1. 不正アプリによる端末侵害
2. 不正Webサイトへのアクセスによる侵害
3. 盗難／紛失による情報漏えい
4. Wi-Fi／Bluetooth経由の不正侵入
5. スパムメール

　3～5はiOSとAndroid共通の問題だが、1、2はそれぞれのOSのアーキテクチャに寄与する課題だ。

　不正アプリによる端末侵害は、特にAndroidで顕著化している。正規のアプリに偽装、またはアプリにウイルスなどの不正プログラムを混入させて配布して、インストール後に悪事を働くというものだ。

　iOSはアプリ提供の窓口を正規のApp Storeに限定し、内容や著作権など厳しい審査を通過しなければアプリの登録ができない。一方のAndroidでは、正規のマーケット以外にも各キャリアのマーケットが存在する他、PC同様にマーケット以外のWebサイトからアプリをインストールすることも可能だ。当然、ウイルスを混入させてばらまくのもたやすい。

　こうした背景も手伝い、2011年1月時点で8件だったAndroidウイルスは、6月には80件、7月には150件に急増している（図1）。

図1：Androidウイルス数（2011年7月末時点、トレンドマイクロ調べ）

　ウイルスの数はPCと比べて圧倒的に少ないが、「正規のアプリにウイルスを仕込んでからパッケージ化し、配布するという手口も確認されている。特に有料のアプリを無料でダウンロードできるような違法サイトには、ウイルス入りアプリがある可能性が高いと考えた方がいい」（転法輪氏）

　最近では、ついにボット型のAndroidウイルスが登場した。ゲームアプリ経由でAndroid端末に侵入し、感染した端末は攻撃者に端末内の解析／読み込みやアプリケーションのインストール／実行を許してしまう。「2011年6月に発見されたAndroidウイルスの中で、ボット型が大きな数を占めた」（転法輪氏）

　スマートフォンに感染するウイルスは、アプリのインストール時の承認画面で承認内容をきちんと読めば感染を回避できることもある。例えば、正規のアプリでは個人情報へのアクセスや、システムファイルを書き換えることを承認画面でユーザーに許可を求めないが、不正アプリの場合はこのような承認を求められることもあるためだ。

　もっとも、手口は巧妙化しているので、個人判断で対応しきれるかというと疑問だ。PC同様のウイルス対策が望ましい。

　トレンドマイクロは、2011年5月に「ウイルスバスター モバイル for Android」のβ版の無償提供を開始した。ウイルス対策と不正サイトへのアクセスブロック、設定した番号からの着信拒否の3機能を統合している。さらに2011年9月には、紛失・盗難対策やサポート機能を加えた有償版の提供も開始する予定だ（ダウンロード版は8月25日に同社Webページで提供開始した）。

iOSの脅威の窓口はユーザー自らが開く

　では、アプリ提供の審査が厳しく、販売窓口が1つしかないiOSは安全かというと、そうでもない。

　最も有名なのは、Jailbreak（脱獄）するユーザーを狙った手口だ。Jailbreakは、正規ストア以外からのアプリをインストールするため、OSやPDFなどの脆弱性を利用して“脱獄”する方法だ。問題は、Jailbreakをあえて誘発し、その後で感染するという仕組みが構築されていることだ。

　Jailbreakで利用された脆弱性は、iOSのアップデートで随時穴埋めされている。また、Androidウイルスと違って、ユーザーがJailbreakしなければ安全性を保てる。「iOSとAndroidでは脅威の背景が異なる部分があるので、求められる対策も異なる」（転法輪氏）

　ただし、OSやアプリケーションの脆弱性は残念ながら消えることはない。さらに、Jailbreakした端末が3Gネットワークや無線LAN経由で感染を拡大させるので、被害の拡散率は高い。

　対策としては、悪意ある第三者によるWebサイトにアクセスさせない、Webレピュテーション機能が挙げられる。トレンドマイクロでは、iOS用のWebレピュテーションアプリ「Smart Surfing for iPhone OS」を無償で配布している。Smart Surfing for iPhone OSは、ブラウザでサイトにアクセスするとき、トレンドマイクロが提供するレーティングサーバを参照して、不正なWebサイトへのアクセスをブロックする。

企業ユースで求められる3つの対策ポイント

　企業でスマートフォンを利用する上では、上記の5つの脅威をより積極的かつ全体的に制御する仕組みが必要だ。転法輪氏は、「端末の状況を単体レベルおよび全体レベルで可視化し、ポリシー運用を徹底して、インシデント対策やセキュリティ監査に向けたログ管理を行う。この3つを一元的に制御することが企業に求められる」と言う。

　企業が行う3つの対策ポイントと対策内容を関連付けた表は、表1の通りだ。

表：企業に求められるスマートフォンセキュリティ対策

　PCで行ってきたセキュリティ対策をスマートフォン向けに再考する方法もある。例えばノートPCでは盗難・紛失対策としてHDDの暗号化を実施できるが、スマートフォンはリモートからデータをワイプ（消去）するなど、スマートフォン固有の対策が存在する。

　こうした企業レベルのスマートフォンセキュリティを実現するのが、「Trend Micro Mobile Security」だ。端末にエージェントをインストールし、管理コンソールからAndroidとWindows Mobileを一元管理できる（iOSやBlackBerry、Windows Phoneなどは現在検討中）。

Trend Micro Mobile Securityの端末側画面（Android）

　端末にエージェントをインストールすると、不正プログラム対策、不正サイトのブロック設定、着信／メールフィルタの機能が実装される。これらの設定は、管理者が管理コンソールから一括設定できる（画面1）。

画面1：管理者側のポリシー設定画面

　端末のセキュリティ状態は、管理コンソールで制御する。例えば、パスワードの強制設定や定義ファイル適用の徹底のほか、指定した端末のデータをリモートワイプすることも可能だ（画面2）。

画面2：指定した端末のデータを全てリモートワイプする

　2011年11月頃には、スマートフォンのOSやパターンファイルなどの情報を一元管理する機能やポリシーの集中管理機能、パターンファイルの強制アップデート機能を充実させるほか、VPNやWi-Fiなどの設定を適用するデバイスプロビジョニング機能やログ情報の一元管理などを新たに追加する予定だ。

　以上の機能を全て使えるアドバンスと、ウイルス対策や集中管理に特化したスタンダードの2種類を提供する。

　トレンドマイクロでは、セキュリティ対策とデバイス管理を1つの製品で提供でき、モバイルセキュリティの管理サーバをPC向けのウイルスバスターコーポレートエディションと統合することが可能だと、転法輪氏は言う。さらに、スマートフォンだけのセキュリティではなく、クラウドを含むネットワークシステム全体のセキュリティという観点からアプローチし、対策を提供できることが強みだと強調する。

　「Trend Micro Deep Securityでクラウドのインフラを守り、やりとりされるデータをTrend Micro SecureCloudで保護し、アクセスする端末をTrend Micro Mobile Securityで守る」。特に今後、社内システムにスマートフォンが直接アクセスしていくことを考えると、ピンポイント対策から全社レベルでスマートフォンセキュリティを考える視点が必要と、転法輪氏は語る。