普通のアプリがハッカーに改ざんされた
我々が日常的に使うスマートフォン。SNS、カメラ、ゲーム、スケジュール管理……さまざまなアプリをダウンロードし、日頃から使っているはずだ。当然、それを狙ったサイバー犯罪も多い。
危険なアプリをダウンロードしないためには、公式のアプリストアを利用する（非公式のアプリマーケットは利用を控える）のが重要。不自然なアプリの名称、詳しくないアプリの説明、ユーザーレビューがない……など、疑わしく感じたならダウンロードを控えたほうがよい。
また、無料アプリには、内容とは別に、大量のダウンロードの実績がある場合も多い。アプリをダウンロードするまえに、しっかりレビューを確認しておこう。無料トライアルでインストールすることにした場合でも、試用期間が終了すると高額な請求をしてくるものもあるので、説明をよく読んでおきたい。
以上の点を踏まえれば、やっかいなアプリをダウンロードしてしまう可能性は低くなるはず。ところが、無害だったアプリが、不正に改ざんされてしまうケースもある。
その例として、基本的なQRコードリーダーとバーコードジェネレーター機能をそなえたAndroidアプリ「Barcode Scanner」がある。ダウンロード数は、1000万を超えるアプリだった。
以前は無害だったが、アップデートの前にハッカーが悪意のあるコードをアプリに挿入し、Androidデバイスにマルウェアを仕組めるようにされてしまった。
悪意のあるコードで改ざんされたBarcode Scannerがインストールされると、マルウェアがデフォルトのブラウザーを乗っ取り、ランダムな広告を表示させる。そこで偽のアップデート告知やアプリなどを紹介し、疑いを持たないユーザーがタップすることをねらっている。
悪意のある広告が表示する種類によっては、ハッカーがデータを盗んだり、情報を暗号化または削除したり、コンピューターの機能を乗っ取ったりする可能性がある。
Googleはストアからこのアプリを削除したものの、感染したデバイスからは削除されていない。アプリがインストールされている場合は、デバイスから手動で、できるだけ早くアンインストールする必要がある。
アプリをダウンロードするときは注意深く
改ざんされたアプリが出回る可能性があるという問題に対して、消費者はどのような手が打てるだろうか。
まず、メーカーや開発者は、セキュリティーの問題を特定し、それに対処するために取り組んでいるもの。OSとアプリを頻繁に更新して、最新の修正とセキュリティー保護を適用することが大切だ。
また、人気ゲームが出ればニセモノが、ウイルスなどが出回れば「対策」をうたうアプリが出るケースも多い。話題になっているアプリの“ニセモノ”が存在するリスクも認識する必要がある。前述したように、疑わしく感じたならダウンロードを控えるのが鉄則だ。
また、疑わしいアプリを見つけたら、公式の情報をチェックしてみるのも手だ。「有名なアプリがスマホに移植された」という場合、モバイル版へのリンクが用意されていたり、対応している端末について紹介していたりするはず。ダウンロードするのはそれからでも遅くない。
細かいところでいえば、アプリがリクエストするパーミッションが、そのアプリの機能と関係があるかは気にしておくとよいだろう。たとえば、デバイス管理者の権限が要求されたとき。この権限は、セキュリティ製品や、メールクライアントなどで使用されるべきものであり、通常のアプリやゲームではなかなか使用されないからだ。
もちろん、スマートフォンやタブレットには、信頼のおけるセキュリティソフトをインストールしておくことは基本中の基本といえる。そのうえで、アプリをダウンロードするときは注意深くしなければならない。そして、ダウンロードしたあとも、アップデートを忘れないように。
今回は、McAfee Blogの「Android用バーコードスキャンアプリが悪用され数百万台のスマホが感染の恐れ」を紹介しよう。（せきゅラボ）
※以下はMcAfee Blogからの転載となります。
Android用バーコードスキャンアプリが悪用され
数百万台のスマホが感染の恐れ：McAfee Blog
今では、私たちの多くは、電話無しではどこにも行けないことに気づいています。地図、スケジュール、ショッピング、割引や銀行など、日常生活を送るのに役立つユーティリティとして、手放せなくなっています。スマートフォンへの依存度が高まるにつれ、ハッカーが注目しているのも不思議ではありません。今回は、アプリが不正に使用された最近のケースについてお伝えします。
無実のスキャナーがマルウェアの超感染拡大の元に
ダウンロード数が1000万を超える Barcode Scanner（バーコードスキャナー）アプリは、購入や割引の利用などに役立つ、基本的なQRコードリーダーとバーコードジェネレーターをユーザーに提供する簡単なアプリケーションでした。しかしおそらく最近のアップデートで、アプリは広告を生成するマルウェアをユーザーの電話に配信し始めました。マルウェアはAndroidバーコードスキャナーアプリにまでさかのぼります。Barcode Scannerは以前は無害でしたが、最新のアップデートの前にハッカーが悪意のあるコードをアプリに挿入し、Androidデバイスにマルウェアをプッシュしたと考えられています。インストールされると、マルウェアはデフォルトのブラウザーを乗っ取り、ランダムな広告にリダイレクトします。
マルバタイジングや悪意のある広告の典型的なケースでは、詐欺師は感染したグラフィック広告やテキスト広告を合法的な広告ネットワークに送信します。これにより、有害な広告と信頼できる広告を区別できないことがよくあります。これらの悪意のある広告は、日常のポップアップを装って、偽のブラウザーアップデート、無料のユーティリティー、またはウイルス対策プログラムをプッシュし、疑いを持たないユーザーがクリックすることを期待しています。悪意のある広告がダウンロードに成功するプログラムの種類によっては、バーコードスキャナーのマルウェアの場合と同様に、ハッカーがデータを盗んだり、情報を暗号化または削除したり、コンピューターの機能を乗っ取ったりする可能性があります。
Googleはストアからバーコードスキャナーを削除しましたが、感染したデバイスからは削除されていません。したがって、携帯電話にアプリがある場合は、デバイスから手動で、できるだけ早くアンインストールする必要があります。
保護を維持する方法
ハッカーが私たちが最もよく使用するデバイスであるスマートフォンを介して私たちを標的にし続けているため、私たち全員がデジタルヘルスの状態について熟考する必要があります。データ、家族、友人を保護するために、これらのセキュリティー戦術を確認し、卑劣なモバイルの脅威を防ぐためのヒントをお伝えします。
1. 出所や開発者（企業）を調査
一部の悪意のあるアプリはアプリストアのスクリーニングプロセスを通過しますが、多くの攻撃のダウンロードは、公式のソース以外のソーシャルメディア、偽の広告、およびその他の非公式のアプリソースから発生しています。アプリをデバイスにダウンロードする前に、出所と開発者について簡単にでも調べるようにしましょう。
2. 批判的な目でアプリのレビューを確認
レビューとランキングは、アプリが正当であるかどうかを判断するための適切な方法です。ただし、これは不正なレビューの兆候である可能性があるため、反復的または単純なフレーズを再利用する評価には注意してください。
3. 更新、更新、更新
開発者は、セキュリティーの問題を特定して対処するために積極的に取り組んでいます。オペレーティングシステムとアプリを頻繁に更新して、最新の修正とセキュリティー保護を適用します。
4. VPNを使用
仮想プライベートネットワーク（VPN）を使用すると、パブリックネットワークを介してデータを送受信できますが、情報が暗号化されるため、他のユーザーが情報を読み取ることはできません。これにより、ハッカーがインターネットアクティビティーをスパイするのを防ぎ、プライバシーを保護できます。
5. セキュリティーソフトウェアでデバイスを保護
すべてのデバイスにわたる包括的なセキュリティーソリューションは、マルウェアなどのオンラインの脅威からデータとプライバシーを保護するための強力な防御手段であり続けます。
最新情報を入手
日々のニュースからの情報収集は重要です。またデジタルの安全性を維持するための情報やマカフィー製品に関する最新情報、および最新の消費者向けおよびモバイルセキュリティーの脅威に関する最新情報を入手するには、Twitterで@McAfee_Home（US）または@McAfee_JP_Sec（日本）をフォローし、ポッドキャストHackableをお聞きください。
※ 米国本社、その他地域に関する情報の投稿についても、共通する部分も多いため、公開しております。
※本ページの内容は2021年2月17日（US時間）更新の以下のMcAfee Blogの内容です。
原文：Millions Affected by Malware Attributed to Android Barcode-Scanning App
著者：Pravat Lall
※本記事はアスキーとマカフィーのコラボレーションサイト「せきゅラボ」への掲載用に過去のMcAfee Blogの人気エントリーを編集して紹介する記事です。
■関連サイト
