Android
Androidのセキュリティについて取り上げるとき、私たちはいつも、アプリは必ずGoogle Playストアからダウンロードするようにとお勧めしています。公式ストアはほかのWebサイトに比べて悪意あるアプリが少ないからですが、それでもときどきマルウェアが紛れ込んでいます。Google Playからアプリを入手するときにマルウェアをダウンロードしてしまわないようにするには、アプリの要求する権限に十分注意し、権限を許可する（または拒否する）前に、アプリがその権限を必要としている理由をよく考えることが大切です。この記事では、必要のない権限を要求しているように思われるGoogle Playアプリの危険性を取り上げます。
当社では先日、写真アプリを装った悪質なアプリ2種をGoogle Playで発見しました。どちらもかなり前からストアで入手可能になっていて、ダウンロード数はそれぞれ1万回に達していました。特に目を引くような特徴はなく、どこにでもある画像編集アプリ、という印象です。
開発元の表示は違うが、そっくりな画像編集アプリ2種。どちらもこっそりと定額制サービスを申し込む。
ただ、通知へのアクセス権をしつこく要求してくる上に要求を拒否することができないので、注意力の鋭い人ならば「何か変だな」と思うかもしれません。スマートフォンが受信するメッセージはすべて通知として表示されるので、その権限が与えられた画像編集アプリは通知を読めるようになります。これは普通スマートウォッチとの通信などに使われる権限であり、画像編集アプリには必要ありません。ではなぜ、そんな権限を要求するのでしょうか？
画像編集アプリと自称するこのアプリは、インストールされると、電話番号、スマートフォンの機種、画面サイズ、通信事業者などの情報を収集し、サイバー犯罪者のサーバーへ送っていました。アプリはその返信として、定額制サービスの登録ページを（数回のリダイレクトの後に）参照するWebアドレスのリストを受け取ります。
定額制サービスの登録ページの例
定額制サービスには、皆さんもどこかで遭遇したことがあると思います。着信メロディ、SMSなど、少額だけれども特に必要ないオプションサービスは、積み重なるとそれなりの金額になります。どこの国の事業者も、程度の差こそあれ、このような定額制サービスを好みます。また、多くの利用者が、まったくの不注意で、こういった定額制サービスに意図せず登録しています。契約書の細則を読まなかったせいかもしれません。携帯電話使用料の請求金額が思ったよりも多かったときに初めて、このような定額制サービスに登録していたことに気づくのです。
今回のアプリに話を戻すと、マルウェア（つまり、これらアプリ）の任務は、怪しまれることなく有料コンテンツのサービスに登録してしまうことです。そのため、マルウェアはWi-Fiを無効にし、モバイルデータ通信を使用して、デバイスの持ち主には見えないウィンドウに悪意あるページを読み込みます。必須のデータフィールド（たとえば電話番号）の入力には、あらかじめ収集しておいた情報を使用します。サインアッププロセスでCAPTCHA（人間とマシンを判別するためのテスト）が使われている場合、マルウェアはCAPTCHAの画像を特別なデコードサービスへ送信します。また、SMS認証コードが必要な場合には、通知へのアクセス権限を使って傍受します。
不要な定額制サービスに登録されてしまうのを防ぐには
アプリが害を及ぼす可能性があるかどうか、すぐに正しく判断するのは困難です。しかし、疑わしいアプリを見分け、隠された機能から身を守る方法はあります。
- アプリが要求する権限は、慎重に確認しましょう。Kaspersky DailyにはAndroidでの権限に関する記事があります。ぜひご覧ください。危険を招く恐れのある権限、しかも不要だと思われる権限をアプリが要求したら、拒否してください。しつこく権限の要求が続いたら、アプリを削除してしまいましょう。
- 堅牢なセキュリティソリューションを使いましょう。カスペルスキー インターネット セキュリティ for Androidは、「定額制サービスの登録ページ」を検知して通知します。
- 契約している通信事業者が定額制のオプションサービスを提供している場合は、契約内容を確認して、不要なサービスがあれば解約しましょう。
ヒント