新品のAndroidスマホにマルウェアがプリインストールされている？知っておくべきセキュリティの実態

新しいスマートフォンの開封は、テクノロジーならではの喜びのひとつです。包装フィルムを剥がし、箱の蓋をそっと開け、真新しい端末の電源を入れる。カラフルなブートロゴが回りながら、初期状態のOSが起動の準備を整えていく——そんなワクワクする瞬間です。

しかし、その「ピカピカ」な外見の裏に、何か不穏なものが潜んでいるとしたらどうでしょうか。実は、新品のAndroidスマートフォンを必ずしも信用できるとは限らないことを示す証拠が、次々と明らかになっています。

グローバル化した家電サプライチェーンの闇

現代の製造業におけるサプライチェーンは非常に複雑です。グローバル化により、原材料から完成品まであらゆるものが世界的な市場で取引されており、家電製品も例外ではありません。中でも中国は世界最大級のエレクトロニクス生産国であり、1980年代頃から経済成長が本格化して以降、多くの欧米企業が生産を中国へアウトソーシングしてきました。

中国はまた、現代エレクトロニクスに不可欠なシリコン（ケイ素）の最大の生産国でもあります。世界中で使用されている民生用電子機器の大部分は中国で製造されており、2017年だけでも中国から米国への輸入額は1,890億ドルに達しました。この驚異的な成長と市場支配力が、2018年を通じて両国が互いに高額な関税を課し合った米中貿易戦争の一因となったのです。

中国が製造サプライチェーンの大きな割合を握っているとはいえ、素材や組み立て済み部品は世界各地から調達されています。だからこそ、Appleのデバイスの背面には「Designed in California. Assembled in China」と刻まれているのです。経済学者レナード・リードは1958年の随筆「I, Pencil（私、鉛筆）」の中で、一見シンプルな使い捨て製品である鉛筆1本を作るために必要な、途方もなく精緻な工程の数々を詳述しました。

このように広大で複雑なエレクトロニクスのサプライチェーンでは、正確なトレーサビリティ（追跡可能性）を確保すること自体が、ほぼ不可能なのです。

Androidスマートフォンの製造事情

Appleは「ウォールドガーデン（閉じた庭）」方式を採用しており、製造プロセスを厳格に管理しています。過去には工場労働者の労働環境の劣悪さや安全性が問題視されたこともありましたが、それでも同社はプロセス全体を強固にコントロールしています。

一方、Androidデバイスについては同じことは言えません。

GoogleはモバイルOSに対して「極力介入しない」スタンスを取っています。Androidはオープンソースであるため、メーカーはライセンス料を一切支払わずに、ほぼ自由にOSを改変できます。このビジネスモデルこそが、Androidを主流へ押し上げ、現在の市場支配力につながったとされています。

しかしこの手法には欠点もあります。OSの断片化、遅い、あるいは提供されないことさえあるアップデート、広告だらけで反応の鈍いランチャーなどがその例です。各メーカーとキャリアは、それぞれの端末のハードウェアとソフトウェアを独自に設計できるため、市場には多種多様なAndroid端末が溢れています。

さらに、製造工程の大部分は中国で行われているため（中国から直接スマホを購入する人が増えているのはこのためです）、ひとつの工場が複数メーカー向けのスマートフォンを組み立てることも珍しくありません。同じ生産ラインで、ブランドロゴだけ変えて製造されるケースすらあります。その結果、多くの端末がソフトウェアや部品を共有し、場合によっては完成品そのものが同一ということも起こり得ます。

新品のスマートフォンは信用できない？

Androidのオープンな性質は、Appleが慎重に管理するデバイスとは違った形でマルウェアの温床になりやすいものです。Googleはここ数年、プラットフォームのセキュリティ向上に取り組んできましたが、メーカーの杜撰な慣行と入り組んだサプライチェーンは、悪意ある攻撃者にとって絶好の侵入経路となります。

事例1：RottenSysマルウェア

2018年初頭、Xiaomi Redmiに搭載されたWi-Fiサービスが、Check Point Research（CPR）の研究者の目に留まりました。調査の結果、このアプリはWi-Fiサービスを一切提供していないことが判明します。代わりに、Wi-Fiとは無関係の大量のセンシティブなAndroidパーミッション（権限）を要求していたのです。

中でも注目すべき権限が「DOWNLOAD_WITHOUT_NOTIFICATION」（通知なしでのダウンロード許可）でした。このアプリは、端末の初回起動後にわずかな時間差をおいて、C&C（Command & Control）サーバーから悪意のあるソフトウェアをダウンロードしていたとみられます。「RottenSys」と呼ばれるこのマルウェアは、オープンソースフレームワーク「MarsDaemon」を利用してプロセスを存続させ、OSからの検出を巧みに回避していました。

C&Cサーバーは悪質な広告ネットワーク用のファイルを提供しており、偽のWi-Fiサービスによってユーザーの気づかぬうちに端末へインストールされていました。CPRの推定では、攻撃者は10日間の稼働ごとに最大11万5,000ドルを稼げた計算になります。さらに研究者たちは、攻撃者が感染端末をボットネットに組み込もうとしていた兆候も発見しています。

CPRの調査によると、感染端末の約半数は電子機器卸売業者のTian Paiが扱ったものでした。同社の関与まで断定はしていませんが、マルウェアはサプライチェーンのどこかの時点で仕込まれた可能性が高いと結論付けています。

このマルウェアは2016年9月頃から拡散を始め、2018年3月までに世界中で約500万台の端末に感染していました。幸い、RottenSysの駆除は場所さえ分かれば数秒で完了します。新しいAndroid端末にアドウェアが蔓延しているように感じたら、設定画面を開き、CPRのレポートに記載されている該当アプリを探して削除してください。アプリをアンインストールすれば、RottenSysも一緒に消えるはずです。

事例2：Shanghai AdUps Technologyのスパイウェア

スマートフォンは日々、膨大な個人情報や機密データを生成・保存しています。新品のスマホが、そうしたデータをすべて収集し、72時間ごとに中国のサーバーへ送信している——そんなことは普通、想像もしないでしょう。

しかし、セキュリティ企業Kryptowireの研究者たちは2016年、まさにその動作を行うファームウェアを発見しました。影響を受けたファームウェアは、米国で販売された複数のAndroid端末に確認され、人気モデルのBLU R1 HDも含まれていました。Androidのパーミッションシステムを迂回することで、このファームウェアはユーザーデータへの無制限のアクセスを獲得していたのです。レポートによると、収集されていた情報には以下が含まれていました。

「…ユーザーおよび端末情報。本文を含む全テキストメッセージ、連絡先リスト、完全な電話番号付きの通話履歴、IMSI（国際移動体加入者識別番号）やIMEI（国際移動体装置識別番号）といった固有の端末識別子など。」

さらに、このファームウェアは端末の遠隔再プログラミング、アプリの勝手なインストール、高精度位置情報（Fine Location）の収集まで可能でした。Kryptowireはこの不審な活動を中国企業のShanghai AdUps Technologyまで追跡しました。同社はデータ収集は「ミス」であり、ファームウェアはアップデート提供のためだけのものだと説明しましたが、その後、米国政府、Amazon、BLU、Googleと協力してスパイウェアを除去しています。

ところが1年後、研究者たちはShanghai AdUpsが依然としてAndroid端末でスパイウェアを使い続けていることを突き止めます。データ吸い上げ機能の多くは削除ではなく「隠蔽」されており、米国向け端末では一部機能が無効化されていたものの、依然として中国企業へデータが送信され続けていました。Kryptowireによれば、AdUpsはインストール済みアプリの一覧、電話番号、端末識別子、基地局情報の収集を継続していたといいます。

なお、米中関係の現状を踏まえると、Kryptowireが米国防総省高等研究計画局（DARPA）と国土安全保障省（DHS）から資金援助を受けている点は、念頭に置いておく価値があるかもしれません。

この事実をどう受け取るかは、読者一人ひとりの判断に委ねられています。

本当に信頼できるのは誰なのか？

プリインストールされたマルウェアや組み込みのセキュリティ欠陥について、その責任は中国に帰せられがちです。世界最大の監視国家を運営する政治が、製造業に滲み出ている可能性は確かにあります。しかし、攻撃者の特定は容易ではなく、「犯人」を名指しして糾弾するレポートの多くも、結局は根拠に基づく推測の域を出ません。

だからといって、中国を完全に免罪すべきではありません。Huawei（ファーウェイ）に対する近年の告発を考えれば、プライバシーを重視するのであれば同社のスマホ購入は避けるのが賢明かもしれません。実際、Huaweiがセキュリティスキャンダルに巻き込まれたのは、今回が初めてでもありません。

現在のところ、こうしたマルウェアの流れはAndroid端末にとどまっていますが、今後もずっとそうだとは限りません。Appleの厳しい監視下にあっても、マルウェアのリスクは「皆無」ではなく「低い」だけです。もし、この不確実性に疲れ果てて諦めたくなったら、いっそスマートフォンを手放し、通話とメッセージに特化したシンプルな「フィーチャーフォン」へ乗り換えることを検討してみるのも、ひとつの選択肢かもしれません。