健康アプリかと思ったら「未完成の不正アプリ」だった!?
30秒でわかる記事まとめ
- 基本的にスマートフォンのアプリは、公式のGoogle Play ストアまたはApp Store以外からも購入・ダウンロードできて便利だが、メリットばかりではない。
- 健康アプリに見せかけてSMSを盗み取る機能を持つアプリが独自ストアで発見された。調査を進めるとほかにも危険な機能を隠し持っていたが、ある事情で大事には至らなかった。
- 信頼できる場所からインストールするなど、アプリ導入時には注意が必要。
「誰でもアプリを配布できる」ことはメリットばかりじゃない!?
現在、国内ではGoogleまたはApple公式のストア以外からもスマートフォンのアプリを購入・ダウンロードできます。つまり、誰でも自由にアプリを配布することが可能です。これは開発中のアプリをスマホでテストしたいときや、企業が従業員専用のアプリを配布したいときなどにも役立ちます。
ただし、利点ばかりではありません。たとえば、Google Play ストア以外から配布されたアプリによって引き起こされた不具合は、なによりGoogle Playストアの公式審査を通過していないため、意図的にウイルスを混入させた信頼できないアプリが広くバラまかれてしまうこともあり得るのです。
そうした悪意があるアプリの発見・除去に注力しているセキュリティ対策企業は多いのですが、家庭用セキュリティ対策製品を開発しているマカフィー社が2024年12月に発見した怪しいアプリには、珍しい特徴があったそうです。さっそくご紹介しましょう。
大手IT企業Amazonの独自アプリストア「Amazon Appstore」で、一見無害な健康アプリが配布されていました。機能もユーザーが身長と体重を入力するとBMI（肥満の度合い）が表示されるという、ごく一般的な内容です。ところがそのアプリには、SMS（ショートメールサービス）のメッセージを盗み出す仕組みが備わっていると判明しました。マカフィー社はただちにAmazon Appstoreに報告し、問題のアプリはアプリストアから削除されました。
じつはさらに恐ろしい機能を隠し持っていましたが……
その後、調査を進めたところ、じつはメッセージの窃取だけでなく、ほかにも有害な行為を働いていたことがわかりました。
問題のアプリは、ユーザーが気づかないうちに、スマホにインストールされているアプリの一覧表を取得していました。これは個人の特定や、別途サイバー攻撃を仕掛ける際の重要なヒントになるでしょう。
そして、BMIの計算をするためにボタンをタップすると、スマホの画面を録画し続ける機能も備わっていました。アプリの開発者はこの録画データをもとに、ジェスチャーでスマホを開錠するタイプのパスワードや、画面に表示されたあらゆる情報を入手できるでしょう。たとえば、ユーザーがWebサービスのログインページでパスワードを入力する動作も確認可能です。
上記の通り、メッセージを盗み出す以外にも恐ろしい機能を隠し持っていたのですが、ではなぜ大きな騒ぎにならなかったのでしょうか？
その理由は、このアプリが「未完成のまま配布されていた」からです。
なんとアプリ開発者は、画面録画などの機能を入れ込んだものの、その録画データをスマホから外部に送信するという、肝心の機能を用意していなかったのです。つまり、録画データがスマホ内部に貯まるだけで済んだため、深刻な個人情報漏えい問題にまで発展しませんでした。
とは言え、これは珍しい事例です。悪意のあるアプリの大半は完璧に動作して、あなたの個人情報などを容赦なく盗み出します。
・信頼できる場所以外からアプリをインストールしない。
・アプリの機能の利用に必要ない権限を要求されたら、そのアプリに疑念を持ち、不審な場合は削除する。
・データ使用量が急激に増えた、バッテリーの消耗が妙に早くなった、といった異常を見逃さない。
アプリのインストール時は、以上3点に注意しましょう。
