「（米Appleの）iOS向けアプリケーションストアのApp Storeではマルウェアは見つからなかった。一方、Android向けのGoogle Playでは数十本のアプリケーションに30件以上のマルウェアが見つかった」とギド氏は話す。

　攻撃者はモバイル端末からデータを盗み出して、自分たちが運営する攻撃用サーバに送信するために、権限の昇格を狙う。単純な損益計算として、攻撃に掛かるコストはその攻撃によって見込まれる稼ぎよりも低く抑えなければならない。攻撃のためのコストには、端末への侵入の難易度、攻撃が発覚する可能性、標的とするデータの価値、データ現金化の可能性といった要素が絡む。

　最善の防御策は、端末を攻撃するために掛かるコストを引き上げることだとギド氏は言う。同氏によると、Appleはコードの実行を食い止めるために強固な障壁を築いている。App Storeに提出された全てのコードに署名し、アプリケーションには個別のIDとディレクトリが割り当てられる。さらに、「Seatbelt」と呼ばれるサンドボックスを利用して、あるアプリケーションが別のアプリケーションのデータにアクセスするのを制限し、iOSカーネルの攻撃対象領域を小さくしているという。

　一方、Androidのセキュリティ機能の場合、攻撃に掛かるコストは最小限で済むと同氏は指摘する。Androidはコード署名の代わりに、OS内でコード実行を許すエリアを制限する「No-eXecute（NX）ビット」を採用している。これは、Appleが頼みにしているコード署名に比べると効果は薄いという。さらに、iOSの「脱獄」（Jailbreak）につながる脆弱性を解決するまでにかかる時間は、Androidの場合と比べてはるかに短い。つまり、Androidの脆弱性を突く攻撃の方が寿命は長いというわけだ。

　「現時点で3億台のAndroid端末が存在するが、その大部分はOSの最新バージョンにアップデートされていない」とギド氏は指摘。初期のAndroid端末にはハードウェアの制約があるため、最新OSのAndroid 4.0に更新できないとも述べ、「攻撃にさらされる端末数は無限に等しい」という。

　Androidに感染する「DroidDream」などのモバイルマルウェア攻撃がその典型だ（DroidDreamやその亜種については「端末内データを勝手に転送──悪質化するAndroid狙いのマルウェア」も参照）。攻撃者は既知の脆弱性を突いたマルウェアを作成し、モバイルアプリケーションに挿入。そのアプリケーションをWebに公開する。公開先は、大抵の場合アプリケーション販売サイトが利用される。そして、攻撃者はメールによるソーシャルエンジニアリングで被害者をおびき寄せ、不正アプリケーションをダウンロードさせる。

　ユーザーがマルウェアをインストールすると、必要な権限の取得などを経て攻撃用サーバとの接続が確立される。攻撃者はそのサーバが収集したデータを売り払ったりして悪用する。「全ての不正侵入はこうしたプロセスをたどる。この鎖のどこかを断ち切ることができれば、攻撃は成功しない」（ギド氏）

　Androidアプリケーションを介する攻撃は、アプリケーション提出プロセスに関連したセキュリティ対策の不備に起因し、格好の攻撃手段になっていると同氏は言う。

　トラブルは最初の段階から存在する。「Google Play Android Developer Console」も「iOS App Store」も、開発者はクレジットカードを使って登録する。Google Playではクレジットカード番号がIDになり、App Storeの場合は運転免許証番号か定款が要求される。両プラットフォームともアプリケーションコードの検証を実施する。

　重要なのは、App Storeではアプリケーションのランタイム変更が認められていない点だ。App Storeに登録したそのままの状態で提供しなければならない。これに対してGoogleは、コードのランタイム変更を認めている。マーケットで提供開始する時点でアプリケーションに手を加えることができるため、攻撃者がGoogle Playに悪質なアプリケーションを送り込むことはiOSと比べてはるかにたやすい。App Storeの場合、セキュリティチェックの一部になっているコード署名により、悪質なアプリケーションが見つかる可能性が大きい。

　実際に出回っているモバイルエクスプロイトの数は極めて少なく、実在するエクスプロイトが狙うのはたった1つのプラットフォームのみだ。

　ギド氏は「セキュリティ業界の指摘と製品コミュニティーが直面していることとの間には大きな差異がある。脅威の可能性にばかり焦点が当てられ、現実の脅威には十分なスポットが当てられていない」と話す。