この頃、セキュリティ界隈で

あの手この手でGoogle公式ストアに紛れ込む不正アプリ　だまされないための対策は？

公開 2019年09月02日 07時14分

更新 2019年09月02日 07時12分

[ITmedia]

印刷する連載新着通知を受け取る

　Androidを狙う不正アプリがGoogleの審査をすり抜けて、公式アプリストア「Google Play」に紛れ込む例が後を絶たない。Googleは技術やシステムの改善を図るなどして対策を強化しているが、不正アプリも手口を変え、姿を変えて侵入を試み続ける。

　最初は問題なかったのに、アップデートによって悪質化してしまったというアプリも報告された。1億回以上もダウンロードされていたPDF作成ツールの「CamScanner」。セキュリティ企業Kaspersky Labによると、レビューを通じてユーザーから不審な挙動が報告されるようになったため、最近のバージョンを調べたところ、広告ライブラリに不正なモジュールが仕込まれているのが見つかった。

Kaspersky Lab

　CamScannerは指摘を受けて、Android版のCamScannerバージョン5.11.7で導入されたサードパーティーの広告SDKに、悪質なモジュールが含まれていたことを確認した。規定違反のSDKは全て削除したと説明している。

　その数日前には別のセキュリティ企業ESETが、やはりGoogle Playで提供されていた音楽アプリから、既知のオープンソースマルウェアが見つかったと伝えていた。ユーザーの個人情報を盗むマルウェアとして知られる「AhMyth」が、ストリーミングラジオアプリ「Radio Balouch」に仕込まれて、2度にわたってGoogle Playに紛れ込んだという。

ESET

　こちらはかなりマイナーなアプリだったらしく、ダウンロード件数は100回程度にとどまったものの、AhMythの悪質な機能は隠されていないので、簡単に見分けがついたはずだとESETは主張する。

　こうした報告はごく一例にすぎない。マルウェア対策アプリを提供するセキュリティ企業各社は以前から競うように、Google Playで不正アプリを見つけたと発表してきた。

　とはいってもAndroidアプリはやはり、Google Playから入手するのが一番安全なことに変わりはない。メールやSMSの通知、SNSの投稿などからインストールするのは危険が大きすぎる。Googleもこのほど対策強化の一環として、アプリの脆弱性情報に報酬を支払うプログラム「Google Play Security Reward Program」（GPSRP）を拡大し、1億回以上ダウンロードされているアプリを全て対象にすると発表した。

　ユーザー側にも慎重な姿勢が求められる。不正なアプリを見抜くためにセキュリティ各社が奨励しているのは、アプリ開発元の情報を確認することや、Google Playのレビューの内容をチェックすること（星の数が多いから安全とは限らない）、そして、マルウェアを見つけてくれるセキュリティアプリをインストールすること。

　ただし、セキュリティ対策をうたったアプリの中にも怪しいアプリは存在する。ESETは昨年10月、35種類の偽装ウイルス対策アプリをGoogle Playで発見したと報告した。いずれも不要な広告と効果のない疑似セキュリティが提供されるだけのアプリだったという。

　こうしたアプリにだまされず、評判の良いウイルス対策アプリを探すためには、信頼のある第三者テスト機関によるテスト結果が参考になるとESETはアドバイスしている。

この連載新着通知をメールで受け取る

印刷する