SPECIAL CONTENTS

特集 | ビジネスやITの最新動向/技術についてセキュリティ観点からレポート

Androidの8年と不正アプリ

この記事をシェア

Androidスマートフォンが登場してから8年が過ぎた。瞬く間に市場を席巻したが、同時に、サイバー攻撃の標的としても注目を浴びてきた。Google Playにも不正アプリが混入する昨今、一人ひとりのユーザーに細心の注意が求められている。あらためてここでセキュリティのチェックポイントをお伝えする。

この記事は、ESETが運営するマルウェアやセキュリティに関する情報サイト「Welivesecurity」の記事を翻訳したものである。

Androidの8年と不正アプリ

Androidは8年で世界中に普及した。ユーザーの間でも、攻撃者の間でも――。

Androidプロジェクトが公式にリリースされ、一般に提供されるようになってから8年がたった。正確には2008年9月23日のことだ。短期間にGoogleのプラットフォームはモバイルの世界を圧倒したのである。

ガートナー社の統計によれば、Androidは今や世界のスマートフォン市場の85%を占めており、タブレット市場において最大のプレーヤーである。しかし、絶大なシェアを持つことは危険をもはらむ。このOSはサイバー侵略者にとって非常に魅力的なものとなってしまっているのだ。彼らは黙って指をくわえていたりはしない。

それどころか彼らは、まだ見ぬ脆弱性を探し出すべく絶え間なき探求を続け、その数を増やし続けている、被害者となるであろう人々を攻撃するための新たなテクニックを見つけ出している。その重要な事例が、ある「ハッキング・カンファレンス」(DEF CON 24)で議題に上がったことがある。

ホワイトハット側のセキュリティ研究者たちは、4件のAndroidの脆弱性を見つけ出したと発表し、それらをまとめて「クアッドルーター」(QuadRooter)と名付けた。報告によると、この4つの全てがサイバー犯罪者によって悪用可能であり、米国半導体会社クアルコム(Qualcomm)のチップセットが組み込まれたスマートフォンやタブレットにアクセスすることを可能としてしまうという。そのデバイスの数は約9億台に及ぶ。

まず、サイバー犯罪者はこの状況を悪用し、セキュリティの欠陥を修正すると銘打った偽アプリをユーザーに提供してわなにはめようとしている。残念ながらそういったアプリはセキュリティの修復など実際には行わない。逆に、この手のプログラムはユーザーに広告を送り付けたり、何もしていないのにユーザーから金銭を巻き上げたりする。しかし、こういった詐欺は何も目新しいものではない。

2016年9月、自動スキャン機能「Google Bouncer」とスタッフの目視によるチェックで不正なコンテンツをブロックしようと目を光らせていたにもかかわらず、人気ゲーム「ポケモンGO」をまねた偽のアプリが幾つか、Google Playに登場した。メディアにたき付けられゲームに群がるフリークたちの間に、スケアウェアや広告などがまき散らされた。中には標的となったデバイスをフリーズさせてしまうものもあった。そうなるとユーザーは、バッテリーを取り外してスマートフォンを再起動させることを強いられることになる。

ソーシャルエンジニアリングとフィッシングもまた、Androidユーザーを標的にするときに使われる常とう手法である。2016年の初め、公式マーケット上でインスタグラム(Instagram)を装った偽アプリが、潜んでいたダウンローダーにフォロワーを獲得するルートを提供してしまうという事態が生じた。実際には、ユーザーのソーシャルメディアのアカウントに含まれる重要な情報が抜き取られ、売りさばかれていたのである。

統計データを幾つか見てみると、7カ月の間(2015年8月から2016年2月)に攻撃者たちは340を超える不正な「ポルノクリッカー」をGoogle Playに送り込んでおり、それぞれの偽アプリがダウンロードされた数は1本につき平均3,600件に上る。150万のアプリが公式ストアに上げられていることを考えると、この数字は実際には正確な数よりもだいぶ少ないことになるかもしれない。

こういった事例全てに共通しているのは、サイバー犯罪者ができる限り多くの被害者を引き付けるために、人気アプリをコピーしようとしている、ということである。もしマルウェアが発見されなければ、彼らは若干の改変をしてアプリをリニューアルし、再び成功するかどうかを試してみるだろう。このテクニックをもってすれば、犯罪者は不正なプログラムをデザインし直すのに払うほんの少しの労力で、多大な数のユーザーに繰り返し被害をもたらすことができるのである。

ほかの数ある非公式のマーケットでは、状況はさらに芳しくない。一層質の悪いマルウェアが見つかっている。パソコンを標的としたサイバー犯罪の中でも特に隆盛を誇っているランサムウェアが、すでにスマートフォンにも攻撃を行っているのである。ESETはそのうちの主なものとして「ロックスクリーン」と「クリプト・ランサムウェア」をすでに発見している。

さて、Androidの8年で得た教訓は何だったのだろうか。プラットフォームを利用するユーザーの規模が増せば増すほど、より一層サイバー犯罪者たちの標的とされるということではないだろうか。だから、首尾よく事を進めてくれるだろうと期待して、プラットフォームの安全性を提供側にのみ任せておくだけは十分ではない。むしろユーザーは自ら先んじて、不必要なトラブルに巻き込まれないよう、以下に挙げる若干の基本的な原則にのっとって行動すべきだろう。

  • 何よりもまず、自分のデバイスのアップデートを怠らないこと。自動的にパッチを適用し、アップデートするよう設定しておくのが理想的だ。そうすれば周りにセキュリティに詳しい人がいなくても、十分に守られていることになるだろう。
  • 可能なら、Google Playやほかの信頼できるアプリストアをできるだけ利用すること。こういったマーケットも不正なアプリを完全に排除できていないかもしれない。だが、それを避けるための最低限の保証はあるのではないだろうか。
  • どのようなアプリであれ、それをインストールする前にそのレーティングとレビューはチェックすること。特に否定的な意見は参考にすること。そういう意見はたいてい、ごく普通のユーザーから寄せられているものである。逆に肯定的なフィードバックは攻撃者が捏造したものであることもある。
  • そのアプリからの許可のリクエストに注意すること。もしアプリの機能からみてそのリクエストが不適切なものであれば、そのアプリのダウンロードは中止すること。
  • 自分のデバイスを守るために定評のあるモバイル対応のウイルス対策ソフトを使用すること。
この記事をシェア

スマートフォンのセキュリティ対策に

マルウェア情報局の
最新情報をチェック!