スマートフォンを安全に使おう － IPAの今月の呼びかけ

IPAは、毎月発表するコンピュータウィルスや不正プログラムの状況分析から、「今月の呼びかけ」を発表している。今月は、スマートフォンをとりまく脅威などについて注意喚起をしている。

Andorid OSを攻撃目標とするウイルス

現在、急速に普及の進むスマートフォンであるが、同時にウイルスなどの脅威も増大している。IPAは過去においてもその危険性を指摘し、注意喚起を行ってきた。しかし、ここにきて、スマートフォンのOSの1つであるAndroidを攻撃目標としたウイルス感染の危険性が高まり、再度、今月の呼びかけで取り上げている。実際に今年入り、IPAに届け出のあったAndroid端末ウイルスは表1の通りである。

表1 IPAに届け出のあったAndroid端末ウイルス

届け出時期	名称	特徴
2011年3月	AndroidOS/Lotoor(ロトール)[別名：DroidDream(ドロイドドリーム)]	公式のアプリケーションサイトからダウンロードで感染。感染後、Android端末の端末識別情報などを収集、外部に送信する。
2011年6月	AndroidOS/Lightdd(ライトディーディー)	感染すると、Android端末の情報を盗み取り、外部に送信する。
2011年6月	AndroidOS/Smspacem(エスエムエスパーセム)	感染すると、Android端末内のアドレス帳の連絡先に、SMSメッセージの送信を試みる。
2011年6月	AndroidOS/Smstibook(エスエムエスティブック)	感染すると、事前に設定された番号に、プレミアムSMSメッセージの送信を試みる。プレミアムSMSは、発信者がメッセージを送るだけで、相手先が利益を得る仕組みが付加されたSMSである。

このように、次々とAndroid端末を攻撃目標にした新手のウイルスが登場している。しかも、3月から7月に届け出のあったウイルスは、すべてAndroid端末を攻撃対象としていた。現時点では、SMSを悪用するAndroidOS/Smstibookのようなタイプが、実質的な被害をもたらすケースが増えている。それ以外にも、スマートフォン内のデータ、GPSの位置情報、個人情報を含む重要な情報が悪意を持った攻撃者に送信されてしまう。また、悪意を持った攻撃者にリモート操作される、ボットネットの1つとして組み込まれ、知らぬ間に特定の組織にサイバー攻撃を行うなどの犯罪の踏み台として使われてしまう危険性もある。

Android端末を狙うウイルスの感染経路

上述したように、2011年3月に届け出のあったAndroidOS/Lotoorは、公式のアプリケーションサイトにアップロードされたものであった。非公式なサイトや個人が運営するサイトなどは、セキュリティチェックがきちんと行われていないことが少なくない。公式サイトですら、ウイルスの混入を許してしまっている現状をみれば、いかに危険であるかわかるであろう。そして、もう1つは、メールに添付されるケースである。

図1のようにメール表示中の「インストール」ボタンを押すとアプリのインストールが開始される。もし、これがウイルスならば、、ウイルスに感染してしまう。送信元を確認し、不審なメールに添付されたアプリは決してインストールしないようにすべきである。

スマートフォンを安全に使用するための六箇条

IPAでは、この現状を踏まえ、スマートフォンを安全に使うための六箇条を提言している。順にみていこう。

(1) スマートフォンをアップデートする

販売元からOSのアップデートが提供された場合、速やかにアップデートする。上述したAndroidOS/Lotoorは脆弱性を悪用した。同様の手口は今後も続くことが予想される。PC同様に、脆弱性の解消をつねに行ってほしい。アップデートの手順は、販売元や製造元によって異なる。マニュアルなどを確認し、正しくアップデートを行えるようにすべきである。

(2) スマートフォンにおける改造行為を行わない

非公式なアプリのインストールや制限解除を行うために、スマートフォンを改造する方法が知られている。iPhoneにおけるJailbreak(脱獄)やAndroid端末におけるroot権限奪取行為(root化とも呼ばれる)などである。確かに、便利になったような気分になるが、一部のウイルスは改造されたスマートフォンにのみ感染するようなものもある。改造により、保証外になることもあり、いろいろな意味で危険度が高い。改造はやめるべきである。

(3) 信頼できる場所からアプリケーションをインストールする

スマートフォンで使用するアプリは、iPhoneであれば米Apple社の「App Store」、Android端末であればアプリの審査や不正アプリの排除を実施している場所(米Google社の「Android Market」)など信頼できる場所から行う。フリーのサイトなどでは、ウイルスの混入の可能性やウイルスそのものが配布される危険性もある。

(4) Android端末では、アプリをインストールする前に、アクセス許可を確認する

Android端末の場合、アプリをインストールする際に表示される「アクセス許可」(アプリがAndroid端末のどの情報／機能にアクセスするか定義したもの)の一覧を必ず確認する(図2参照)。過去のウイルスでは、個人情報などを不正に盗み取るため、アプリの種類から考えると不自然なアクセス許可をユーザーに求めるものがあった(詳しくはこちらの記事を参照)。アプリをインストールする際に、不自然なアクセス許可や疑問に思うアクセス許可を求められた場合には、そのアプリのインストールを中止すべきである。

(5) セキュリティソフトを導入する

これまでの対策で、ある程度のウイルス感染は防ぐことができる。しかし、より安全を求めるのであれば、セキュリティソフトを導入すべきである。最近になり、複数の大手ウイルス対策ソフトベンダーから、Android端末用のセキュリティソフトがリリースされてきた。これを機会に導入を検討してもよいだろう。

(6) スマートフォンを小さなPCと考え、PCと同様に管理する

企業でスマートフォンを活用する場合、スマートフォンの利用ルール、スマートフォンからアクセス可能な情報の範囲、スマートフォンに保存してよい情報の範囲、紛失・盗難時の対応などなどのポリシーを定め、管理すべきである。これ以外にも脆弱性の解消やインストールするアプリの制限なども検討すべきであろう。携帯電話の高機能版ではなく、ノートPCと同じレベルの管理が求められる。