モバイル端末の攻撃対象領域ははるかに大きく、セキュリティコントロールははるかに少ないと指摘するのは、アプリケーションの脆弱性診断を手掛ける米Veracodeの創業者、クリス・ワイソパルCTO（最高技術責任者）である。モバイルプラットフォームのセキュリティ対策は一層困難になることが予想されるとして、次のように指摘する。

　「ノートPCでできることは何でもできる。それに加えて位置情報やSMS、音声ダイヤル、カメラ、センサーなども潜在的な侵入経路になりかねない。われわれは新手のリスクや脅威モデルを理解し、モバイルプラットフォームが持つセキュリティ面の強みを正しく利用する方法を学ばなければならない」

　米TechTargetはセキュリティ専門家数人に取材し、2012年に予想されるモバイルセキュリティ問題5点をまとめた。

1. 位置情報をめぐる騒動

　欧州は、位置情報サービスがモバイル端末ユーザーのプライバシーを侵害しかねないと見なし、いち早く対策に乗り出した。英国のデータ保護法は、位置情報の収集に制約を設けている。英国内で個人の位置情報を追跡することができる範囲は、インターネットサービスプロバイダー（ISP）の住所までに限られる。欧州連合（EU）加盟国の多くはプライバシー保護法を制定し、米Googleや米Yahoo!などのIT企業に対し、個人の位置情報を利用したロケーションベースコンテンツの提供を規制している。

　情報が悪用される恐れがあると考える人は多い。モバイル端末ユーザーの位置情報は、マーケティング上極めて高い価値を持つ。さらにアプリケーションに重要かつ貴重な機能を追加することもできる。2011年4月には、ユーザーの居場所を全て記録したファイルがiPhoneにあるのを研究者が発見し、米Appleが非難の的になった。Appleはユーザーの位置情報を追跡したことはないと弁明。間もなく情報流出を食い止めるためのファームウェアアップデートを公開した。

　米Perimeter E-Securityのアンドルー・ジェイキスCTOは、米国も欧州に倣って2012年に新しいプライバシー保護法を制定するだろうと予想する。この法律は位置情報サービスへの対応が主眼となるが、携帯電話事業者などのために設けられた抜け穴にも目を向ける見通しだ。「見境いのない位置情報の利用はいずれ犯罪になるだろう」とジェイキス氏は語る。

　サイバー犯罪集団もマルウェアなどの手口を使って位置情報サービスブームに便乗するだろうと別の専門家は予想する。位置情報を利用してユーザーをだまし、アカウントのログオン情報などの重要な個人情報を流出させようとする可能性もある。

2. 過剰なパーミッション

　アプリケーションのパーミッション要求は、セキュリティ強化の手段としてモバイルプラットフォームに組み込まれている。この要求通知は端末におけるアプリケーションの動作の許容範囲についてエンドユーザーに確認を求めるものだが、大抵のユーザーはほとんど気に留めない。ユーザーはセキュリティやプライバシーよりも機能の方を選んでしまうと話すのは、英Sophosの上級技術者を務めるジェームズ・リン氏である。ほとんどのユーザーはアプリケーションに高い権限を与え続けている。それはつまり、自分がダウンロードした最新のゲームに、端末のメッセージアプリや位置情報にアクセスできる権限を与えているのかもしれない。

　リン氏は言う。「われわれはまだ、モバイル端末のセキュリティに関して同程度の不安を持ったり神経質になったりしていない。ユーザーがモバイル端末を魔法のように安全だと思っている限り、初歩的な攻撃に遭う公算は大きくなる」

　パーミッションのモデルは完全ではないが、透明性は高まるとリン氏は解説する。2011年11月には一部のモバイル端末で、携帯電話会社用の不正な診断アプリがひそかに実行されているのを研究者が発見した。「Carrier IQ」というこのソフトウェアは、携帯電話会社が一部の機種に搭載していたものだが、必ずしもオプションではなく、多くの場合ユーザーはその存在さえ知らなかった。同ソフトウェアはGPSの位置情報を送信したり、ユーザーが押したダイヤルボタンや閲覧したURLを記録できる機能を持っていたことから、セキュリティやプライバシーの専門家から批判が噴出した。

　サービス事業者ならトラブルの診断と改善のために自社のネットワークとシステム利用状況を知りたがるものだとVeracodeのワイソパル氏は話す。「問題は、そのことを知らされていなかったユーザーを驚かせたことだ。不可解な部分をなくすには、そのソフトウェアが何のためにあるのか、いつ有効になるのか、何を収集しているのかをはっきりさせなければならない」と指摘する。

　後編は、残る3つのセキュリティ問題について説明する。