セキュリティ強化塾

370万種の魔手が迫る、高度化する「モバイルマルウェア」防衛策（1/4 ページ）

不正アプリで6億5000万件の個人情報詐取が発生した。端末や操作情報を抜き取りワンタイムパスワードを突破するモバイルマルウェアまで対策を考える。

　モバイルマルウェアと呼ばれる悪意あるプログラムが、2012年から急増した。2013年は前年の3倍に当たる約270万種が新しく発見され、累計では370万種を超えた。ほぼ全てがAndroid端末を狙うものだ。

　個人情報窃取やフィッシング詐欺にとどまらず、端末をボット化してリモート操作したり、社内PCへのウイルス感染を狙ったりと、機能も手口も複雑化、巧妙化した。

　スマートデバイスを利用する企業は、脅威が業務や社内システムに及ぼす影響を排除し、また、従業員を被害から守るために、今何をすべきだろうか。対策への第一歩として肝心なのは、モバイルマルウェアの危険性と手口を理解することだ。今回は、よくある攻撃手口と対策に何があるかを考えてみよう。

不正アプリで個人情報6億5000万件窃取、ウラ機能に要注意

　2013年9月、「電池を長持ちさせるユーティリティー」と偽ったスマートフォン用不正アプリを作成した東京のシステム開発会社元社長ら2人と大分県の出会い系サイト運営会社の4人が逮捕されたことがニュースになった。

　注目されたのは出会い系運営会社が集めていた個人情報の数だ。何と延べ約6億5000万件の情報を保有していた。重複は多いのだろうが、日本と北米全部の人口よりも多い量の個人情報を集めた方法として、少なくとも一部にAndroid端末を狙う不正アプリが使われた。

　東京の2人は不正アプリを作成して大分県の業者に約30万円で販売した件、大分の4人は不正アプリを利用して得た個人情報を使って出会い系サイトへの勧誘を行った件で逮捕された。罪名はウイルス作成罪と同供用罪。ちなみにサイトの売上は、2007年以降合計約8億5000万円にも達したという。

　これはモバイルマルウェアによる攻撃の1つの典型例だ。このタイプの犯罪に使われるマルウェアには端末から個人情報を収集して攻撃者側に送信する機能が隠されている。まずは一般ユーザーが魅力的に感じる機能（例えば、アダルトコンテンツや人気タレントの動画など）をアプリのPRメールの形で送りつけ、Google Playに似せた偽アプリストアなどの非公式ストアに誘導し、インストールさせる。

　機能が実行される（そもそも機能がないものもある）と同時に、アプリに隠されたマルウェアが端末情報などを収集し、攻撃者に送信する。攻撃者は情報を利用して出会い系サイト、あるいはフィッシング詐欺サイトなどにユーザーを誘導するメールを送信し、金銭的な利益を得るという仕組みだ。入手した情報はアンダーグラウンドマーケットで販売することもできる。

　しかし、単に情報流出だけでは済まないケースも増えた。新しいモバイルマルウェアの中には、端末情報送信に成功すると、さらに多くの情報送信を行ったり、バックドアを作成して別のマルウェアを呼び込んだり、リモート操作を可能にしたりと、攻撃をどんどんエスカレートするものがある。図1に見るように、2013年からさまざまな機能をもつモバイルマルウェアが急増した（図1）。

　不正手口も複雑化、巧妙化し、アプリの改ざんを防止するための証明書チェックをかいくぐり正規アプリをマルウェア化するもの、社内に持ち込まれたスマートデバイスから社内システムへのウイルス感染を図るもの、スマートデバイスをボット化してリモート操作するもの、逆にPCからAndroid端末に感染を図るウイルスまで登場した。

　スマートデバイス利用を推奨する企業では、MDM（Mobile Device Management）やMAM（Mobile Application Management）を高度に実装、運用しない限り、端末内情報の外部流出は機密情報漏えいになる可能性があり、さらにPCへの感染が成功すれば社内ネットワーク全体が危うくなることを理解する必要がある。

　対策をユーザーまかせにせず、企業として積極的に従業員に危険を周知させ、必要な対策をとっていかなければならない。以下では、モバイルマルウェアの脅威と対策のポイントを考えてみる。