この点に関して、モバイル端末に同じ要件は当てはまらない。スマートフォンやタブレットは、より新しいプラットフォームの上に構築され、最新の脅威を念頭に置いている。例えば、ほとんどのモバイル端末はJRE（Java Runtime Environment）やFlashに対応していない。しかも、従業員は一般的に、好ましくない外部のソースからではなく、アプリストアからアプリをダウンロードする。またスマートフォンはかなり定期的にアップデートを受け取っている。

　それでもスマートフォンが普及し、ユーザーがこのプラットフォームを信頼し、仕事とプライベートの双方で利用する中で、サイバー犯罪集団が次に開拓しようとするのはモバイルマルウェアだ。証拠はいくらでもある。ボットネットの「MisoSMS」は韓国のAndroid端末からメールを収集し、中国の攻撃者に電子メール経由で送信していた。別のマルウェアではカスタマイズしたボットを人気ゲームのように見せかけてインストールさせ、メールを送信させて1通当たり最大20ドルの料金を発生させていた。米Juniper Networksの調査によれば、Androidマルウェアは2012年に600％増加した。フィンランドのセキュリティ企業F-Secureの報告書は、「高度な専門サプライヤー」がWindowsデスクトップを狙ったものとよく似た「商品化されたマルウェアサービスを提供」していると伝えている。

OSのマルウェア対策

　マルウェアを端末に感染させないために、米Appleは「App Store」で提供するiOSアプリの厳格な審査ポリシーを定めている。iOSウイルスは存在するものの、このポリシーはうまく機能しているようだ。米Googleもアプリストア「Google Play」のスキャンを始めたが、iOS端末と違ってAndroidは外部のソースからもアプリをサイドロードできる。このためセキュリティ上、危険のあるアプリや、マルウェアが仕込まれたアプリをユーザーがダウンロードすることがある。

　GoogleはAndroidのバージョン4.2の段階で、ある程度のマルウェア対策機能を実装した。だがその対策は軽微なものにすぎず、米ノースカロライナ州立大学の実験によれば、マルウェアの15％程度しか検出できない。これでは保護対策として十分とはいえず、偽アプリ感染の危険についての警告を無視するユーザーも多い。例えば、人気ゲーム「Flappy Bird」の開発者が、クセになり過ぎるという理由で公式アプリストアを通じた提供を中止すると、ユーザーはサードパーティーソースを通じてこのゲームアプリを探そうとした。その多くはマルウェアが仕込まれたバージョンだった。

　ユーザーがもし、モバイル端末へのダウンロードについてもデスクトップPCやノートPCと同じような安全策を講じれば、つまり、スキャンされたアプリストアからの公認アプリのみを使い、加えて携帯メールや電子メールからの不審なリンクを避ければ、マルウェアはかわせるはずだ。だがユーザーが常にそうしたベストプラクティスに従うとは限らない。しかも私物端末の業務利用（BYOD）の世界にあって、私物のモバイル端末では会社の情報も個人の情報も同じ場所に保存されるため、従業員のダウンロードに関する悪習はIT部門にとっての問題となる。

モバイル向けウイルス対策ソフトの限界

　だが、モバイル端末向けのウイルス対策ソフトがデスクトップ向けと同じように機能すると思ってはいけない。PC向けのウイルス対策ソフトが隅から隅までスキャンできるのに対し、モバイル向けのウイルス対策ソフトは単なるアプリの1つにすぎない。つまりウイルス対策ソフトがアクセスできるものには制約がある。モバイルマルウェア対策ソフトでは、OSファイルやWebサイトフィルタ、インメモリスキャン、リアルタイム保護エンジンにはアクセスできない。iOSでは設計上、アプリはサンドボックス化され、OSからも、個々のアプリからも切り離されている。例えばiOSではウイルス対策ソフトから電子メールアプリへのアクセスができないため、受信した電子メールの添付ファイルをスキャンしたい場合、そのファイルをウイルス対策スキャナに送ってウイルス感染をチェックしなければならない。

　Android端末ではユーザーがアプリをサイドロードしたり端末をRoot化したりすることができるため、別の懸念もある。多くのAndroid向けウイルス対策ソフトは主に、非公式なサードパーティー製のアプリをスキャンして、既知の不正アプリの一覧と照らし合わせてチェックする。これは、そのウイルス対策ソフトで不正アプリの一覧が更新されているかどうかによるところが大きい。Android向けウイルス対策ソフトの中には、Root化された端末をチェックするものもある。スマートフォンをRoot化すれば、機能や情報にアクセスしたり、連絡先やメールなどへのアクセス許可を求めるサンドボックス機能を迂回したり、新規のROMやカスタム版のROMにアクセスしたりできる。

ウイルス対策ソフトが必要なモバイル端末

　Android用のウイルス対策ソフトは改良が続けられているが、Google Playでのスキャン以上のものではなく、PC向けのウイルス対策ソフトでスキャンできるもの全てをウイルス対策ソフトでスキャンできるわけではない。それでもウイルス対策によって端末のパフォーマンスに支障が出ることはなく、ユーザーがセキュリティのベストプラクティスに従ってくれると思えない場合、何もないよりはましだ。特にAndroidの4.2より前のバージョンを使っている場合、ウイルス対策ソフトのダウンロードを促した方がいい。モバイルウイルス対策ソフトの中には、GPSを使って端末を探したり、遠隔操作で端末にロックをかけたりデータを消去できるものもある。

　iOSに関しては、脱獄させた端末でない限り、モバイルウイルス対策ソフトをダウンロードする理由はほとんどない。理論的に脆弱性を突くことは可能でも、まだiOSに対する攻撃が広がった前例はない。iOS向けのウイルス対策製品で添付ファイルやダウンロードしたファイルをスキャンして他のユーザーを守ることは可能だが、端末自体のセキュリティにほとんど影響はない。

　もし社内の端末を完全にコントロールできていれば、つまり、Root化された端末や脱獄させた端末が存在せず、ユーザーが最新版のモバイルOSを使っていると確認できれば、モバイルウイルス対策は不要かもしれない。だがあらゆる種類の端末の持ち込みを認めている場合、あるいは端末を直接コントロールできない場合、ユーザーにモバイルウイルス対策ソフトのダウンロードを義務付ける価値はありそうだ。残念ながら、本物のFlappy Birdsのゲームはもう入手できないというニュースを伝えるのもまだIT部門の仕事のうちだ。