同リポートでは、米Googleの「Android」と米Appleの「iOS」用アプリによるデータ収集について詳しく報告している。評価対象は各モバイルOSにおける有料／無料のトップ100アプリだ。Appthorityは、このリポートを作成するために、実際にアプリでデータ収集を実行。上述の全400種類のアプリに対して、テスト環境で静的／動的な分析と動作分析を実施した。

　Android向けアプリストア「Google Play」で入手できる無料アプリ上位100種の88％が、「UDID」「IMEI」といった端末を識別するデータを収集している。また、82％のアプリでは何らかの形で位置情報を追跡し、30％がユーザーの連絡先情報へアクセスしている。

　Appleは往々にして、iOSがAndroidよりも安全でプライバシーを尊重していると主張する。だがAppthorityによる分析結果では、Appleが喜ぶような情報は見当たらない。Appleの「App Store」で入手できる無料アプリのトップ100の半数以上が、Androidアプリと同様にUDIDのデータを利用し、位置情報を追跡している。また26％のアプリはユーザーの連絡先情報にアクセスしているという。

　米サンフランシスコのある企業は、有料アプリでもデータ収集が一般的に行われていることを特定した。例えば、Android向け有料アプリのトップ100について、その65％がUDIDのデータを利用し、49％が位置情報を追跡。14％が連絡先情報にアクセスしている。iOS向け有料アプリでは、28％がUDIDのデータを利用し、24％が位置情報を追跡。8％が連絡先情報へアクセスしている。

　Appthorityが分析した400個のアプリからは、いわゆるモバイルマルウェアは検出されなかったという。企業向けのアプリでマルウェアが潜んでいるのは全体の0.4％にすぎないというのが、Appthorityの見方だ。Appleは、App Storeで配信する全てのiOS向けアプリについて手動で厳しいセキュリティチェックをしている。Googleも、Google Playのアプリをマルウェアから保護するためにさまざまな対策を講じている。

　「モバイルウェアの存在は誰もが知っている。だが他の問題については全ての人が把握しているわけではない」とAppthorityの社長を務めるドミンゴ・グェルラ氏はあるインタビューで話している。

データ収集のリスク

　モバイルアプリによるデータ収集は企業とユーザーに多くのリスクをもたらす。また、そのリスクは最初は明白ではないかもしれないとグェルラ氏はいう。

　例えば、従業員が会社のメールアカウントを個人所有のスマートフォンと同期したとしよう。そのスマートフォンは、仕事上の重要な人の連絡先情報を含む詳細なアドレス帳にアクセスできるようになる可能性がある。さらに連絡先情報を収集するアプリをインストールし、それが悪用されてしまった場合を考えてみてほしい。攻撃者は、連絡先に登録されている人の会社に迷惑な電話をかけたり、機密な企業のダイヤルイン情報を収集したり、予定表に保存されている添付書類を確認したりすることができる。

　政府機関以外は、位置情報の追跡データについて、「それほど懸念していない」とグェルラ氏は言う。だが攻撃者が、重役の居場所に関する情報を収集できたらどうなるだろうか。攻撃者はその情報を利用し、仕事関連の訪問場所から合併や買収などを予測できる可能性がある。

　グェルラ氏は、米兵士がイラクの軍事基地に到着したときに撮影した写真を「Twitter」に投稿した事件にも言及する。その写真には、位置情報を埋め込む「ジオタギング」を使い、基地の場所に関する詳細情報が付加されていた。その場所に対して武装勢力にピンポイントで迫撃砲による攻撃を仕掛けられ、その基地にあるヘリコプターが破壊されるという事件が発生したのだ。

　こうした話題だけでも心配の種になる。だが収集されたデータの大半が行き着くアドネットワークは、同じくらい大きな問題をもたらすとグェルラ氏は見ている。上述のリポートによると、Androidでは71％、iOSでは32％の無料アプリで、アドネットワークがデータを収集することを許可している。有料アプリでも、Androidで38％、iOSで16％がアドネットワークにデータを転送しているという。アプリ開発者が自らのWebサイトに示しているプライバシーポリシーの範囲外で、こうしたデータ収集が行われていることすら、ユーザーは把握していない可能性があるとグェルラ氏は指摘する。

　「モバイルアドネットワークの普及で複数のリスクが生じている」とグェルラ氏は警告する。攻撃者には複数の選択肢がある。まず、攻撃者自身がアドネットワークのふりをして、ユーザーのデータを直接収集できる。アドネットワークのソフトウェア開発キット（SDK）を悪用して、アプリを忍び込ませることも可能だ。さらに、世界中の多くのアドネットワークが収集したデータを格納している膨大な量のデータをターゲットにすることもできる。

　「開発者の観点では、ホストするデータの量が多いほど、攻撃のターゲットになる可能性は高くなる。この法則がアドネットワークに適用されるのは間違いない」とグェルラ氏は指摘する。アドネットワークを収益源とするアプリの大半は、複数のアドネットワークを利用する。この事実が、状況をさらに悪化させているというのが同氏の見方だ。「開発者ですら、収集した全データが最終的にどこに行き着くのかを把握していない可能性がある。攻撃者にとって重要なことは、最も人気のあるアドネットワークを特定することではない。大量のデータを保有していて、脆弱なアドネットワークを特定することが重要なのだ」（同）