「Android O」を待つ必要あり？

Google Playアプリのクリックジャッキング対策に不備か（2/2 ページ）

公開 2017年05月18日 15時00分

[TechTarget]

印刷する Googleで優先するソースとして追加

修正は「Android O」で実施

　Googleのマルウェア検出機能「Bouncer」が、悪意あるアプリケーションを誤って正規のアプリケーションと見なす可能性がないわけではない。「過去には、悪意あるアプリケーションがGoogle Playストアを介してユーザーのデバイスに入り込んだという例が幾つもある」とアーセン氏は語る。世の中にはサードパーティーのアプリケーションマーケットプレースも多数あり、ユーザーがそこから悪意あるアプリケーションをダウンロードしてインストールする可能性もある。必ずしもそうしたマーケットプレースを使いたいからではなく、地域によってはGoogle Playの利用が制限され、サードパーティーマーケットプレースが唯一の選択肢という場合もあるからだ。

　SYSTEM_ALERT_WINDOWパーミッションに起因するクリックジャッキング攻撃の問題について、Check Point Software TechnologiesがGoogleに問い合わせたところ、Googleからは、現在この問題に取り組んでおり、次期OSの「Android O」でこの問題を修正するとの回答があった。

　セキュリティ企業Mimecastのサイバーセキュリティストラテジスト、マシュー・ガーディナー氏によれば、パッチをいつ公開するかは難しい判断となる場合もある。

　「アプリケーションやOSの開発者が脆弱性にパッチを当てる際に常に直面する問題だ。すぐにパッチを公開すれば、システムの安定性を損なうことになりかねない。だがパッチの公開が遅ければ、サイバー犯罪者によって脆弱性がさらに悪用されることになりかねない。難しい判断だ。大半の開発チームが日々苦労して取り組んでいる問題でもある」とガーディナー氏は語る。

　アーセン氏は、Android Oアップデートを入手しないであろう人たちのことを懸念している。ただしクリックジャッキング攻撃から身を守る方法は他にもある。

　「修正がAndroid Oでしか提供されないとなると、セキュリティの懸念が浮上する。多くのAndroidユーザーは脆弱なまま放置されることになるだろう。ただし、悪意あるアプリケーションを検出できるセキュリティソフトウェアをインストールしておくことは、画面オーバーレイ機能を悪用するアプリケーションをうっかりインストールするリスクを最小限に抑える方法として有効だ。サードパーティーのマーケットプレースからアプリケーションをダウンロードしたとしてもだ」と同氏は語る。