モバイルアプリケーションを調査した研究者は、多数のコーディングエラーを発見している。米セキュリティコンサルタント企業Intrepidus Groupの研究者であるマイク・ザスマン、ザッハ・レニア両氏が実施した調査では、多数のアプリケーションにコーディングエラーが隠れていることが判明。情報流出や権限昇格の脆弱性につながりかねないことが分かった。アプリ開発を急げば、認証エラーや出来の悪いファイルシステムパーミッション、甘過ぎるアプリケーションパーミッションといった高い代償を伴う過ちを招くと、レニア氏は警鐘を鳴らす。

4. 危険なWi-Fi

　空港でも近所のカフェでも、ほとんどのモバイル端末は近くのWi-Fiホットスポットを自動的に探し出す。不幸なことに、ツールを使えば誰でも他人の通信を傍受したり、ブラウザセッションを乗っ取ることができてしまう。セキュリティ対策が不十分なWebメールセッションやTwitterなどのソーシャルメディアアカウントは、市販の基本的なツールを使えば乗っ取ることができることは研究で実証済みだ。Googleなど多くのサービスは、対策として公衆Wi-Fiからユーザーを守るためのセッション暗号化をサポートしている。だが依然として危険は残る。

　ネットワークセキュリティ専門家のリサ・ファイファー氏によると、スマートフォンのユーザーがSSL／TLS暗号を正しく実装していないWebサイトを利用する場合、有名なWi-Fiホットスポット攻撃である「サイドジャッキング」のリスクにさらされる恐れがある。2010年にはFirefox用のプラグインとして、セキュアではないWi-Fiネットワークを経由してセッション乗っ取り攻撃を仕掛ける「Firesheep」という自動パケット盗聴ツールが開発された。同ツールは、ノートPCやスマートフォンとWi-Fiルータとの間のトラフィックを分析できる。ファイファー氏によると、これによってサイドジャッキング攻撃が単純になったという。他のWebユーザーのセッションCookieが傍受できるネットワークで、「選択してクリック」するだけで攻撃が可能になったのだ。

　Wi-Fiのセキュリティ不安に対応すべく、米IBMの研究チームは新規格の「Secure Open Wireless」を開発した。このシステムは、デジタル証明書を使ってWi-Fiホットスポットそのものにセキュリティ対策を施し、サイドジャッキング攻撃や中間者攻撃を阻止する。同規格の研究を主導したIBM X-Forceの脅威インテリジェンスマネジャーであるトム・クロス氏は、「無線アクセスポイントのSSIDが正規のものであることを確認し、クライアント端末が接続すると暗号化された接続が確立されるようにした」と説明する。セキュリティ専門家の多くはスマートフォンとノートPCのユーザーに対し、この規格が普及するまでの間は公衆無線LANの使用を控えるよう促している。

5. 端末の紛失と盗難

　セキュリティ専門家は、モバイルマルウェアやフィッシングといったリモートからの攻撃について声高に説いて回っている。だが個人や企業を脅かす最大の脅威は依然として、端末の紛失や盗難だ。米ニューヨーク市では週に何十台もの携帯電話がタクシーの後部座席に置き忘れられている。

　米McAfeeがスポンサーとなり、米カーネギーメロン大学の研究チームが2011年5月に実施したスマートフォンのセキュリティ実態調査によると、モバイル端末の紛失や盗難を経験した組織は10社中4社に上り、紛失・盗難端末の半数に企業の重要情報が保存されていた。企業は適切なポリシーを導入し、重要データについては暗号化を導入する必要があると研究チームは結論付けている。データ暗号化を手掛ける米Credant Technologiesの共同創業者であるクリス・バーチェットCTOは「結局のところ、コラボレーションとデータ共有のためのアクセスコントロールとキーマネジメントに尽きる」と話す。

　モバイル端末のユーザーは、不正アクセスの防止に役立つパスフレーズやパスコードをほとんど利用していない。結果的に携帯電話が盗まれれば意のままにされてしまう。一部のアプリケーションに保存された連絡先や電子メールやデータは、平均的な能力を持つ犯罪者なら簡単にアクセスできる。企業向けモバイルセキュリティソフトウェアの大半は、端末の所在を突き止めてデータを消去する機能を備えている。だが私物端末のセキュリティに関するポリシーを策定していなければ、企業とその従業員の多くは危険にさらされ続ける。端末の紛失や盗難の届け出が提出された時点で、既にデータは持ち去られているかもしれない。