最近、Android端末のセキュリティに関する報道が目立つ。ウイルス対策は大丈夫なのか、個人情報は守れるのかなど、ユーザの不安は増す。そこで、主な不安要素として挙げられる「マルウェア」と「アプリの権限（パーミッション）」の現状について、セキュリティソフト開発大手のカスペルスキーに話を聞いた。取材を受けていただいたのは、チーフセキュリティエヴァンゲリストの前田典彦氏。
マルウェアとは
マルウェアとは、悪意のあるソフトウェアの総称をいう。「Android OS」で多く見られるマルウェアは、SMSを悪用するタイプ（SMS Trojan、SMS型トロイの木馬などと呼ばれている）が現在の主流だ。なかでも、プレミアムSMSを悪用するタイプの数が多い。
プレミアムSMSとは、欧州でよく利用されているサービスで、SMSを通じてコンテンツ利用料などを課金できるシステムのこと。
「SMS Trojan」に感染すると、勝手にプレミアムSMSを送信し、課金してしまう。ちなみに、日本ではプレミアムSMSの課金ができないので、プレミアムSMSの仕組みを狙ったマルウェアは日本の端末では動かない。
感染源はアプリ
現状、マルウェアに感染するのは、ほぼ100%アプリから。WindowsではWebサイト閲覧でマルウェアに感染することはあるが、Androidでは発見されていない。マルウェアは、アプリの中に入っている。
マルウェアが仕込まれたアプリの入手経路は、主に個人サイト。そこでアプリをダウンロードし、インストールすることで感染してしまう。よく分からないサイトではアプリをダウンロードしないことが、予防策の一つといえる。また、中国のサイトやアダルトサイトなどを通じてアプリをダウンロードしないのも、予防策として効果が高い。
アンチウイルスソフトの役割
秋葉原にあるカスペルスキーのオフィス入口
Androidには、セキュリティアプリが多数ある。アンチウイルス機能を備えており、無料のものから、「カスペルスキーモバイルセキュリティ9」や「エフセキュア モバイル セキュリティ for Android」のような有料のものまで様々。アプリにマルウェアが混入されていないかチェックするのが、アンチウイルスソフトの役割だ。
アンチウイルス機能でチェックされるのは、アプリをダウンロードしてインストールする段階。チェックするのは、「既知のマルウェア」のみ。よって、アンチウイルスソフトの製作会社がどれだけマルウェアを把握しているかが鍵になる。
一方で、権限の怪しさなど（位置情報の取得や電話番号読み込みなど）については、権限取得のみでマルウェアとは判断されないため、マルウェアが混入していない限り、アンチウイルス機能で弾くことはない。
また、root権限を取るタイプのアプリのインストール後は、アンチウイルス機能は関与しない。
そして、個人情報の取扱いについては、アプリの開発者に委ねることになり、セキュリティソフトでは対処できないことを、ユーザは認識しておく必要がある。
マルウェアに対するマーケットの態度を確認する
カスペルスキー前田氏
アプリを配布しているマーケットに対し、信用できるか迷った場合は、アップロード者向けの規約を読もう。そのなかで、「悪性と判断したら削除できる」という項目をチェック。
この文章の有無により、「マーケットがマルウェアに対してどのような態度で臨んでいるかが分かる」と、前田氏はアドバイスする。
この項目が適当だったり、そもそもなかった場合は、アップロードされているアプリに対し、削除要請があっても動かない可能性がある。そのようなサイトでは、アプリをダウンロードすべきではない。
ちなみに、Googleでは「Android マーケット デベロッパー販売/配布契約書」で下記のように書いている（一部抜粋）。
7.2 Google による削除: Google は、対象製品またはその内容を監視する義務を負うものでもありません。しかし、対象製品もしくはその一部またはデベロッパーのブランド表示が以下のいずれかに該当することをデベロッパーから通知され、またはその他の形で知り、かつ自身の単独の裁量においてそのように判断した場合、Google は、自身の単独の裁量において対象製品をマーケットから削除する、または対象製品の分類を変更することができます。
（f）ウイルスを含んでいる、またはマルウェアもしくはスパイウェアである、または Google もしくは認定携帯通信会社のネットワークに悪影響を及ぼすものである、と Google が判断した場合。
マルウェアの現状と今後
Android OSをターゲットにしたマルウェアは、どれくらい発見されているのだろうか。
報道などから多い印象を持っている人もいるだろう。ただ、現時点ではWindowsに比べると、ごくわずかだ。
カスペルスキーが発見しているWindowsのマルウェアは、650万種類を超えている。一方で、Androidのマルウェアは5000種類程度（2012年1月時点）。
Android向けのマルウェアは増加傾向であるが、Windows向けのマルウェアも増加している。また、現時点では、Android向けのマルウェアの手法はWindowsのマルウェアを元にしたタイプしか発見されていない。
前田氏は考えられるマルウェアのパターンをいくつか紹介してくれたが、攻撃者に誤ったメッセージを送ってしまう可能性があるので、あえて割愛する。要約すると、Androidの安全性は高く、技術的に洗練されたAndroid専用のマルウェアが出てくるのは相当先になるのではないか、という見解だ。
権限（パーミッション）とは
個人情報の取扱いは、Androidのアプリで最も懸念されているテーマといえる。知らないうちに住んでいる場所やインストールしているアプリなどの情報を吸い上げられているのではないかなど、不安に思うユーザも多いだろう。
そこで関心が集まるのが、アプリをインストール時に許可する「権限（パーミッション）」だ。権限とは、Android端末のデータなどに対してアプリが保有するアクセス権のこと。許可を要求される権限には、「精細な位置情報（GPS）」「連絡先データの読み取り」など様々な種類がある。
アプリによって権限の数は様々で、アプリの性質上、かなり多くの情報にアクセスしなければならない場合もある。
権限が多くなる理由
では、なぜ権限が多くなってしまうのか。
主な理由は、「ターゲット広告のため」だと前田氏は分析する。
アプリが無料で成り立つの要因の一つが、アプリ内の広告だ。アプリ内広告は、広告の効果を高めるために、多くの権限を必要とするパターンが多い。
アプリを開発するには当然のことながら費用がかかるし、モノによっては多くの人が動く。会社でアプリを製作する場合、アプリを広めて会社のサービスを利用してもらい、収益を上げるパターンもあるが、広告で収益を上げるパターンもある。
アプリ自体では多くの権限を必要としてなくても、広告のシステムによって必要とする場合がある。シンプルなアプリなのに譲渡する権限が多いのは、ターゲット広告が要因の場合が多い。
開発者を信頼できるか
ユーザにとっては、広告に対して理解はするものの、どの権限が広告に必要なのか違いが分からないだろう。そして、位置情報や操作情報など、ユーザが譲渡を望まない情報が権限に含まれる場合もある。
権限の許可に対して前田氏は、「特定のパーミッションが危ないとは言いきれないので、開発者を信頼できるかが重要だと思います」と話す。
どの権限が危ない、怪しいという各論ではなく、そもそも開発者が信頼できるのか否かが重要だということだ。アプリのシステム上、権限が多く必要になる場合もある。判断は難しいが、自己責任において判断するしかない。
Android Market（Google Playストア）にあるアプリは、Amazonやauのマーケットのように審査をしているわけではない。Googleはマルウェア対策を強化はしているが、情報をどのように扱うかなどは開発者に委ねられている。
信頼できるマーケットで、信頼できる開発者のアプリを落とす。現状で、最もオススメできる防衛手段だ。
アプリの開発側にとっては、権限を「なぜ必要とするのか」説明することが、ユーザの信頼を深めることにつながると言えるだろう。
参考記事