NCSUの調査チームは、各メーカーにつき2台のスマートフォンの調査を実施した。各メーカーで調査するスマートフォンについては、Android 2.xとAndroid 4.xが実行されているものをそれぞれ1台採用した。古いモデルでは平均で22個の脆弱性が検出され、新しいモデルでは平均で18個の脆弱性が検出された。

　脆弱性の数は少なくても、新しいモデルの方が古いモデルよりもセキュリティが強固とは限らない。独ベルリンで最近開催された「ACM Conference on Computer and Communications Security」では、調査チームはより深刻な欠陥であると問題視したアプリの動作を発表した。

　その動作とは、ユーザーの許可なく、ユーザーデータの削除、音声録音、発信を行うものだ。一般的に「脆弱性は、攻撃者がデータを盗んだり、許可なくサービスにアクセスするために使用できる欠陥」と定義されており、これらの動作は欠陥そのものである。

　Sony以外のメーカーの各スマートフォンで検出された脆弱性の85％（Sonyのモデルでは65％）がメーカーのカスタマイズに起因している。Sonyのスマートフォンは、メーカーのカスタマイズに起因する欠陥が他社よりも少なかった。

複雑さがもたらした間違い

　2007年にAndroidがリリースされて以来、スマートフォンのカスタマイズは、市場で競争が激化したことで複雑になっている。

　この調査では次のようにも報告されている。「現在、主要デバイスの外観は、基本となるAndroidバージョンと大きく異なり、多数のサードパーティー製のアプリが組み込まれている」

　この調査結果は、「新しいスマートフォンを使い始めた瞬間から脆弱性が存在していることをAndroidユーザーに警告している」とNCSUのリード調査員と准教授を務めているシュシアン・チアン氏は言う。

　「ユーザーは、（特に規制されていないサードパーティーのオンラインストアから）アプリをダウンロードするときには注意すべきだ。スマートフォンには脆弱性が存在する。信用できないアプリによって、脆弱性が悪用される恐れがある」（チアン氏）

　米国では、多くのAndroidユーザーが、Google Playからアプリをダウンロードしている。Google Playではマルウェアのスキャンを行っている。そのため、今のところ、マルウェアをインストールする可能性は極めて低い。

　アジアとロシアでは、サードパーティーのアプリストアからアプリをダウンロードすることが多い。そのため、マルウェアは大きな問題となっている。

　全体的な感染率は低いが、「犯罪の世界では、Androidマルウェアを開発および配布するソフトウェアツールは進化している」と専門家は言う。6月には204種類のマルウェアが存在することが確認されている。最新のSymantecの「Mobile Adware and Malware Analysis」では、これが前年比69％の増加であることが指摘された。マルウェアのサンプル数は約4倍になっている。

　NCSUの調査チームが古いモデルと新しいモデルで特定した脆弱性の数には、大きな違いは見られなかった。HTCは例外で、新しいモデルでは脆弱性の数が減っていた。

　HTCは2013年2月、同社が何百万台ものモバイルデバイス用にデザインおよびカスタマイズしたソフトウェアで、ユーザーの個人データとプライバシーを危険にさらしたとして連邦取引委員会から告訴された事案に対応したばかりだ。この事案に対応するに当たり、HTCは次の事項に同意した。「顧客の個人データのセキュリティを保護する」「脆弱性を修正する仕組みを導入する」「デバイスの開発プロセスにセキュリティを組み込む」

　当時、業界観測筋は、この取り決めには、セキュリティに重点を置く必要があることを他のAndroidデバイスのメーカーに警告する狙いがあると指摘していた。

　今日Androidデバイスを取り巻くセキュリティ問題の多くは、オペレーティングシステムとメーカー組み込みのアプリの定期的な更新で修正できる。しかし、「デバイスのメーカーとワイヤレス接続サービスのプロバイダーが協力しなければ、定期的な修正が行われる可能性は低い」と米国自由人権協会（ACLU：American Civil Liberties Union）のプロジェクト「Speech, Privacy and Technology」で主席テクノロジストを務めているクリストファー・ソゴイアン氏は言う。

　メーカーの収益源は、新しいスマートフォンの販売だ。古いスマートフォンの問題を修正しても収益は得られないので、必然的に更新の優先順位は下がる。一方、通信サービス会社は、ワイヤレス接続サービスの利用料によってスマートフォンから毎月収益が得られる。

　通信サービス会社または消費者が、定期的な更新の代金をメーカーに支払うことに同意しない限り、「メーカーが信頼に足る効果的なサービスを提供する可能性は低いだろう」とソゴイアン氏は言う。その理由は、アプリのカスタマイズにより、更新の開発は複雑でコストが掛かる作業になっているからに他ならない。

　「SamsungとGoogleに毎月5ドルのAndroid手数料を支払えば、もっと頻繁に更新を受けられるだろう」とソゴイアン氏は言う。