実施し、事業者は修正方針の助言と修正後の再診断で解消確認を行うのが一般的です。
事業者によっては、報告書提出後の一定期間のQAサポート（メール・電話での質疑対応）や、セキュアコーディング支援などの改修支援メニューを提供する例もあります。ただし、コードの直接修正までを診断契約に含む事業者は多くないため、改修まで一括で頼みたい場合は、事前に「改修支援の可否と別料金」を確認しておくと安心です。
Q. スマホアプリ脆弱性診断の見積もりを依頼するとき、事前に何を用意すればよいですか？
A. スマホアプリ脆弱性診断の見積もり依頼時には、アプリの画面数・主要機能・対応OS・API/サーバを診断範囲に含めるか・希望スケジュールの5点を最低限まとめておく必要があります。
これに加えて、テストアカウントや仕様書・画面遷移図・IPA/APKバイナリの提供可否、診断後に希望するサポート（報告会・QAサポート・改修支援）まで整理しておくと、事業者側は自社アプリの条件に沿った具体的な見積とスケジュールを提示しやすくなります。本記事の「見積依頼時に伝えるべき情報のチェックリスト」節を、そのまま社内メモとして流用してください。
Q. iOSとAndroidの両OSに対応すると、費用は単純に2倍になりますか？
A. 両OSを同時に依頼しても、費用は単純な2倍にはならないのが実務上の一般傾向です。通信・認証設計・APIの認可・ローカル保存の暗号化といった共通項目は、片方の検証結果と実装差分の確認で足りるケースが多く、事業者側も共用工数を見積に反映することが多いためです。
ただし、OS固有項目（AndroidのIntent／Broadcast Receiver／sharedUserId、iOSのURLスキーム／App Extensions／Keychain周辺など）は片方でしか検査できないため、両OS対応にする分だけ工数が積み上がります。
実際の費用は「共通項目の共用度合い＋OS固有項目の追加工数」で決まるため、見積依頼時に「片OSのみ」「両OSまとめて」の両方で見積を取り、差額を比較するのが確実です。
Q. スマホアプリ脆弱性診断の期間はどのくらいかかりますか？
A. スマホアプリ脆弱性診断の実施期間は、アプリの規模と診断範囲により1〜4週間程度が目安です。
Android 10画面規模のライトプランであれば1週間前後、iOS＋Android＋API/サーバまで含むフルスコープであれば3〜4週間規模になるケースが一般的です。
これに加えて、発注前の見積・事前確認に1〜2週間、報告書提出・報告会に1週間、修正後の再診断に1〜2週間が必要になるため、稟議のスケジュール項目には「診断本体の期間＋前後の調整期間」を合わせて1〜2ヶ月の枠を確保しておくと現実的です。
脆弱性・セキュリティ診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、脆弱性・セキュリティ診断サービスの最新資料を一括で請求できます。スマホアプリ診断に対応するサービスや、Web・API・ネットワーク・IoT・ペネトレーションテストといった他領域も含めた比較検討を進める場合は、下記のボタンから複数社の資料をまとめて取得できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
