Androidセキュリティ――アプリからユーザー視点までイチから解説：Androidセキュリティ技術の最前線（1）（1/2 ページ）

子供からご年配の方々まで、幅広いユーザーを抱え、スマートフォン市場で圧倒的なシェアを持つ「Android」。そのセキュリティ対策（主に技術面）について、「アプリ」「マーケット」「Android OS」「ユーザー」の各視点から解説します。

[高橋健志（情報通信研究機構），＠IT]

連載目次

スマートフォンのセキュリティ、考えたことありますか？

　電話やメールはもちろん、インターネットショッピングにオンラインバンキング、株取引など、スマートフォンはわれわれの生活にとって不可欠なものになった。その代表格の一つが「Android」端末だが、Androidユーザーのあなたは、自分の端末が「悪意のある第三者」の攻撃対象になる可能性について考えたことはあるだろうか？ もしあなたのAndroid端末が悪意のある第三者に乗っ取られ、悪用されれば、個人情報の漏えいにはじまるさまざまな恐ろしい事態を招く可能性がある。私たちのAndroid端末には、十分なセキュリティ対策がなされているのだろうか？

　この連載では、Androidセキュリティに関する最先端の技術的取り組みについて紹介する。Androidをめぐっては「アプリ」やそれを配布する「マーケット」、アプリを走らせる「Android OS」、そして「ユーザー」などさまざまなエンティティ（存在）が関係しており、それぞれについて講じるべき対策がある。

　初回となる今回は、Androidを取り巻く環境や、Androidのセキュリティ対策の大枠について解説しよう。本連載を通じて、Androidセキュリティについて少しでも関心を持っていただければ幸いである。

世界で最も普及しているスマートフォンは、ダントツでAndroid

　ガートナーによれば、2015年第3四半期時点でのスマートフォンOSのマーケットシェア（出荷台数ベース）は、下図の通りだ（図1）。ご覧の通り、「Android OS」は84.7%と、圧倒的なシェアを占めている（参考リンク）。日本ではiPhoneに搭載されている「iOS」のシェアもかなり高いが、それでもAndroidの存在感の大きさに変わりはない。Android OSがこれだけ普及している大きな理由の一つとしては、その「オープンな仕様」が挙げられるだろう。

図1　2015年第3四半期時点でのスマートフォンOS販売台数シェア（ガートナー）

　Android OSの仕様はオープンであるため、その上で動くアプリの開発や、マーケットでの公開を自由に行うことができる。そのため、多くのエンジニアがアプリ開発に参加している。しかしこのことは、参入障壁の低さと同時に、Android OSやアプリを、一つの組織などが一元管理することが難しいということも意味している。この管理の難しさが一因となって、Android環境では多くのマルウェアが流通してしまっているのだ。

高まり続ける「Androidのセキュリティリスク」

　Android端末のセキュリティに関する報道なども増えてきたとはいえ、Android端末が原因で起きた“大規模で重大な”インシデントに関するニュースを聞いたことがあるという方は、まだほとんどいないだろう。実際、2015年8月に発行された「McAfee Labs 脅威レポート」にも、「モバイルデバイスを攻撃するマルウェアは急激に増加していますが、その大半はまだ試験的な段階で、大きな被害をもたらすものはありません」との記述がある。しかし、マルウェアが「試験的な段階」にいるということは、いずれ「本番に向けて進化する」ということだ。

　事実、ドイツのセキュリティ企業G DATAによれば、2015年は、第3四半期までに既に157万5644個のAndroidマルウェアが検出されたという。この数値は、2014年全体で検出されたマルウェアの総数154万8129個を既に上回っている（参考リンク）。これらのマルウェアの中には、ユーザーのファイルを暗号化する「Simplocker」（参考リンク）や、端末のPINロックを勝手に設定・変更する「LockerPIN」（参考リンク）など、強力なランサムウェアも含まれている。例えば後者のLockerPINは、端末のPINを勝手に変えてしまうもので、変更したPINはユーザーどころか攻撃者にも分からないため、たとえ要求された金額を攻撃者に支払ったとしても、PINを知ることはできない。

　また、情報処理機構（IPA）発行の「情報セキュリティ白書2015」によれば、スマートフォン上でのワンクリック請求の事例や、人気のAndroidアプリの「偽物」をインストールしてしまったという事例、特定のビデオチャットアプリを用い動画を交換したことにより性的な脅迫を受けたという事例、さらには、他人のスマートフォンに無断で紛失盗難対策アプリをインストールして、端末内の情報を「のぞき見たり」端末を「不正操作したり」するといった攻撃事例が紹介されている。

　このように、Androidのセキュリティ脅威はまだ試験的な段階にあるとはいえ、現実の問題として私たちに差し迫っている。また、AndroidベースのIoT向けOS「Brillo」の登場などを踏まえても、Androidセキュリティは今後、スマートフォンの世界を超えた幅広い領域に影響を及ぼしていく懸念がある。事前に十分な対策を講じていく重要性については言うまでもないだろう。

「子供からお年寄りまで」の対策が求められる

　Android端末のセキュリティ対策を考える上では、その利用者の幅広さにも注意しなければならない。Androidのセキュリティ対策では、幼い子供からご年配の方々まで、全ての人々が実施できる方法を考える必要があるのだ。例えば、Androidマルウェアへの感染は、「マーケットからマルウェアをダウンロードし、インストールしてしまう」ケースや、PC同様に「Webサイトやメール経由でユーザーにマルウェアをダウンロード、インストールさせる」ケースがほとんどであり、Android端末の通常利用の範囲で起こり得るものだ。現状では、このような攻撃に対処できるのは、Androidセキュリティに常に気を配っているエンジニアぐらいなものだ。一刻も早く、誰でも利用可能な新しい対策を実現する必要がある。