新たに発見される危険なモバイルアプリはますます増え続けている。2015年2月に発表されたMcAfee Labs四半期脅威リポートによると、2014年第4四半期には600万件以上のモバイルマルウェアのサンプルが検出されたという。これは前四半期と比べて14％の増加だ。また、報告対象の全てのモバイル端末が1件以上のマルウェアに感染しており、その大半はAndroidのアドウェア「Airpush」だった。

　アドウェアが全て悪質だというわけではないが、アドウェアはユーザーの多くが個人情報だと見なす情報も収集している。例えば、McAfeeの推計によると、モバイルアプリの64％が利用者の携帯電話事業者を検出し、59％が最後の位置情報を追跡。57％が端末使用情報を収集しているという。本当に悪質なモバイルアプリならプライバシーを侵害している可能性は一層高い。

　iOS端末でもアドウェアの問題は広がっている。特に、iOSのプロテクトを解除するJailbreak（脱獄）をして、Apple公式アプリストア「App Store」にはないアプリを実行している端末で問題になっている。例えば、iOS向けマルウェア「AdThief」は、感染した端末に表示される広告を乗っ取ってアプリ開発者が得るはずの報酬を盗み取る。別のiOS向けマルウェアの「SSLCreds」は、ソーシャルニュースサイト「reddit」を介して配布され、ユーザーのパスワードを盗む。

　モバイルアプリの安全性確保はAndroidだけの問題ではない。あらゆるモバイルユーザーの課題であり、IT部門は従業員に周知する必要がある。

危険なモバイルアプリを見分ける6つの方法

　モバイルアプリのセキュリティリスクをなくすことは、依然として難しい。多くの企業では、従業員がアプリを自由にダウンロードする習慣が、事態を悪化させている。さまざまな形態の迷惑アプリや有害アプリがあるので、IT担当者は従業員に自制を促す必要がある。モバイルアプリのサンドボックス化やコンテナ化、アクセス許可のオプトインなどもマルウェア対策に役立つが、有効なマルウェア対策戦略を立てる際に複雑になる一面もある。

　では、危険なモバイルアプリを回避するのに役立つ方法やツールを紹介しよう。

方法1：信頼できるアプリストアのアプリかどうかを確認する

　モバイルマルウェアの大多数は、サードパーティーの非公式アプリストアから流通している。Android端末では従業員のサイドローディング（公式アプリストア以外からアプリをインストールすること）を禁止すべきだ。iOSの場合はJailbreakを禁止して、App Store以外の場所からアプリをインストールさせないようにする。

　非公式ストアからアプリをインストールしなければならない正当な理由が存在する場合もなくはない。だが実際にそのような状況にあるユーザーは限られており、一般的なポリシーとしては、JailbreakしたiOS端末の利用を禁止する方がいい。

方法2：アプリのレビューや要求されるアクセス許可を確認する

　アプリがどのようなアクセス許可を使用するかは、OSによって開示が義務付けられている。アプリが端末の位置情報やメールのメッセージ、インストール済みアプリなどの情報にアクセスする場合は、ユーザーがそれに対し明示的に許可を与える必要がある。

　残念なことだが、長々しいアクセス許可リストが表示されて「はい」か「いいえ」の二択が提示されると、あまり考えたくなくなってしまう。だがこのときこそ、侵入アプリを見分けるいいチャンスだ。インストール数やレビュー数の少ないアプリには注意し、提示された用途と無関係のアクセス許可を求めるアプリは避けるようにしよう。

方法3：モバイル用マルウェア対策を実行する

　Androidのセキュリティ問題の現状を考えると、Android端末向けマルウェア対策アプリ市場が存在するのも驚きではない。ITセキュリティの第三者評価機関である独AV-TESTのWebサイトでは、マルウェア対策アプリの最新リストや、保護レベルと使いやすさに関する評価を参照できる。

　iOSの場合はアプリ同士が厳格に分離されているので、従来のマルウェア対策アプリは使えない。それでもiOS用モバイルセキュリティアプリは存在する。これらはファイルをスキャンして、Jailbreakされていないかどうかチェックする。

　既知の不正モバイルアプリのインストールをブロックするモバイルセキュリティツールのインストールも検討するとよい。この場合、評価の高い信頼できるツールを選ぶことが重要になる。実は何もしない、あるいは悪質な動作をする偽マルウェア対策アプリには要注意だ。

方法4：モバイルアプリレピュテーションサービスを利用する

　Androidの分野で特に人気が高まっているのが、米Webrootの「BrightCloud モバイル アプリ レピュテーション」といったモバイルアプリレピュテーションサービスだ。これらは、モバイルアプリのセキュリティレベルやアクセス範囲、個人データ収集範囲などに基づいてアプリの信頼性を評価する。IT管理者は、このようなサービスを利用することによって、管理対象端末にインストールするモバイルアプリの評価分析を実施できる。

　Google Playで提供されているセキュリティアプリの「McAfee Mobile Security」「Lookout Security & Antivirus」「F-Secure Mobile Security」などは、インストールされるAndroidアプリをインストール時またはインストール後にスキャン。特殊なアクセス許可や過剰なアクセス許可を求める場合に警告を発する。

方法5：公表されているアプリ脆弱性を確認する

　脆弱なアプリは、それ自体がマルウェアであるとは限らないが、マルウェアのインストールに悪用される恐れがある。セキュリティの専門家は常にモバイルアプリの新たな脆弱性を発見しており、それらは勧告として公表され、OSやアプリの開発元によってパッチの作成に活用されている。公開されている情報の中には、HTTPSセッションでSSL証明書を適切に確認していないために中間者攻撃（正規の通信に割り込んで通信内容を改ざんしたり盗んだりする攻撃）を受ける可能性のあるAndroidアプリが複数見つかった、というような脆弱性情報もある。

　この手の攻撃に悪用される可能性のある脆弱なアプリは、「nogotofail」などのセキュリティテストツールを使って検出することもできる。IT部門は、ビジネスアプリに新しいバグが見つかっていないかどうか常に目を光らせ、モバイルアプリ管理（MAM）ツールを使ってパッチを適用していないモバイル端末を隔離したり、OSやアプリに最新のアップデートを強制適用したりすることが必要だ。

方法6：エンタープライズアプリのセキュリティリスクをテストする

　自社開発アプリに脆弱性がないかどうか、安全性の低いコーディングプラクティスが存在しないかどうか確認しておく必要がある。社内で開発したモバイルアプリを使用している場合は、それらのセキュリティ評価をするために、米IBM、米Hewlett-Packard、米Veracode、米WhiteHat Securityのようなアプリケーションのセキュリティ評価を提供するベンダーとの契約も検討する。セキュリティベンダーには、静的テスト、動的テスト、インタラクティブテストなど徹底的に脆弱性を調べる技術がある。

　セキュリティ対策には終わりがない。だがモバイルアプリの安全性を守るために、こうした基本を押さえておけば、ネットワークが不正アプリや侵入アプリの被害を受ける危険性を低くすることができる。

目前に迫る“ストレージ危機一髪”、データ管理は「どうすりゃ委員会」開催！

（イラスト／きたみりゅうじ）

TechTargetジャパンは4月21日、データ管理や活用に積極的に取り組む読者を対象にしたLIVEオンラインセミナーを開催します。タレントの伊藤えみさんを司会に業界の識者が集合。ストレージ関するあなたの課題を解決します。

• 受講申し込みはこちら

視聴者プレゼント

LIVE オンラインセミナーをご覧いただいた方の中から抽選で1名の方に、Windowsタブレット「Dell Venue 8 Pro」をプレゼント致します。ぜひお申し込みください。