自社で公開・運用するスマホアプリやWebアプリに、どんな脆弱性が潜んでいるか把握できているでしょうか。アプリは個人情報や決済情報を直接扱うため、認証の不備や通信の盗聴、端末内に保存したデータの漏えいが、そのまま情報漏えい事故や不正利用につながります。リリースのたびに何を・どこまで調べればよいか判断がつかず、診断をどこへ依頼すべきか迷う開発責任者やセキュリティ担当者は少なくありません。
アプリの脆弱性診断は、調べる対象（Webアプリ・スマホアプリ・API・ソースコード）や手法（ツールによる自動診断か、専門家による手動診断か）によって、費用も精度も大きく変わります。自社のアプリとリスクに見合う発注先を選ぶには、どのような観点で比較すればよいのでしょうか。
本記事では、スマホアプリ（iOS・Android）とWebアプリの脆弱性診断を提供する24サービスを比較・解説します。診断対象と診断項目の違い、ツール診断と手動診断の使い分け、費用相場と診断期間の目安、そして自社に合う依頼先を選ぶためのタイプ別の特徴と選び方を整理しました。資料請求や見積依頼の判断材料としてご活用ください。
また、自社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
アプリ脆弱性診断とは｜Webアプリ・スマホアプリで必要になる理由
アプリの脆弱性診断とは、Webアプリやスマホアプリ、それらが連携するAPIやソースコードに、攻撃につながる弱点がないかを専門的に検査することです。擬似的な攻撃リクエストを送って応答を調べたり、アプリの挙動や通信を観察したり、ソースコードを読み解いたりして、認証・通信・データ保存などに潜む問題を洗い出します。
アプリは利用者の端末やブラウザから直接触れられるため、攻撃者にとっても最初の入口になりやすい領域です。とくにスマホアプリや会員向けWebサービスは、個人情報・認証情報・決済情報を扱う場面が多く、脆弱性を突かれると情報漏えいや不正ログイン、なりすましに直結します。開発段階で作り込まれた弱点は外からは見えにくいため、リリース前や改修のたびに第三者の視点で診断する意義があります。
診断しないリスクと代表的な脆弱性
脆弱性を放置したまま運用を続けると、不正アクセスによる個人情報の漏えい、アカウントの乗っ取り、改ざんや不正送金といった被害を受けやすくなります。事故が起きれば、復旧対応や利用者への補償だけでなく、取引先や監査からの信頼低下という形でも影響が及びます。
どのような弱点が狙われやすいかは、国際的な非営利団体OWASP（Open Worldwide Application Security Project）が整理した脆弱性カテゴリが参考になります。Webアプリでは2025年版のOWASP Top 10が代表的な指標で、アクセス制御の不備やインジェクション、認証の不備などが挙げられています。
スマホアプリでは2024年版のOWASP Mobile Top 10があり、安全でない通信（M5）、改ざん・リバースエンジニアリングへの耐性不足（M7）、端末内データの不適切な保存（M9）など、モバイル特有のリスクが示されています。多くの診断サービスは、これらの指標を検査項目の土台にしています。
出典・参考資料（2件）
アプリ脆弱性診断の対象と診断項目
ここからは、アプリ脆弱性診断が何を調べるのかを、診断対象ごとに整理します。自社のアプリがどの対象にあたるかを把握すると、依頼すべき診断の範囲が見えてきます。
Webアプリ診断は、会員サイトや管理画面などのWebアプリケーションを対象に、認証・セッション管理・入力値の扱い・アクセス制御などを検査します。スマホアプリ診断は、iOS・Androidのネイティブアプリを対象に、端末内のデータ保存やサーバーとの通信、アプリの改ざん耐性などを調べます。
API診断は、アプリとサーバーをつなぐAPIの認証やパラメータの扱いを対象とし、ソースコード診断は、プログラムのソースを静的に解析して危険なコードの書き方を検出します。1つのアプリでも、Webとスマホ、フロントとAPIで必要な診断が分かれるため、自社がどこを守りたいかを先に決めると依頼の範囲が定まります。
スマホアプリ特有の診断項目
スマホアプリは、利用者の手元の端末で動作する点がWebアプリと大きく異なります。そのため、サーバー側だけでなくアプリ本体と端末内の挙動まで検査する必要があります。
代表的な確認ポイントは、端末内に保存する認証情報や個人データが暗号化されているか、サーバーとの通信が盗聴・改ざんされない形で保護されているか、アプリを解析・改ざんして不正な機能を埋め込まれないようになっているか、といった項目です。これらはOWASP Mobile Top 10（2024年版）が示すモバイル特有のリスクに対応します。
Android向けには、一般社団法人日本スマートフォンセキュリティ協会（JSSEC）が公開する「Androidアプリのセキュア設計・セキュアコーディングガイド」（2022年8月29日版）も、設計・実装時の指針として広く参照されています。診断サービスを選ぶ際は、こうしたモバイル特有の項目まで対応しているかを確認するとよいでしょう。
出典・参考資料（2件）
スマホアプリ（iOS・Android）の診断に絞って、費用相場や診断項目、iOSとAndroidで対応が分かれる論点、事業者ごとの対応範囲までもう一段詳しく知りたい場合は、以下の記事で解説しています。
診断手法の違い｜ツール診断・手動診断・ペネトレーションテスト
ここからは、診断の進め方による違いを整理します。どの手法を選ぶかで、見つけられる脆弱性の深さと費用・期間が変わります。
ツール診断と手動診断の違い
ツール診断は、専用のスキャナーがアプリに自動でリクエストを送り、既知のパターンに合致する脆弱性を検出する方法です。短期間かつ比較的低コストで広い範囲を検査でき、開発や改修のたびに繰り返し回しやすい点が利点です。一方で、複雑な業務ロジックの悪用や権限管理の抜け道など、文脈を理解しないと見つからない問題は取りこぼしやすくなります。
手動診断は、診断員が実際にアプリを操作しながら、ツールでは検出しにくい脆弱性を人の目で確認する方法です。業務の流れを踏まえた深い検査ができ、検出した問題への対策助言まで受けられることが多い反面、費用と期間はツール診断より大きくなります。
リスクの高い重要なアプリや、リリース前の総点検では手動診断、継続的な改修のたびのチェックにはツール診断、というように、両者を使い分ける、あるいは併用するのが一般的です。
脆弱性診断とペネトレーションテストの違い
脆弱性診断とペネトレーションテスト（ペネトレ）は混同されがちですが、目的が異なります。脆弱性診断は、対象に含まれる脆弱性を網羅的に洗い出すことを目的とします。これに対しペネトレーションテストは、攻撃者の視点で特定の目標（たとえば重要データへの到達）を達成できるかを試し、弱点の連鎖による実際の侵入可否を検証します。
まず自社アプリの弱点を一通り把握したい段階では脆弱性診断が適しています。すでに一定の対策を済ませたうえで、本当に突破されないかを実戦的に確かめたい段階ではペネトレーションテストが選択肢になります。多くの診断会社は両方のメニューを用意しているため、目的に応じて相談するとよいでしょう。
こうしたペネトレーションテストのあり方も、AIの広がりとともに変わり始めています。株式会社AndGoの原氏は、取材で将来の方向性について次のように述べています。
AIコーディングが当たり前になるほど、「AIが書いたコードも含めて、日常的に検証できる仕組み」が重要になります。その文脈で、AIエージェントがハッカーをエミュレーションして侵入テストを行い、ログや証跡を残す“AIペンテスト”の方向性も出てきています。これが進むと、コストや時間の都合で「リリース前に1回」が限界だった侵入テストを、ビルドパイプラインに組み込み、毎日回す世界が見えてきます。
両者の違いや費用の目安、自社はどちらを選ぶべきか（あるいはどう使い分けるか）をさらに詳しく整理したい場合は、以下の記事もあわせてご覧ください。
どこまで・いつ診断すべきか（診断範囲と頻度の判断）
診断の費用は範囲と頻度でほぼ決まります。やみくもに全体を高頻度で診断すると費用がかさみ、逆に絞りすぎると重要な弱点を見逃すため、自社のリスクに応じた線引きが必要です。
範囲の考え方としては、個人情報や決済情報を扱う画面・機能、認証やお金の流れに関わる部分を優先的に診断対象に含めるのが基本です。新規サービスやアプリのリリース前、ストアへの申請前には全体を一度しっかり診断し、その後は機能追加や大きな改修のたびに影響範囲を診断する、という組み合わせが現実的です。
頻度については、リスクの高いアプリや更新の多いサービスほど短い間隔で、変更の少ないアプリは年1回程度を目安に見直す、といった形で自社の開発サイクルに合わせます。取引先や監査、認証取得の要件で診断のエビデンスを求められる場合は、その頻度要件も踏まえて計画するとよいでしょう。
どのくらいの頻度で診断すべきかは、攻撃側の近年の変化とも関わります。CoWorker株式会社の一ノ瀬氏は、取材でこう指摘しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
アプリ脆弱性診断の費用相場と診断期間
アプリ脆弱性診断の費用は、診断対象・範囲・手法・再診断の有無によって変わるため、一律の相場を示すことは難しいのが実情です。ここでは各社が公開している料金から読み取れる、おおまかな目安を整理します。
ツール型の自動診断は、月額数万円程度から利用できるサービスが多く、継続的に回す運用に向いています。専門家による手動診断は、対象アプリ1本あたり数十万円からが目安で、WebアプリとスマホアプリをあわせてOWASP基準で網羅的に手動診断する場合は、数百万円規模になることもあります。
診断期間も手法によって幅があり、ツール診断なら数日、手動診断では2〜4週間程度を見込むケースが一般的です。具体的な料金と期間はサービスごとに異なるため、後述の比較表（各社公式情報にもとづく2026年11月時点の内容）と各社の見積もりでご確認ください。
診断の流れと成果物（報告書）
一般的な診断は、対象範囲と診断項目をすり合わせる事前準備から始まります。続いて実際の診断を行い、検出した脆弱性を危険度とともに整理した報告書を受け取る、という流れです。報告書には、脆弱性の内容・再現手順・想定される影響・推奨される対策がまとめられ、社内の改修や経営層・取引先への説明資料として活用できます。
対策を実施したあとに、修正が正しく反映されたかを確かめる再診断に対応するサービスも多くあります。報告書のサンプルを公開している会社もあるため、どの程度の粒度で結果が得られるかを、依頼前に確認しておくと安心です。
アプリ脆弱性診断サービスのタイプと選び方
ここからは、アプリ脆弱性診断サービスを、診断の進め方を軸に4つのタイプに整理します。自社がどのタイプに向くかを掴むと、候補を効率よく絞り込めます。
タイプ別の特徴
それぞれのタイプの特徴と、該当する主なサービスを以下に整理しました。
| 専門家による手動診断中心 | ツール型の自動診断 | 自動＋手動のハイブリッド | ソースコード診断 | |
|---|---|---|---|---|
| 特徴 | 診断員が手動で深く検査し、報告書と対策助言まで受けられます。金融・個人情報を扱う重要アプリやリリース前の総点検など、取りこぼしを避けたい場面に向きます。 | スキャナーによる自動診断で、短期間・低コストで繰り返し実施できます。機能追加や継続開発のたびに手軽に回したいアプリに向きます。 | 自動診断で広く、手動診断で深く検査し、網羅性と精度のバランスを取ります。標準的な発注先として選びやすいタイプです。 | プログラムのソースコードを静的に解析し、危険なコードの書き方を早期に検出します。開発工程や継続的な改善に組み込みたいチームに向きます。 |
| 向いている企業 | 重要アプリの高精度な診断を求める企業 | 改修のたびに高頻度で診断したい企業 | コストと精度の両立を図りたい企業 | 開発段階から脆弱性を抑えたい企業 |
※上記は各タイプにおける一般的な傾向です。個別のサービスにおける実際の提供内容や対応範囲については各社情報をご確認ください。
選び方の観点
タイプの見当がついたら、次の観点で候補を比べると自社に合う依頼先を絞り込めます。
診断対象が自社のアプリに合っているか。スマホアプリ（iOS・Android）の診断が必要なら、Webアプリ診断だけでなくモバイル本体の診断に対応しているかを確認する必要があります。対応範囲はサービスによって差があるため、自社が守りたい対象を先に決めて照合すると取り違えを防げます。
診断の精度と手法が目的に合うか。重要なアプリの総点検なら手動診断中心、継続的なチェックならツール診断、というように、前述の手法の違いを踏まえて選ぶとよいでしょう。OWASPやJSSECなどの基準に沿った診断項目を公開しているかも、網羅性を判断する手がかりになります。
料金・期間と再診断・サポートの条件。費用と診断期間が予算・スケジュールに収まるか、対策後の再診断や相談に応じてもらえるかを確認しておきましょう。診断は一度で終わりではなく、報告書をもとに改修し、再診断するまでが一連の流れになるためです。
実績と信頼性。同業種・同規模での診断実績や、経済産業省が策定した情報セキュリティサービス基準への適合といった第三者の確認材料も、依頼先を絞る際の参考になります。基準適合の状況は制度の最新リストで確認できます。
出典・参考資料（1件）
自社がどのタイプに向くか、どの観点を重視すべきか迷う場合は、以下の選定診断ツールもご利用ください。いくつかの質問に答えるだけで、条件に合うサービスの候補を確認できます。
自社に合うアプリ脆弱性診断サービスを30秒で診断
一括ダウンロードする
【比較表】アプリ脆弱性診断サービス比較｜診断対象・スマホ対応・手法・料金で選ぶ
ここからは、自社の課題や要件に合わせて客観的に比較・選定できるよう、アプリ脆弱性診断サービス24製品を一覧で整理しました。診断対象・スマホアプリ（iOS/Android）対応・診断手法・準拠基準・料金の目安・再診断の有無を軸に比べられます。自社のスマホアプリを診断できるかは「スマホアプリ対応」列でご確認ください。
| サービス名 | CoWorker 脆弱性診断サービス | GMOサイバーセキュリティ byイエラエ | セキュリティ診断（NRIセキュア） | 脆弱性診断・セキュリティ診断（ラック） | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） | Webアプリケーション診断（GMO Flatt Security） | 脆弱性診断・ペネトレ（レイ・イージス） | Aikido Security | AeyeScan | Securify | VAddy | SCT SECURE クラウドスキャン | Vex（ユービーセキュア） | Cloudbric脆弱性診断 | SQAT（BBSec） | Webアプリケーション診断（Sky） | 脆弱性診断サービス（NTTドコモソリューションズ） | Webアプリケーション診断（セキュアスカイ） | 脆弱性診断サービス（ベリサーブ） | ソースコード診断（SHIFT SECURITY） | ソースコード診断（日立システムズ） | ソースコード診断（レオンテクノロジー） | ソースコード診断（KSK） |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 診断対象 | ソースコード・Webアプリ・API | Webアプリ・スマホアプリ・クラウド・ネットワーク | Webアプリ・スマホアプリ・API・クラウド・ソースコード | Webアプリ・スマホアプリ・クラウド・ネットワーク | Webアプリ・スマホアプリ・ネットワーク | Webアプリ・プラットフォーム・IoT/OT | Webアプリ・API・ソースコード | Webアプリ・スマホアプリ・API・プラットフォーム | ソースコード・クラウド設定・Webアプリ | Webアプリ・SPA・API・Androidアプリ | Webアプリ・API | Webアプリ・API | Webサイト・ネットワーク機器 | Webアプリ・API・スマホアプリ | Webサイト・Webアプリ・API・スマホアプリ | Webアプリ・スマホアプリ・ソースコード・ネットワーク・IoT | Webアプリ（スマホ・IoT・クラウドも対応） | Webアプリ・スマホアプリ・ネットワーク・サーバ構成 | Webアプリ・API | スマホアプリ・Webアプリ・ネットワーク | ソースコード | ソースコード | ソースコード | ソースコード |
| スマホアプリ対応 | — | iOS・Android | 対応 | 対応 | iOS・Android | — | — | iOS・Android | — | Androidのみ | — | — | — | 対応（診断代行） | iOS・Android | 対応 | 対応 | 対応 | — | iOS・Android | — | — | — | — |
| 診断手法 | AI自動解析＋専門家確認 | 手動診断 | 手動診断主体（ツール併用） | 手動診断（ツール併用） | 手動診断主体（ツール併用） | 専門家＋複数ツール | 専門エンジニアが網羅診断 | AIツール＋手動診断 | ツール自動診断（SaaS） | ツール自動診断（AI巡回） | ツール自動診断（DAST） | ツール自動診断（DAST） | ツール自動診断（毎日スキャン） | ツール（DAST）＋手動代行 | 手動診断＋ツール併用 | 手動＋独自自動診断 | 専門スタッフのリモート診断 | ツール＋手動（ライト版はツールのみ） | ツール＋手動（ハイブリッド） | 実機の動的診断＋静的診断 | 静的解析＋目視（ハイブリッド） | 静的解析＋アナリスト精査 | ツール＋診断士の目視 | 診断員による目視診断 |
| 準拠基準 | — | OWASP Top 10／ASVS | — | — | — | — | OWASP Top 10／ASVS | — | — | OWASP Top 10／ASVS 5.0 | — | OWASP Top 10／IPA基準 | PCI DSS ASV相当 | OWASP Top 10／ASVS | — | OWASP Top 10 | — | OWASP ASVS／IPA基準 | — | JSSEC／OWASP Top 10 | — | — | — | — |
| 料金目安 | 15万円〜（ソースコードAI診断） | 個別見積り | 個別見積り | 個別見積り | 個別見積り | 個別見積り | 100万円〜（税別） | 個別見積り（FQDN単位の定額制） | 月額5万円台〜 | 個別見積り | 月額5万円〜（年60万円） | 月額19,800円〜（税別・初期費用0円） | 年額564,000円〜（初年度・3IP/FQDN・税抜） | 年額66万円〜（ツール） | 個別見積り | 個別見積り | 個別見積り | 個別見積り | 40万円〜（10リクエスト/5API・税抜） | 個別見積り | 個別見積り | 個別見積り（ステップ数による） | 個別見積り | 個別見積り |
| 再診断・サポート | 上位プランで再診断1〜2回 | 要問い合わせ | 要問い合わせ | 報告書・報告会に対応 | 報告書・報告会に対応 | 要問い合わせ | 要問い合わせ（サンプル報告書あり） | 要問い合わせ | 継続スキャン型・無料トライアルあり | スキャン回数無制限・無料トライアルあり | 診断回数無制限・無料トライアルあり | スキャン回数無制限・無料トライアル1週間 | 毎日自動で継続診断 | ツールは14日間無料トライアル／代行は再診断選択可 | 要問い合わせ | 診断後3か月まで再診断可・相談受付 | 要問い合わせ | スタンダード版は3か月以内に最大3回無料 | 再診断1回無償・QAサポート無償 | 修正後の確認に対応 | 要問い合わせ | フォローアップ診断・報告会（オプション） | 再診断・報告会に対応（速報あり） | 速報・報告会（オプション） |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※本比較表は2026年11月時点の各社公式情報にもとづいて作成しています。診断対象・料金・対応範囲は変更される場合があるため、最新の情報は各社の公式サイトや見積りでご確認ください。
各サービスの詳細｜アプリ脆弱性診断サービス紹介
ここからは、各サービスの提供会社・診断対象・特徴を詳しく紹介します。比較表で気になったサービスの詳細を確認する際にご活用ください。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社が提供する、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。診断対象はソースコードや設計書、稼働中のWebアプリケーション・APIで、本番環境に影響を与えないソースコードAI診断から始められます。
メニューはソースコードのAI診断、Web・APIの動的診断、実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、必要な範囲を段階的に選べます。料金はソースコードのAI診断が15万円からで、プレスリリースでは診断開始から最短3営業日で報告書を納品するとしています。
2. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
Webアプリケーションからスマホアプリ（iOS・Android）、クラウドやネットワークまで、幅広い対象を専門の技術者が手動で診断します。提供元のGMOサイバーセキュリティ byイエラエ株式会社は、GMOインターネットグループに属するセキュリティ専業会社です。
脆弱性診断に加え、社内ネットワークやWebを対象としたペネトレーションテスト、組織全体を対象に実際の攻撃者と同じ条件で攻める「レッドチーム演習」まで用意しています。レッドチーム演習は、過去に診断やペネトレーションテストを実施し、社内のセキュリティ体制が整った組織向けと位置づけられています。
同社はISO/IEC 27001・ISO 27017などの認証を取得しており、公表している累計診断数は会社全体で16,000件を超えます。料金は診断内容に応じた個別見積りで、公式サイトから資料請求や問い合わせができます。
3. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
野村総合研究所を単一株主とするセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社のセキュリティ診断です。Webアプリケーション、プラットフォーム、スマートフォンアプリ、API、クラウド設定、ソースコードまで幅広い対象をカバーします。
診断はツール任せにせず、SANSの専門トレーニング修了者やCISSP・OSCPなどの国際資格を持つ専門家が手作業で実施します。Webアプリケーション診断では、手動のみの方式と、手作業を主体にツールを補助的に使う方式を選べます。
攻撃者視点で侵入を試みるペネトレーションテストやレッドチームオペレーションまで一貫して依頼できます。多くのメニューは個別見積りで、ペネトレーションテストは公式に800万円〜（税別）と示されています（これはペネトレーションテストの料金で、アプリやWebの脆弱性診断の基本料金とは別の目安です）。
4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックは、1995年から脆弱性診断サービスを提供してきたセキュリティ専業ベンダーです。Webアプリケーションやサーバ・ネットワーク機器、スマートフォンアプリ、クラウド・SaaSの設定など、幅広い対象を診断します。
脆弱性を網羅的に洗い出す脆弱性診断から、攻撃者視点で侵入後の影響範囲まで確認する情報システムペネトレーションテスト、攻防演習型のTLPTまで段階的に用意しています。情報システムペネトレーションテストは公式に700万〜1,000万円（税抜）、TLPTは1,000万円程度〜と示されています（これらはペネトレーションテスト・TLPTの料金で、アプリやWebの脆弱性診断の基本料金とは別の目安です）。
診断に加え、JSOC（セキュリティ監視）やサイバー救急センター（インシデント対応）を同じ会社で組み合わせられる点が特徴です。ISO/IEC 27001などを取得しており、報告書の提出と報告会に対応します。
5. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産が全額出資するセキュリティ専門企業、三井物産セキュアディレクション株式会社（MBSD）の脆弱性診断サービスです。2001年のWebアプリケーション診断から診断事業を始め、現在はネットワーク診断やスマートフォンアプリ診断（iOS／Android）まで提供しています。
診断は専門エンジニアによる手動診断を主体に、網羅性を担保するための独自ツールや商用ツールを組み合わせます。スマートフォンアプリ診断では、静的解析と動的解析を組み合わせ、エンジニアが手動で検査します。
脆弱性診断の実績は合計8,000件以上（2017年4月〜2024年3月の累計）で、うちスマートフォンアプリ診断は500件以上とされています。料金は診断範囲・対象に応じた個別見積りで、公式に価格の記載はありません。
6. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTグループでセキュリティ事業を担うエヌ・ティ・ティ・セキュリティ・ジャパン株式会社が、「セキュリティ診断・評価・調査」として提供する診断・アセスメント群です。親会社のNTTセキュリティホールディングスが100％出資しています。
Webアプリケーションとプラットフォームを対象に、専門家が複数のツールを組み合わせて網羅的に診断します。顧客自身が継続的に脆弱性を把握するためのセルフ診断（Qualys・Tenable）や、人・プロセス・技術の観点で攻撃耐性を評価するRedTeam／TLPTも同じカテゴリで選べます。
経済産業省の評価基準に基づくSCS評価制度アセスメントや、IoT・OT領域の診断にも対応します。ISMS認証を取得しており、料金は全メニューが要問い合わせで、公式サイトに価格の記載はありません。
7. Webアプリケーション診断（GMO Flatt Security株式会社）
GMO Flatt Security株式会社のWebアプリケーション診断は、専門のセキュリティエンジニアが網羅的に検査するサービスです。グレーボックスまたはブラックボックス形式で診断し、API、SPA、GraphQL、クラウド、LLM／生成AIなど対象ごとの個別メニューを用意しています。
標準プランには、ソースコードを部分的に確認するソースコード診断が追加料金なしで付きます。診断範囲はOWASP Top 10などの典型的な脆弱性に加え、アプリ固有のビジネスロジックの脆弱性まで含みます。
料金は脆弱性診断が100万円〜（税別）で、URLと認証情報の提出から最短7営業日で報告書を納品します。見積りは無料で、サンプル報告書も公開されています。経済産業省の情報セキュリティサービス基準に適合しています。
8. 脆弱性診断・ペネトレーションテスト（株式会社レイ・イージス・ジャパン）
台湾発のセキュリティベンダーRayAegisの日本法人、株式会社レイ・イージス・ジャパンが運営する診断サービスです。AI搭載の脆弱性探査ツールと診断エンジニアによる手動診断を組み合わせ、Webアプリケーション、プラットフォーム、モバイルアプリ（iOS／Android）、APIを対象とします。
診断項目はOWASP WSTG 4.2に基づき、ツールと手動を組み合わせるAIリモート脆弱性診断では最大105項目を検査します。モバイルアプリ診断は静的・動的解析をサーバーに影響を与えずに実施し、最短1日で診断できるとしています。
料金はFQDN単位の定額制で、画面数が多いサイトでも料金が増えない設計です。具体的な金額は改定されることがあるため、公式サイトで確認してください。
9. Aikido Security（株式会社AndGo）
ベルギーのAikido Security BVが開発するSaaSを、株式会社AndGoが日本窓口として提供する脆弱性診断ツールです。ソースコード、依存ライブラリ、クラウド設定、稼働中のWebアプリ（DAST）を1つの管理画面で検査し、人手の受託診断ではなく自動スキャンを継続的に回す形で利用します。
料金は販売窓口である株式会社AndGoの取扱ページ（2026-11-04時点）に参考価格として、Basicが年額3,780ドル、Proが年額7,560ドル（利用者10人まで・年間契約、消費税別）と記載があります。月額5万円台から利用でき、請求は為替を考慮した日本円で案内され、請求書払いにも対応します。
開発元はベルギーのスタートアップで製品とサポートは基本的に英語ですが、日本では株式会社AndGoが日本語での一次対応と導入・運用の伴走を担います。検出アラートの自動トリアージや、修正案をプルリクエストとして作成する機能、無料で試せるトライアル環境も用意されています。
10. AeyeScan（株式会社エーアイセキュリティラボ）
ブラウザからログインして対象URLを登録するだけで診断を始められる、クラウド型のWebアプリケーション脆弱性診断ツールです。開発・提供元は株式会社エーアイセキュリティラボで、専用サーバーの構築やソフトのインストールは必要ありません。
AIが利用者の操作に近い形でサイト内を自動巡回し、診断シナリオの生成や画面遷移図の作成までを自動で行います。ログイン後の画面やSPA、オプションのAPIスキャン、2026年9月提供開始のAndroidアプリ診断にも対応します。
料金はOne Shot（15日間・1サイト）とBusiness（1年間・サイト数無制限）のプランがあり、金額は用途やサイト数に応じた個別見積もりです（2サイトの無料トライアルあり）。公式サイトには有償契約500社以上の導入実績が記載されています（2026-10-09時点）。
11. Securify（株式会社スリーシェイク）
株式会社スリーシェイクが提供するクラウド型のサービスで、ASM（攻撃対象領域管理）と脆弱性診断を同じ基盤で扱える点が構成上の特徴です。中核のWebアプリケーション診断は、画面遷移の巡回・疑似攻撃の送信・応答の検証を自動で実行します。
診断の実施日時や頻度を指定するスケジュール実行に加え、2023年12月に追加されたAPI経由の診断実行機能により、CI/CDパイプラインへの組み込みにも対応します。ログイン後画面やSPA、OpenAPI定義に基づくREST APIを検査対象にできます。
料金は脆弱性診断のSTARTERが月額5万円（年間60万円・検査対象1 IP/FQDN・診断回数無制限）、BASICが月額10万円〜（年間120万円〜・3〜 IP/FQDN）です（公式料金ページ、2026-10-09時点）。最短即日で使える無料トライアルも用意されています。
12. VAddy（株式会社ビットフォレスト）
開発したアプリをCI/CDパイプラインに組み込んで繰り返しスキャンできる、クラウド型のWebアプリケーション脆弱性診断ツールです。開発・提供元は株式会社ビットフォレストで、利用者自身が診断対象を検査する自動ツール型のSaaSという位置づけです。
診断方式はDAST（動的テスト）で、WebAPI・コマンドラインツール・cronと組み合わせ、リリース前や夜間に自動診断を実行できます。スキャン回数は無制限で、ログイン必須アプリの認証付きスキャンやREST API（JSON形式）の検査にも対応します。
初期費用は0円で、月額料金はProfessionalが19,800円、Enterpriseが59,800円、Advancedが99,800円（いずれも税別・3FQDN、2026-10-09時点）。検査できる診断項目数はプランごとに5・11・18項目と分かれ、1週間の無料トライアルから試せます。
13. SCT SECURE クラウドスキャン（三和コムテック株式会社）
SCT SECURE クラウドスキャンは、Webサイトとネットワーク機器をインターネット経由で毎日自動診断するクラウド型のスキャンサービスです。2004年に旧称HACKERSAFEとして提供が始まり、提供元は三和コムテック株式会社で、ソフトのインストールやハードウェアの設置は不要です。
脆弱性の検知と優先順位付けを自動で行い、レポートはポータルから出力します。PCI DSSが定める外部脆弱性診断（ASV診断）と同じテスト内容を採用し、ASV資格を持つ診断エンジンを使用します。公式ページでは、幅や深さを要する検査は手動診断が上位にあたると説明しています。
料金は年単位の契約で、標準の3IP/FQDNまでは初年度年額564,000円（ライセンス504,000円＋初期設定60,000円）、2年目以降は504,000円です（税抜、公式製品ページ2026-10-15時点）。4IP/FQDN以降は1単位ごとにライセンス140,000円と追加設定20,000円が加算されます。
14. Vex（株式会社ユービーセキュア）
株式会社ユービーセキュアが提供するVexは、Webアプリケーションを主な対象とする脆弱性検査ツールです。DAST方式で対象URLに疑似攻撃リクエストを送ってレスポンスを解析し、ログイン後の画面を再現するシナリオスキャンやREST APIの診断にも対応します。
2026年4月に従来のVexとクラウド版VexCloudを「Vex」へ統合し、Vex Team・Vex Enterprise・Vex Auditorの3プラン構成に刷新しました。ツールの提供に加えて、同社はツールと診断士の手動診断を組み合わせる診断代行サービスも手がけています。レポートはOWASP TOP10・PCI DSS・ASVSに対応します。
ツールのライセンスは年間契約で、年額はVex Teamが66万円から、Vex Enterpriseが300万円から、Vex Auditorが400万円からです。14日間・機能制限なしの無料トライアルがあり、診断代行はWebアプリ5画面程度で425,000円（税込467,500円）からの個別見積もりとなります。
15. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
セキュリティ製品を提供するペンタセキュリティ株式会社が、Cloudbricブランドで提供するセキュリティ診断サービスです。技術者が手動で診断し、同社が独自に収集した脅威インテリジェンスに基づく項目で、Webサイトやシステムの既知・未知の脆弱性を検出します。
診断メニューはWebサイト・Webアプリケーション・API・プラットフォーム・スマートフォンアプリ・ペネトレーションテストの6種類で、メニューによっては自動スキャンツールも併用します。検出後は、クラウド型WAFなどを使った対策提案まで支援します。
診断の実施は株式会社ranryuに委託されており、Webアプリ・プラットフォーム・Webサイト・API・スマートフォンアプリの診断5種が、同社名義で情報セキュリティサービス基準適合サービスリストに登録されています（ペネトレーションテストは対象外）。料金は公式サイトに記載がなく、問い合わせベースでの見積もりとなります。
16. SQAT（エスキュート）（株式会社ブロードバンドセキュリティ）
SQAT®（エスキュート）は、2000年創業のセキュリティ専業企業である株式会社ブロードバンドセキュリティが展開する脆弱性診断ブランドです。手動診断と独自開発の自動診断を組み合わせて実施し、Webアプリケーション・ネットワーク・スマホアプリ・IoT・クラウド・ソースコードまで幅広い対象に対応します。
外部からのブラックボックステストと内部からのホワイトボックステストを併用するGlassBox診断や、報告書提出まで最短7営業日の短納期メニュー「SQAT with Swift Delivery」も用意しています。Swift Deliveryは優先度の高い箇所や指定箇所に範囲を絞って実施します。
延べ10,300組織・64,280システム超の診断実績（2025年6月時点）を公式サイトで公表しています。診断終了後3か月までの再診断と、その期間内の相談・質問受付に対応し、料金は診断対象に応じた個別見積もりとなります。
17. Webアプリケーション診断サービス（Sky株式会社）
SKYSEA Client Viewで知られるSky株式会社が、2022年に始めたセキュリティ診断ソリューションの一メニューとして提供するWebアプリケーション診断です。セキュリティエンジニアがリモートで診断し、SQLインジェクションやクロスサイトスクリプティングなどの脆弱性を横断的に検出します。
診断は162項目をベースに、外部から診断可能な項目を実施する形で行います。脆弱性はCRITICALからINFOまでの5段階に分類して報告し、高レベルの脆弱性を検出した場合はメールで速報します。開発者向けに、再現手法と対処方法のアドバイスを含むレポートを作成します。
診断開始から最短5〜6営業日程度で報告し、重要な箇所にはオプションでペネトレーションテストを併設できます。同ソリューションはスマートフォンアプリ・IoT・クラウドの診断も扱っており、対象資産を横断して発注できます。料金は要問い合わせです。
18. サイバー保険付き脆弱性診断サービス（NTTドコモソリューションズ株式会社）
ネットワーク・サーバ構成・Webアプリ・スマホアプリ・ペネトレーションテストの5つの診断メニューを備えた、NTTドコモソリューションズ株式会社（旧NTTコムウェア）のDSCBブランドの脆弱性診断サービスです。ツールと専門家による手動検査を併用して診断します。
Webアプリ診断には、ツールと手動を併用するスタンダード版と、ツール診断のみで短納期・低コストのライト版があります。IPA「ウェブ健康診断仕様」やOWASP ASVSに準拠し、情報処理安全確保支援士やCISSPなどの有資格者が診断にあたります。
全メニューの合計契約金額が税抜80万円以上の場合、支払限度額1,000万円のサイバー保険が無償で付帯します（保険単体での加入はできません）。ネットワーク診断とWebアプリ診断のスタンダード版は、報告書提出後3か月以内に最大3回まで無料で再診断を受けられます。料金は個別見積もりです。
19. Webアプリケーション診断（株式会社セキュアスカイ・テクノロジー）
Webアプリケーションに特化したセキュリティ事業を手がける株式会社セキュアスカイ・テクノロジーのWebアプリケーション診断です。自社開発のツール診断と手動診断を併用し、認証や承認などツールで検出しにくい脆弱性は手動で確認します。API診断にも対応します。
料金は税抜で明示されており、基本料金は10リクエストまたは5APIまでで40万円、追加診断は10リクエストまたは5APIごとに30万円です。報告会は1回15万円、実機手配費用は1アプリあたり15万円で、再診断（1案件1回）とQAサポートは無償で料金に含まれます。
診断は、ツール診断と手動診断の要否判断、ツール結果の誤検知除外、必要箇所への手動診断という段階で進めます。危険度Medium以上を都度速報し、報告書は診断最終日の5営業日後に提出します。QAサポートはメールに加え、SlackやMicrosoft Teamsでも受け付けます。
20. 脆弱性診断サービス（株式会社ベリサーブ）
ソフトウェアテスト・品質保証を事業の軸とする株式会社ベリサーブが、セキュリティ対策の一環として提供する脆弱性診断サービスです。Webアプリケーション・ネットワーク・スマートフォンアプリケーション・車載機器の4種の診断をそろえています。
スマートフォンアプリ診断はAndroid・iOSに対応し、実機を使った動的診断と診断ツールによる静的診断を併用します。ライトとフルの2プランがあり、通信・端末内データ・設計実装にわたる計14項目を、JSSECのセキュアコーディングガイドや総務省の指針を参照して診断します。
Webアプリケーション診断は、クロスサイトスクリプティングやSQLインジェクションなど13カテゴリを対象とし、IPAのチェック項目とOWASP Top 10を基準とします。報告書は検証結果サマリー・検出された脆弱性・再現手順・対処方法の4部構成で、修正後の確認にも対応します。料金は個別見積もりです。
21. SHIFT SECURITY ソースコード診断（株式会社SHIFT）
SHIFT SECURITY ソースコード診断は、株式会社SHIFTが提供する、プログラムのソースコードを静的に解析して脆弱性を検出する診断サービスです。提供主体だった株式会社SHIFT SECURITYは2026年9月に株式会社SHIFTへ吸収合併され、現在はSHIFT本体のセキュリティサービスの一つとして案内されています。
診断は、対象アプリの規模や公開範囲に応じてBronze・Silver・Gold・Platinumの4プランに分かれます。対応言語はプランごとに異なり、PHP・Javaを基本に、上位プランでは22言語・28言語まで広がります。最上位のPlatinumでは、静的解析に加えて専門家による目視解析や構成解析を組み合わせます。
料金は公開されておらず、診断対象の規模をもとにした個別見積りです。Goldプランはアプリの規模に合わせて見積もる方式が案内されています。合併前後で診断手法や対応言語に関する変更は公表されていませんが、最新の仕様は見積り時に確認するとよいでしょう。
22. セキュアブレイン ソースコード診断（株式会社日立システムズ）
セキュアブレイン ソースコード診断は、ITインフラ診断・Webアプリケーション診断と並ぶ、株式会社日立システムズの「セキュリティ診断サービス」の一メニューです。旧・株式会社セキュアブレインが2024年4月に日立システムズへ吸収合併された後も、セキュアブレインブランドのサービスとして提供されています。
開発中・稼働中のソースコードを静的に解析する方式で、Webサーバーの環境を用意せず、ソースコードを提供するだけで診断でき、稼働中システムに影響を与えません。ツールによる自動解析の結果をアナリストが手動で精査し、誤検知を除いた報告書にまとめます。
検出対象はSQLインジェクションやクロスサイトスクリプティング、コードに埋め込まれた機密情報など9種類で、Java・C#・Python・PHPなど約20種類の言語に対応します。脆弱性はファイル名・行番号単位で報告されるため、修正箇所を特定しやすい点が特徴です。料金はソースコードのステップ数に応じた個別見積りです。
23. ソースコード診断（株式会社レオンテクノロジー）
株式会社レオンテクノロジーのソースコード診断は、診断士がソースコードを読み解くホワイトボックス型の診断サービスです。診断ツールによる検出と診断士の目視チェックを組み合わせ、自動検出の結果を一つずつ確認して誤検知を取り除く運用をとります。
診断を担当するのは自社に所属する診断士のみで、外部委託を使わない体制を掲げています。Java・C/C++・PHP・Rubyなど多くの言語とフレームワークに対応し、インジェクションや認証・認可、セッション管理、情報漏えいなど8つのカテゴリの観点で脆弱性を検出します。開発工程の途中段階でも部分的に診断できます。
診断終了後は目安として約5営業日以内に報告書を提供し、重大な脆弱性を見つけた場合は速報で通知します。経済産業省の情報セキュリティサービス基準に基づく適合リストに、ソースコード診断を含む脆弱性診断サービスとして登録されています（登録番号019-0024-20）。料金は診断範囲に応じた個別見積りで、公式には公開されていません。
24. KSK Verification ソースコード診断（株式会社KSK）
KSK Verification ソースコード診断は、ソフトウェアテスト事業を手がける株式会社KSKのセキュリティ対策サービスの一つで、ソースコードに潜む脆弱性を検出します。同社のソフトウェアテストソリューションの中で、Webアプリケーション診断と対をなす静的診断にあたります。
診断員がソースコードを目視で確認して脆弱性を検出する方式で、Java・PHPといった言語とSpring Framework・Laravelなどのフレームワークに対応します。脆弱性に加えて、非推奨APIの利用や未使用関数といったコード品質の観点も評価する点が特徴です。危険度の高い脆弱性が見つかった場合の速報や、結果報告会をオプションで用意しています。
同じ窓口でWebアプリケーション診断（動的診断）も依頼でき、静的診断と動的診断を組み合わせて検査できます。運営元の株式会社KSKは、プライバシーマークやISO/IEC 27001などの認証を取得しています。料金は実ステップ数や対応言語をもとにした見積り制で、公式には公開されていません。
まとめ
アプリ脆弱性診断は、診断対象（Webアプリ・スマホアプリ・API・ソースコード）と手法（ツール診断・手動診断・ハイブリッド）の組み合わせで、費用も精度も変わります。まずは自社のアプリで守りたい対象と、リリース前か継続運用かという場面を整理し、そのうえで手法のタイプと、料金・期間・再診断・実績の観点で候補を比べると、自社に合う依頼先を選びやすくなります。
スマホアプリの診断では、OWASP Mobile Top 10やJSSECのガイドが示すモバイル特有の項目まで対応しているかが一つの目安になります。本記事の比較表と選定診断ツールを使って、自社の規模とリスクに見合うサービスの資料をまとめて取り寄せ、比較検討を進めてください。
アプリだけでなく、サーバーやネットワーク、クラウドまで含めた脆弱性診断全般で依頼先を比べたい場合は、対象を限定しない以下の比較記事もご参照ください。
一括ダウンロードする
よくある質問（FAQ）
Q. アプリ脆弱性診断とは何ですか？
A. アプリ脆弱性診断とは、Webアプリやスマホアプリ、それらが連携するAPIやソースコードに、攻撃につながる弱点がないかを専門的に検査することです。擬似的な攻撃リクエストを送ったり、アプリの挙動や通信を観察したり、ソースコードを読み解いたりして、認証・通信・データ保存などに潜む問題を洗い出します。
開発段階で作り込まれた弱点は外からは見えにくいため、リリース前や改修のたびに第三者の視点で診断する意義があります。
Q. アプリ脆弱性診断の費用相場はどのくらいですか？
A. アプリ脆弱性診断の費用は、診断対象・範囲・手法・再診断の有無によって変わり、一律の相場を示すのは難しいのが実情です。おおまかな目安として、ツール型の自動診断は月額数万円程度から、専門家による手動診断はアプリ1本あたり数十万円からが一般的です。
WebアプリとスマホアプリをあわせてOWASP基準で網羅的に手動診断する場合は、数百万円規模になることもあります。正確な金額は範囲によって大きく変わるため、各社の見積もりで確認してください。
Q. アプリ脆弱性診断はiOSとAndroidの両方に対応していますか？
A. アプリ脆弱性診断がiOS・Androidの両方に対応するかは、サービスによって異なるため、スマホアプリ診断の対応OSを個別に確認する必要があります。本記事で紹介したサービスの多くはiOS・Androidの両方に対応していますが、なかにはWebアプリ診断が中心でモバイル本体の診断を扱わないサービスもあります。自社アプリがどのOS向けかを先に決め、対応範囲を照合すると取り違えを防げます。
Q. アプリ脆弱性診断はアプリストアへの申請前に必要ですか？
A. アプリ脆弱性診断は、新規アプリのリリース前やストアへの申請前に、全体を一度しっかり実施しておくことが望ましいとされています。公開後に脆弱性が見つかると、修正版の再申請や利用者への対応に余分な時間がかかるためです。個人情報や決済情報を扱う画面・機能は優先的に診断対象へ含め、公開後も機能追加や大きな改修のたびに影響範囲を診断すると、リスクを抑えやすくなります。
Q. アプリ脆弱性診断はツール診断と手動診断のどちらを選べばよいですか？
A. アプリ脆弱性診断では、重要なアプリの総点検は手動診断、継続的な改修のたびのチェックはツール診断、という使い分けが基本です。ツール診断は短期間・低コストで広い範囲を検査でき繰り返し回しやすい一方、複雑な業務ロジックの悪用など文脈を要する問題は取りこぼしやすくなります。
手動診断は診断員が深く検査し対策助言まで受けられる反面、費用と期間は大きくなります。両者を併用して網羅性と精度を両立させるハイブリッド型のサービスもあります。
Q. アプリ脆弱性診断にかかる期間はどのくらいですか？
A. アプリ脆弱性診断にかかる期間は手法によって幅があり、ツール診断なら数日、手動診断では2〜4週間程度を見込むケースが一般的です。診断範囲が広いほど期間は延びます。短納期メニューを用意し、報告書を最短数営業日で納品するサービスもあるため、リリースや申請のスケジュールが決まっている場合は、事前に希望の納期を伝えて調整するとよいでしょう。
Q. アプリ脆弱性診断では対策後の再診断を受けられますか？
A. アプリ脆弱性診断では、検出された脆弱性を修正したあとに、正しく対処できているかを確かめる再診断に対応するサービスが多くあります。診断は一度で終わりではなく、報告書をもとに改修し、再診断するまでが一連の流れになるためです。再診断が無償か有償か、対応できる期間や回数はサービスごとに条件が異なるため、依頼前に確認しておくと安心です。
Q. アプリ脆弱性診断はどのくらいの頻度で実施すればよいですか？
A. アプリ脆弱性診断の頻度は、リリース前や大きな改修のたびに実施するのに加え、変更の少ないアプリでも年1回程度を目安に見直すのが一般的です。リスクの高いアプリや更新の多いサービスほど、短い間隔での診断が望まれます。取引先や監査、認証取得の要件で診断のエビデンスを求められる場合は、その頻度要件も踏まえて計画するとよいでしょう。
Q. アプリ脆弱性診断がOWASPやJSSECに準拠しているとはどういう意味ですか？
A. アプリ脆弱性診断がOWASPやJSSECに準拠しているとは、これらの団体が公開する脆弱性の指標やガイドを、検査項目の土台にしているという意味です。
Webアプリでは代表的な脆弱性をまとめたOWASP Top 10、スマホアプリではモバイル特有のリスクを示すOWASP Mobile Top 10や、日本スマートフォンセキュリティ協会（JSSEC）のセキュアコーディングガイドが広く参照されています。
こうした基準に沿った診断項目を公開しているかは、診断の網羅性を判断する手がかりになります。
アプリ脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、スマホアプリやWebアプリの脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象や手法、料金の目安をまとめて比較し、自社に合う依頼先を効率よく絞り込めます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
