セキュリティ被害はあなたの半径1m以内でも起きる 第16回

あなたのAndroid、やっかいなものに“感染”していないか？

　Photo by Scott Akerman

　乾燥しがちな冬、風邪やインフルエンザに気をつけたいところ。さらに言うなら、手持ちのAndroid端末にも注意してほしい。やっかいなものに“感染”していないだろうか？

　2016年11月、マルウェア「Gooligan」により、100万以上のGoogleアカウントが不正アクセスの被害に遭っていると伝えられた。

　Gooliganは、Android 5やAndroid 4.1～4.3、Android 4.4に存在する脆弱性を利用し、感染した端末のroot権限を取得、認証トークンを盗み出す機能をもつ。これにより攻撃者がGoogleアカウントに不正アクセスし、Google Play、Gmail、Googleドライブなどからデータを盗み出すことが可能になってしまう。

　また、Gooliganを利用して、Google Playからのアプリを不正にインストールし収益を得るためにレビュー評価を水増しする行為や、アドウェアの不正インストールなども行われているという。

　主な感染経路は、Google PlayではないサードパーティーのAndroidアプリストアやウェブサイト。ここから、ユーザーがGooliganのコードを仕込まれたアプリをダウンロードしてインストールしてしまうケースが多い。

　非公式のアプリストアやウェブサイトには、悪意あるアプリがひそんでいる可能性が高い。さらに、2つ以上のアプリが連携して不正な動きを実行する「モバイルアプリの共謀」というパターンもある。

　多くのモバイル用アプリはアップデートが行われていない。それらのアプリの古い機能やセキュリティー上の脆弱性を突けば、健全なアプリを悪用して、スマートフォンユーザーに攻撃をしかけることができるのだ。

　では、その対策はどうすればよいのか？ McAfee Blogの「モバイルアプリを常にアップデートもしくは削除すべき理由」を読み、セキュリティーへの意識を高めてほしい。

モバイルアプリを常にアップデートもしくは削除すべき理由

　もし皆さんが私と同じようなタイプの人間であれば、お持ちのスマートフォンに使用したことのないアプリが山ほどインストールされていると思います。これらの不要なアプリは、スマートフォン内の片隅にひっそりとたたずんでただ容量を占拠しているだけです。一般的にアプリのアップデートは忘れがちな傾向がありますが、この傾向と不要アプリの存在が合わさると、予想以上に危険を生じさせてしまうのです。

　2016年6月のMcAfee Labs脅威レポート（PDF）に、不要アプリや古いバージョンのアプリが引き起こし得る潜在的な脅威についての報告があります。インテル セキュリティの研究チームによれば、2つ以上のアプリが連携して下記のような不正な動きを実行する「モバイルアプリの共謀」というトレンドが、ここ最近広がりを見せています。

• スマートフォンからの個人情報の窃取
• 個人や仕事のメール、メモや他のファイルの不正閲覧
• スマートフォンの所有者になりすまし、テキストメッセージを送信
• 知らない間にウイルス感染
• アカウントの不正利用で金融取引を実行

　McAfee Labsでは、モバイル向けのビデオストリーミングアプリ、健康管理アプリ、旅行計画アプリのような便利なサービスを提供する21種類5000バージョン以上のアプリで不正な動きを確認しています。多くのモバイル用アプリはアップデートが行われていないため、犯罪者たちが古い機能やセキュリティー上の脆弱性を突き、健全なアプリを悪用してスマートフォンユーザーに攻撃を仕掛けてくるのです。

自分に正直になること：全てのアプリを使いこなすことは不可能

　便利そうなアプリなら何でもインストールしておきたいと思うのは、当然のことです。様々なアプリを連携させて使えば便利ですし、逆にアプリの利便性を損なうような制限は課されたくありません。Facebookアカウントを用いて出会い系サービスに登録できるのは、とても便利です。PayPalやVenmoを使えば、Amazonで食料品を購入することができます。私たちは必要な人や場所、商品をすぐに見つけたい、手に入れたいと思っています。何の不便もなく、すぐにそうしたいと考えるものなのです。

　そのため、みなさんのスマートフォンで使われているモバイル用のOS（オペレーティングシステム）は、アプリ同士が通信しやすいようにできています。それにより、より利便性を向上させているのです。

　サイバー犯罪者は、私たちのような一般のスマートフォンユーザーの動向、そしてスマートフォンに備わっているOSの特徴に精通しています。本物のように見えて便利そうなアプリを作り上げることができれば、モバイルセキュリティーの保護機能をすり抜けることが可能であることを知っているのです。

　このような悪意のあるアプリがみなさんのスマートフォンにインストールされてしまったら、他の正規のアプリが持っている連携機能を介して、端末から情報を抜き取ることができてしまうのです。例えば、よくあるアプリ連携の例を挙げると、モバイル用のゲームはFacebookの連携機能を用いて、友達とのスコア競争を可能にしています。悪意のあるアプリが正規のアプリを装い、このようなFacebookの連携機能を悪用する可能性が考えられます。ゲーム上で友達への挑戦を促しているように見せかけて、実際はフィッシング詐欺のために友達やその家族の個人情報を抜き取ろうとしているのかもしれません。これはモバイルアプリの共謀を示す極めて一般的な例ですが、悪意を持ったサイバー犯罪者は、この機能を用いてあらゆる不正を行うことができるのです。

　幸運なことに、モバイルアプリの共謀から自分自身を守る、いくつかの安全策があります。

・スマートフォンアプリのアップデートを適宜実行する
　新たな脅威を作り上げるという面においては、サイバー犯罪者集団は、常に私たちの一歩先を進んでいます。でも同じように、スマートフォンや他のテクノロジーをより安全にするために、多くの取り組みが行われています。スマートフォンのOSやお気に入りのアプリを定期的にアップデートしないと、これらのアップデートから享受できるメリットを見逃してしまうことになります。アプリを定期的に確認する習慣を身に付け、確実にアップデートを行うようにしましょう。

・実際には使わない古いアプリをアンインストールする
　2年前の旅行で使ったワイン生産国の地図アプリ、前回のオリンピックを視聴したときの動画ストリーミングアプリ、外国にいる相手ばかりを紹介してくる出会い系アプリや、2009年に2晩使ってから眠ったままの睡眠サイクル解析アプリなど、これらのアプリを削除してしまうのは気が引けるかもしれません。でも、それは間違っています。不要になったアプリや使っていないアプリは、大抵定期的にアップデートを行わないものです。使わないなら、アンインストールしましょう。

・信頼できる提供元からのみアプリをダウンロードする
　スマートフォンベンダーのアプリストアや信頼できるサイトからのみアプリをダウンロードすることが、悪意のある偽装アプリを回避する最良の方法となります。サイトの信頼性を気にせずアプリを無作為にダウンロードしてしまうと、スマートフォンを不正アクセスの危険にさらしてしまうことになります。

・常にモバイル用セキュリティー保護を利用する
　スマートフォンベンダーやスマートフォンキャリア、サードパーティのセキュリティーベンダーが提供している一般的なモバイル用セキュリティー保護を利用し、定期的にアップデートをしておく必要があります。そうすれば、インターネット上でも最新の既知または未知の脅威を見つけ出すことが可能となります。

　悪意のあるアプリが正規のアプリを装っていると考えると、とても不安になります。でも、適切な対応を取れば、自分自身を守ることができます。モバイルアプリに対して抱く私たちの不合理な欲は、今後も変わることはないでしょう。でもスマートフォンの機能やソフトウェアの提供元、アップデート頻度については、合理的な常識によって判断を下すことができるのです。

■関連サイト

• McAfee Blogのエントリー
• McAfee