Androidで危険なアプリを見分けて回避するための5つのヒント

Google Playストアは、Androidアプリを入手できる唯一の場所ではありません。サードパーティのマーケットプレイスを利用すれば、Playストアにないアプリや、有料アプリを無料で手に入れることもできます。しかし、こうしたアプリをサイドローディング(非公式経由でのインストール)すると、個人情報が漏洩するリスクを負うことになります。

実は、Playストア上のアプリも必ずしも安全とは限りません。本来必要のないデータへのアクセス権限を大量に要求したり、トラッキング目的の広告を表示したりするケースもあります。Googleは有害なアプリの排除に尽力していますが、ユーザー自身も予防策を講じることが大切です。

この記事では、Androidで危険性のあるアプリを避けるための具体的な方法をご紹介します。

1. 不明な提供元からのアプリインストールを避ける

Androidアプリを閲覧・インストールするなら、Playストアが最も安全な場所です。Googleはさまざまなセキュリティ機構を導入しており、ダウンロードするアプリの安全性を確保しています。その一つが「Google Play プロテクト」です。これはバックグラウンドで動作し、Playストアやその他の提供元から取得したアプリをスキャンします。

端末でPlay プロテクトの状態を確認するには、Playストアを開き、メニュー > Play プロテクトをタップします。最近スキャンしたアプリの状態をチェックし、有害なアプリの検出機能を改善するオプションをオンにすれば、未知のアプリをGoogleに送信して追加審査を受けることができます。

サイドローディングは必要なときだけ行う

サイドローディングとは、APKファイルを使ってPlayストア以外の提供元からアプリをインストールすることです。この方法ではPlayストアの保護機能をバイパスするため、さまざまなセキュリティ脅威に端末がさらされる可能性があります。サイドローディングには正当な理由とそうでない理由の両方があります。

サイドローディングが妥当なケース:

• 地域特有の言語やタスクに対応したアプリが必要な場合
• 地理的制限やポリシーによりPlayストアで配信されていないアプリが必要な場合。また、新バージョンが頻繁にクラッシュしたり、必要な機能が削除されたりした場合に、旧バージョンをインストールしたい場合
• 広告やトラッカーを含まないフリーかつオープンソースのアプリを求めている場合

避けるべきサイドローディングの理由:

• アプリにお金を払いたくなくて、サードパーティストアや怪しいサイトから無料版を探す場合
• 海賊版の改造ストリーミングアプリをダウンロードして、違法に映画やテレビ番組を視聴する場合

サイドローディングで遭遇しうるリスク

マルウェアの大半はPlayストアの外からやってきます。マルウェアはアプリのソースコード自体に組み込まれているため、事前に悪質な挙動に気づくことは困難です。感染したアプリは、海賊版アプリ、正規アプリの再パッケージ版、あるいはブラウザ経由の「ドライブバイダウンロード攻撃」などで拡散されます。

再パッケージされたアプリは、ほぼオリジナルのままですが、新しい機能が追加されています。開発者は通常、広告収益を盗んだり横取りしたりするために新しい広告ライブラリを組み込みます。場合によっては、悪意のあるペイロード(不正コード)が仕込まれた再パッケージアプリに出くわすこともあります。

このペイロードは、バックグラウンドでGPSスイッチを操作して位置情報を監視したり、同意なしにプレミアム番号へSMSを送信したりすることがあります。また、アプリ内のバナー広告を誤ってタップすると、偽の動画ダウンローダーやバッテリー診断アプリを掲載した悪質なサイトへリダイレクトされることもあります。こうした偽サイトは、見慣れたアイコンやインターフェースを使って信頼を得ようとし、個人情報を盗み出します。

サイドローディング前に自問すべきこと

インストール前に、次の点を自分に問いかけてみましょう。

• このアプリは信頼できる提供元や正当なウェブサイトからのものか?
• これは開発者の公式サイトか?
• 評判の良い開発者やパブリッシャーによるものか?
• 他のユーザーは実際にこのアプリを使っているか?

これらの情報の確認は簡単です。Redditで検索したり、XDAフォーラムを閲覧したりして、コミュニティにアプリやサイトについて尋ねてみましょう。事前調査を行えば、アプリを安全に使えるかどうかを判断できます。

2. サードパーティのアプリストアを避ける

サードパーティのアプリストアの中には優れたものもありますが、すべてのマーケットプレイスが同じ品質というわけではありません。多くのストアでは、開発者登録なしでアプリを投稿でき、セキュリティ管理、厳格なポリシー、品質管理が欠如しているため、悪質なアプリをダウンロードしやすくなっています。

比較的安全なサードパーティアプリストア

セキュリティ面の心配なく無料でアプリをダウンロードできるマーケットプレイスが2つあります。

F-Droidは、フリーかつオープンソースのAndroidアプリ専用のアプリストアです。多数のコントリビューターによって運営されているコミュニティ主導のソフトウェアプロジェクトで、ドキュメントページにはFAQや、F-Droidストアへのアプリ公開に関するサポート情報がまとめられています。

さらに、ストアの整合性を検証し、悪質なアプリからユーザーを守るためのセキュリティモデルとアーキテクチャに関するページが丸ごと用意されています。F-Droid上のアプリは、プロプライエタリなPlayサービス、アナリティクス、広告ライブラリを使用できないというルールがあり、独自のポリシーと厳格な審査プロセスも備えています。

APKMirrorは厳密にはアプリストアではなく、高品質なアプリだけを厳選して紹介するコミュニティ運営のソフトウェアプロジェクトです。地理的制限によりPlayストアで入手できないアプリのインストール、人気アプリの旧バージョンと変更履歴の提供、段階的に展開されるアップデートの即時適用などを可能にします。こちらもアプリ掲載に関して厳格なポリシーとセキュリティモデルを持っています。

3. AppBrainでアプリの権限をクロスチェックする

Android Marshmallow以降、アプリが特定のデータや機能にアクセスする際には、個別に権限を付与する仕組みになっています。アプリをインストールする前に、そのアプリが要求する権限を必ず全体像として把握しましょう。

各アプリの情報ページの下部には「権限」セクションがありますが、これはあくまで基本的な概要にすぎません。簡潔な説明では、アプリが実際にその権限をどのように使用しているのかまでは分かりません。

そこで役立つのが「AppBrain Ad Detector」というアプリです。このアプリは、プッシュ通知、ホーム画面のスパム、プライバシー懸念のあるアプリといった迷惑要素をすべて検出します。さらに、アプリが利用している広告ネットワークやトラッキングライブラリの詳細も教えてくれます。

インストール後、Edit Settings(設定の編集)に進み、Enable live mode(ライブモードを有効化)をオンにします。すると、新しくインストールしたアプリをすべてスキャンし、問題があれば通知で知らせてくれます。Show Appsをタップすると、懸念度順またはアルファベット順でアプリを表示できます。Show Concernsをタップすれば、懸念事項、広告ネットワーク、アプリが使用するソーシャルSDKなどに基づいてアプリを並べ替えることも可能です。

あるいは、PCからAppBrain Statsにアクセスし、検索ボックスにアプリ名を入力する方法もあります。アプリのページを開けば詳細な分析結果を確認できます。アプリの公開からの経過期間と最終更新日、更新頻度、使用している権限、利用している広告ネットワークに注目しましょう。

これらの情報をもとに、インストールするか見送るかを判断できます。AppBrainは関連アプリも提案してくれるので、評価が高く権限の少ない代替アプリを見つけるのにも役立ちます。

4. アプリの掲載ページを入念に確認する

アプリが宣伝通りの機能を本当に果たしているかを確認することは、問題のあるアプリをふるいにかける有効な手段です。ただし、異常な挙動の検出は簡単ではありません。あるアプリでは悪質とみなされる挙動が、別のアプリでは正常な機能である場合もあるからです。アプリの掲載ページをチェックする際は、細部まで注意深く観察しましょう。

レビューを読む

星の数だけで判断せず、レビュー本文を読んでユーザーが何と言っているかに注目しましょう。アプリ自体は問題なく動作していても、直近のアップデートで要求される権限について不満が寄せられている場合は、さらに調査が必要です。レビューの並べ替えを「参考になった順」から「新しい順」に変更し、オプションで最新バージョンを選択すると、現在のアップデートに対する最新のレビューが表示されます。

一部の開発者は架空のレビューを購入していますが、それらは見抜けます。本物のレビューにはアプリの問題点が含まれており、レビュアー自身の意見も添えられているものです。また、開発者がそうしたレビューに返信しているかどうかにも注目してください。レビューにも欠点はあり、アプリの評価を盲目的に信用してはいけません。

アプリの説明文を読む

説明文には、アプリの主要機能がわかりやすく記載されているはずです。適切な文章構造、正しい文法、誤字脱字がないかなど、プロフェッショナルな印象を受けるかどうかをチェックしましょう。評判の良い開発者は、機能を単に羅列するのではなく、主要な特徴をきちんと説明する傾向があります。多くの場合、フィードバック用のリンクが含まれ、アプリの用途についても丁寧に説明しています。

Playストアのポリシーでは、スクリーンショットにはアプリの最良かつ本質的な機能を映すことが求められています。正規の掲載ページから盗んだと思われる汎用的なインターフェース画像ばかり並んでいるなら、それは警告サインです。

公開日とダウンロード数を確認する

アプリの公開日とダウンロード数にもさっと目を通しましょう。小規模な開発者による公開されたばかりのアプリが、異常に多いダウンロード数を記録しているのは不自然です。そのような場合は、水増しされたダウンロード数の可能性があります。

逆にダウンロード数が少ない場合、そのアプリは「アーリーアクセス」プログラムに登録しているのかもしれません。詐欺師はわざわざアーリーアクセスに参加しようとしないため、これはむしろ正当性を示すサインといえます。

開発元を調べる

アプリの真正性に自信が持てない場合は、開発者名を確認しましょう。開発者名はアプリ名のすぐ下に表示されています。開発者名をタップすると、その開発者が公開している他のアプリの一覧ページが表示されます。アプリが1つしかなく(特にダウンロード数と公開日に矛盾がある場合)、警戒すべき兆候です。

コピー品かどうかを見分けるには、スペルに注目してください。たとえばWhatsApp Messengerの開発元はWhatsApp Inc.です。「WhatsUp」や「WhatzUp Messenger」といった表記を見かけたら、無視しましょう。評判の良い開発者は、公式ウェブサイト、他のアプリに関する情報、SNSページ、連絡先などの情報を公開しています。

プライバシーポリシーを読む

アプリが何らかの形で個人データや機微なユーザーデータを収集・送信する場合、プライバシーポリシーでその旨を明示する義務があります。各アプリの掲載ページの下部には「プライバシーポリシー」セクションがあるので、タップして内容を確認しましょう。

危険な権限を要求しながらプライバシーポリシーを設けていないアプリは、重大な危険信号です。また、プライバシーポリシーの自動生成ツールも普及しているため、いくつかの文章を読んで、本物らしい内容かどうかを見極めるようにしましょう。

5. システムアップデートは常にインストールする

GoogleはAndroid向けの月例セキュリティアップデートをリリースしています。理想的には、アップデートが配信され次第インストールすべきです。悪質なアプリが悪用しようとする特定の脆弱性から端末を守れるからです。

ただし、すべてのスマートフォンメーカーがタイムリーにアップデートを提供しているわけではありません。そのため、次にスマホを購入する際は、少なくとも2年間のメジャーアップグレード対応と、定期的なセキュリティアップデートの提供が保証されているかどうかを判断材料にしましょう。

明白な詐欺アプリを避けよう

Googleは悪質なアプリの排除に全力を挙げています。ストアポリシーを頻繁に改訂し、ガイドラインに違反するアプリを禁止しています。ここで紹介した予防策を実践すれば、安全にAndroidライフを楽しめるでしょう。

ご想像のとおり、Playストアにはそもそもインストールする価値のないアプリも存在します。避けるべき詐欺アプリの例もぜひチェックしてみてください。