最近、米政府は「ToTok」という“人気上昇中のアプリケーション”を、「海外政府機関によるスパイウェア」だと判断して使用禁止にした。動画共有サービス「TikTok」に名前が似ているこのアプリケーションは、その後アプリケーションストア「Google Play」「App Store」から削除された。モバイルデバイスの連絡先情報へのアクセスと同期について承認を求めるダイアログが追加されたことを受け、2020年1月初めにGoogleはToTokをGoogle Playに復活させたが、同年2月までに再び削除した。その理由をGoogleは明かしていない。

　「2019年の実態から、サイバー空間でのスパイ活動ではモバイルデバイスが重要な経路になることが証明されている」。デジタルリスク対策ベンダーDigital Shadowsで戦略およびリサーチアナリストを務めるアレックス・ギラクホー氏はこう語る。ギラクホー氏によると、攻撃者は人気のアプリケーションを侵害したり偽装したりするだけで、労力を最小限に抑えつつ幅広いユーザーを標的にできる。

　こうしたパターンは中国でホスティングされるWebサイトで幾つか見られた。2019年8月、Googleのセキュリティ研究者は悪意あるWebサイトを複数検出したことを発表した。ベンダーが未対策のゼロデイ脆弱（ぜいじゃく）性を悪用していたこれらのWebサイトは、アクセスしてきたモバイルデバイスやデスクトップPCに侵入しようとしていた。こうしたWebサイトはしばらく前から存在しており、スマートフォン「iPhone」に侵入して個人情報を盗み出した恐れもあるという。

　2019年に起こったサイバーセキュリティの脅威に関する重要な出来事がもう一つある。情報を勝手に盗み取るスパイウェアの「Pegasus」が、メッセージアプリケーション「WhatsApp Messenger」の脆弱性を悪用したことだ。この攻撃では攻撃者が標的に電話をかけるだけでデバイスを侵害することができ、標的はその電話を受ける必要さえなかった。「2020年にモバイルデバイスやソフトウェアの新たな脆弱性が確認されたら、スパイウェア運用者がいち早くその脆弱性を上手く悪用しようとすることはほぼ間違いない」とギラクホー氏は警告する。

　この種のハッキングを成功させるには政府の力が必要であり、残念ながらそうした代価を支払うことに積極的な存在があるのも事実だ。ToTokの場合、“人気”を生み出すことはハッカー1人でやれることではなく、仕組まれた可能性もある。

　利便性と安全性を引き換えにしたり、最新の技術を採用する一方でセキュリティ対策の導入が遅れたりすれば侵入を受けるだろう。時代遅れのアプリケーションを利用し続けることや従業員の教育不足も原因になる。技術が進歩する中、企業は極めて慎重に最新のセキュリティ対策を学び、導入しなければならない。