Malwarebytesは3月17日(米国時間)、「Google cracks down on Android apps abusing accessibility | Malwarebytes」において、GoogleがAndroidのアクセシビリティサービスの利用を制限したと報じた。

この変更はAndroid 17 Beta 2に組み込まれ、今後は「Androidの高度な保護機能モード(AAPM: Android Advanced Protection Mode)」を有効にしている場合、特定の種類のアプリを除き、アクセシビリティーサービスの使用は禁止されるという。

  • Google cracks down on Android apps abusing accessibility｜Malwarebytes

    Google cracks down on Android apps abusing accessibility ｜ Malwarebytes

便利な機能が“攻撃経路”に、悪用が続くアクセシビリティAPI

Androidのアクセシビリティーサービスは、デバイスの広範な操作をアプリに許可するAPI（Application Programming Interface：アプリケーション・プログラミング・インタフェース）だ。特別なデバイス操作を許可することで、障がいを持つユーザーなど、支援を必要とする人々のスマートフォン利用を可能にしている。

一方で、この強力な権限はマルウェアにも悪用されてきた。画面操作の取得やユーザー入力の監視などが可能になることから、攻撃の足掛かりとして利用されるケースが後を絶たない。

Googleはこれまでも対策を重ねてきたが、マルウェア側も回避策を講じるなど、いたちごっこの状態が続いている。

新仕様、対象外アプリは自動的に権限剥奪

今回Googleはこの状況を打開するため、高度な保護機能モードを有効にしている場合に、アクセシビリティツールに分類されていないアプリからのアクセシビリティサービスAPIの利用を禁止する変更を導入した。

アクセシビリティツールの分類対象となるアプリは、スクリーンリーダー、スイッチ入力システム、音声入力システム、点字ベースのアクセスシステムなどで、それ以外のアプリは対象とならない(参考：「Use of the AccessibilityService API - Play Console Help」)。

この分類に含まれないアプリは、高度な保護機能モードが有効になると自動的にアクセシビリティサービスの許可が取り消されるようになる。また、高度な保護機能モードをオフにしない限り、権限を許可することもできないとされる。

既存アプリにも影響、知らないうちに動かなくなるケースも

今回の仕様変更は、正当な用途でアクセシビリティーサービスを利用していた既存アプリにも影響を及ぼす可能性がある。

これまで問題なく動作していたアプリでも、設定状況によっては必要な権限が失われ、機能が制限されるケースが想定される。ユーザーが意図しない形で挙動が変わる可能性もあり、注意が必要だ。

そのためGoogleは、影響を受ける可能性のあるアプリ開発者に対し、Android 17.2の正式リリースまでに代替手段への移行を検討するよう求めている。

セキュリティ強化と利便性のトレードオフ、いたちごっこは続くか

今回の変更は、アクセシビリティーサービスの悪用という長年の課題に対し、Googleがより強い制限で対応したものといえる。

一方で、その影響はセキュリティ対策にとどまらず、アプリの利便性や互換性にも及ぶ。安全性を優先するか、柔軟性を維持するかという難しいバランスが改めて問われている。

Malwarebytesは、こうした対策にもかかわらず、マルウェア開発者が新たな手法を見つける可能性があると指摘しており、今後も攻防が続くとの見方を示している。