アプリを入れたらスマホが乗っ取られる？　トレンドマイクロが人気に便乗した不正アプリの脅威を解説した，セミナーの聴講レポートを掲載

　トレンドマイクロは，「スマートフォンを狙うサイバー犯罪 緊急解説セミナー」を2016年7月29日に実施した。このセミナーでは，人気アプリやサービスに便乗したサイバー攻撃に関する解説が行われた。
　今回は，現在，世間を席巻している「Pokemon GO」を例にしているが，不正アプリはこれだけに限った話ではない。スマートフォンに潜む危険の具体例を知ることは読者の皆さんの役に立つはずなので，ぜひ最後まで目を通してほしい。

トレンドマイクロ公式サイト

プレゼンテーションを行った，トレンドマイクロ シニアスペシャリストの森本 純氏

　セミナー本来の流れとは異なるが，本稿ではテーマごとにまとめてレポートしていこう。
　まず，セミナーで取り上げられた「Pokemon GO」の偽アプリについては，日本での正式配信日（7月22日）以前の調査状況をまとめたものになる。今回のトレンドマイクロによる調査では，43個の偽アプリ（うち19個が不正/迷惑アプリ）が確認されたとのこと。脅威の主軸になっているのはAndroidだが，iOSでも偽アプリが皆無というわけではないので注意してほしい。
　正式配信日以降に，App StoreやGoogle Playの公式ストア経由でダウンロードしたのであれば，今回紹介する偽アプリのような被害に遭う可能性は低いだろう。ただし，中には公式ストアでの配信が確認された偽アプリもあったことから，今後も出現する可能性もあると考えられる。公式ストアで配信されているからというだけでは，全幅の信頼は寄せられないのだ。


　森本氏によれば，「Pokemon GO」の偽アプリを端末にインストールした場合，攻撃者が遠隔操作ツールを介してスマートフォンを操作し，端末内の情報を盗んだり，通話の盗聴や写真・動画の撮影などを行ったりできるようになってしまうという。ほかにも，端末をロックして強制的に広告表示を行おうとする偽アプリもあったとのこと。
　いずれの狙いも，金銭またはそれにつながる個人情報だ。個人情報は，メールアドレスやクレジットカード番号，SNSなどのID・パスワードなどが挙げられる。

　前者の偽アプリは，7月11日にはすでに流通が確認されている。その特徴は，外見上は本物とまったく見分けがつかないという点である。というのも偽アプリは，本物のアプリを1回分解して，遠隔操作のような攻撃者にとって都合のいい機能を追加する，“リパック”と呼ばれる方法で作成されているからだという。
　「Pokemon GO」は7月6日にアメリカ，オーストラリア，ニュージーランドで配信が開始されていたので，“本物”を容易に入手できたというわけだ。また，アプリそのものが多言語に対応していればそれを利用できるため，偽アプリが流通した時点で「Pokemon GO」は日本語化対応済みだったと思われる。


　強制的に広告表示を行うアプリは，7月13日時点で流通が確認されていたもので，Google Playで配信されていたものだ。こちらは名前を似せた，まぎらわしいタイトルだったと森本氏は述べていた。
　このアプリは，スマートフォンの画面をロックしてしまい，操作ができなくて困ったユーザーが端末を再起動すると，再起動時に広告を強制表示させようとする。
　森本氏は，こういったケースの場合は，直接的に金銭や個人情報を抜き取るというよりも，広告のクリックで収入を得るアフィリエイトの悪質なパターンではないかと分析していた。


　森本氏は，インターネット上のサイバー犯罪では昔から，人気に便乗したものが多いと説明。サイバー犯罪の攻撃者は時流に敏感で，タイミングを逃さず素早く拡散してくるのだという。
　今回のケースで考えると，アプリの場合は，注目度が高くなおかつユーザーがアプリをまだインストールしていない，正式配信前のタイミングが一番効果的な狙い目になるというわけだ。

　スマートフォンではなくPCの話になるが，例えば2012年のロンドンオリンピックのときは，「無料でストリーミング視聴ができる」「観戦チケットを購入できる」などとうたい，メールアドレスや個人情報を手に入れようとする不正サイトが確認されていた。また2014年には，iPhone 6の発売前に「iPhone 6ついに発売」といった迷惑メールが流布していた。

　このように，人気のコンテンツや商品に便乗することで，金銭やそれにつながる個人情報を手に入れるのが，サイバー犯罪者の狙いだ。手に入れたメールアドレスなどは迷惑メールの活動に悪用されるというように，愉快犯というよりはアンダーグラウンドのビッグビジネスとしてすでに成り立っていると森本氏は語る。

　人気のコンテンツに便乗するのは，関心を寄せる人の数が多ければ攻撃対象になる絶対数も当然多くなるからだ。さらに，母数が大きくなればそれだけセキュリティの知識に疎い“カモ”が多くなるし，商品が手に入らないような状態なら，取引相手が怪しくても手を出してしまう可能性もある。
　おりしも，8月6日からはブラジルのリオデジャネイロでオリンピックが開催される。オリンピック関連のサイト閲覧時にも注意を払ったほうがいいだろう。


　森本氏からは，遠隔操作ではどのようなことができてしまうのか，という解説も行われた。
　詳しくは本稿に掲載したスライドをチェックしてほしいのだが，遠隔操作ツールを使うことで，通話履歴，メッセージ，連絡先，写真や動画データなど端末内の情報を盗むことができる。さらに，通話を録音したり，端末を操作して写真や録画の撮影をしたり，GPS機能で端末の現在地を確認したりもできるという。
　つまり，端末を持っているユーザー自身とほぼ同じことができてしまうのだ。

　一度乗っ取られてしまえば，スマートフォンの仕組みによほど精通していない限り，リカバリーは難しい。森本氏に対策を聞いてみたところ，Android端末の場合は，同社製品の「ウイルスバスター モバイル」のように“身元のしっかりした”セキュリティ対策ソフトを入れて，不正/迷惑アプリの駆除とセキュリティ設定の見直しをするのが一番らしい。
　ただし，セキュリティ対策ソフトは基本的に“予防”するものなので，安全な状態に戻せない可能性もあるという。一度でも乗っ取られてしまった端末だと，外部から別の不正アプリをインストールできてしまうからだ。そういった場合は，端末を完全に初期化するのも効果的な手段の一つになるとのこと。


　それから，スマートフォンではWebブラウザでサイトを閲覧するときにも注意が必要だ。一昔前と違って，今やスマートフォンのブラウザアプリで，PCサイトをそのまま表示できることが多くなった。森本氏曰く，攻撃者もスマートフォン狙いにシフトしていて，不正サイトを最適化しているケースが多いという。

　PCブラウザやメールでも古くからある手法だが，ハイパーリンクの記述を悪用してURLを偽装するサイトがある。トレンドマイクロによる調査でも，ポケモンオフィシャルサイト内の「Pokemon GO」関連ページにリンクしているように見せかけて，まったく関係のないサイトに誘導するサイトが確認されたと森本氏は説明。取り上げられた事例は，ポイントサイト（いわゆるお小遣いサイト）に誘導，登録させようとするものだったとのこと。


　ちなみに，ポイントサイト誘導に関しては，まとめブログが作られるような有名アプリならかなりの頻度で見かける。「無料で有料アイテムを大量にゲットする裏技」のようなケースが多いので，そのようなページを見かけたら疑ってかかったほうがいいだろう。
　スマホのブラウザなら，タップ長押しでそのページにアクセスする前に，URLの飛び先を確認できる。面倒かもしれないが，“おいしい話”が書いてあったらすぐにはタップせず，URL偽装をしていないか，確認することを心がけるべきだ。

　また森本氏は，「当選詐欺」にも気をつけてほしいと述べる。
　これも古典的な方法なのだが，サイトの閲覧中に突然「○○に当選しました」と嘘のメッセージを表示させ，当選品引き渡しの名目で，個人情報や金銭を騙し取るというネット詐欺だ。スマートフォン向けでは，アクセスしている端末を見分けて，例えばiPhoneなら「Appleの最新機種が当たりました」というように，表示情報を切り替えるのだという。
　このようなサイトでは，アクセスさせるためのサイトURLを偽装していることがある。スライドの例ではFacebookのサイトを装っていて，「http://www.facebook.com-todayswin～」というURLになっている。本当のFacebookのサイトならドメインの「.com」のあとは「/」になるはずのところを，「-」にしてごまかしているのだ。

　読者の中には，こういった単純な手口に引っかかる人はいないだろうと思う人もいるかもしれないが，東京都消費生活総合センターや都内区市町村の消費生活相談窓口には，実際に相談が寄せられているとのこと。「当選」という表示をクリックして個人情報を登録したら，会費を請求されたという話のようだ。

　不正サイトの手口では，偽のセキュリティ警告を表示させるというものもある。
　こちらは，「ウイルスに感染した」という偽の結果を表示させ，セキュリティソフトを購入しろといってクレジットカード番号や個人情報をだまし取ったり，セキュリティソフトを装った不正アプリのインストールを促したりするという。
　Androidの場合，Googleをかたってそれっぽく見せていることも多いそうだ。また，端末の情報を読み取って表示させることもある。そのため「あなたのGalaxy S4が～」というように妙に具体的で，信ぴょう性が増して見えてしまうのが困りものだ。


　森本氏に聞いた話の中には，スマートフォンはその設計思想上，基本的にはアプリ単位で完結する形になっているので，一度感染したら端末全体に影響を及ぼす，PCのウイルスに相当するような脅威は生まれにくいという（そのため，サイバー犯罪者はなんとかして不正アプリをインストールさせようとするのだろう）。
　そうなると，スマートフォンのWebブラウザでインターネットを“閲覧しただけ”でウイルスに感染するとは考えにくい。もし“警告”が表示されたら，まずはそのメッセージが偽物ではないかと疑いの目を向けたほうがいいだろう。

　もう一つ，最近の事例でとくに注意が必要なのが，SNSのアカウント乗っ取りだ。森本氏からは，Facebookのアカウント乗っ取り被害例をもとにした説明が行われた。
　攻撃者は，盗んだアカウントIDとパスワードでユーザーになりすましてログインし，不正/詐欺サイトに誘導するような投稿をする。
　Facebookの場合，友人をタグ付けして投稿すると，（友人が手動での承認をオンにしていなければ）その友人のタイムラインにも投稿が流れる。つまり，乗っ取られたアカウントの友人だけでなく，友人の友人（かそれ以上）まで拡散できてしまうわけだ。
　さらに怖いのが，SNSでは「（信頼できる）友人の投稿」がベースになっているという特性だ。セキュリティ意識の高い人であっても，「友人の投稿なら」と警戒心を緩めてしまうことが多く，結果，不正サイトに誘導されてしまいやすいのだ。


　今回のセミナーでは，2016年4月～6月の3か月間で，Android向けの不正アプリは累計1527万1000件もの存在が確認され，不正サイトに誘導されたモバイル（スマートフォン）利用者数は46万8000人もいると，スマートフォンがサイバー犯罪者に狙われやすい現在の状況が，森本氏から説明された。
　使っている人には釈迦に説法だと思うが，スマートフォンは電話/メール/SNSといったコミュニケーションに使え，インターネットが見られ，ゲームをはじめとしたアプリが利用できるというように，PC並みのことができる機械だ。加えて，PCよりも多くの個人情報を保持していたり，セキュリティ意識が薄いユーザーが多かったりもするので，攻撃者にとっては魅力的に映るのだろう。


　ユーザーの個人情報を抜き取ったり遠隔操作したりする不正アプリは，今回の話にも出た人気アプリを偽装する偽アプリ以外にも存在する。森本氏によれば「無料」といったキーワードでお得感を出しているものも多いとのこと。例えば，「YouTubeなどの動画をダウンロードできる」「さまざまな音楽を無料で聴ける」といったアプリである。
　中にはまともなアプリもあるかもしれないが，本来ならストリーミングで見るしかない動画をダウンロードできたり，有料で販売される音楽を聴けたりするようなものが“無料”で提供されるといった“おいしい話”には，裏があることが多いというわけだ。


　偽アプリや不正アプリを見分けるには，インストール前にチェックするのが有効な手段の一つだ。
　例えば，Google Playストア経由であれば，インストール前に「次へのアクセスが必要」といった内容の画面が表示される。ここには，「このアプリは端末内のこの情報とこの情報にアクセスしますよ」という項目が並んでいる。
　森本氏曰く，この画面をチェックして，連絡先など個人情報の読み取り，ストレージの読み書き（情報の書き換え），などを要求してくるアプリには気を付けたほうがいいとのこと。


　ただし，サードパーティのストアアプリ経由でのダウンロードや，APKファイルを直接インストールする場合などは，こういった確認ができないこともある。そのため，基本的には極力公式ストア以外からのダウンロードは避け，それ以外の場所からアプリをインストールする場合は，提供元の身元をしっかりと確認したほうがいいと，森本氏は述べていた。


　セミナーのまとめは以上となる。
　インターネット上のサイバー犯罪は，スマートフォン狙いにシフトする傾向にあり，とくにAndroid端末を利用している人はセキュリティに関する意識を高める必要性が強くなってきている。
　とはいえ，今回紹介したようなインターネット上のサイバー犯罪の話自体は，昔からよく聞かれるものが多く，ユーザーが意識さえしていれば対策できるものが多い。
　とくにアプリに関しては，基本的にだまされたユーザーが「自分でインストールしている」ということを覚えておいてほしい。攻撃者とユーザーのせめぎあいは，この点が大きく関わってくる。
　端末の設定で「提供元不明のアプリをインストールする」を許可しない設定にしておく，公式ストア以外からアプリをインストールしない，公式ストアのインストール前に提供者やアクセス許可の項目をしっかり確認しておくーーこのあたりを意識するだけで，被害の大半は未然に防げるはずだ。
　不正サイトの誘導などを含めて対策したい場合は，セキュリティ対策ソフトやパスワード管理ツールなどを導入するのもいいだろう。ただし，こちらも“身元”がしっかりしていなければ意味がない。無料にこだわらず，有料アプリを含めて導入を検討することをお勧めする。

　リオオリンピックなどサイバー犯罪の攻撃が活発になる可能性が高いこの時期だからこそ，あらためてスマートフォンのセキュリティを考える機会を持ってほしい。