Googleは悪意のある模倣アプリの削除にもっと迅速に対応すべきか？VLCクローンアプリ問題から考える

オープンソースソフトウェアには大きな魅力があります。数千もの無料アプリケーションの中から自由に選べ、開発者を支援する方法も自分で決められます。寄付を求める開発者もいれば、時折広告を表示するだけで済むケースもあります。大切なのは、オープンソース開発者がその労働に対して何らかの見返りを受け取れることです。

しかし、オープンソース開発にはデメリットも存在します。例えば、誰でも他人の作品を取り上げてクローンを作り、細部を少し変更するだけで、まるで自分の作品であるかのように再公開できてしまうのです。

そのような場合、何が起こるのでしょうか？オリジナルの開発者は自分の作品を守れるのでしょうか？不正な「開発者」は何らかの責任を問われるのでしょうか？

Google、VLC、そして模倣アプリ

VLCは最も優れたメディアプレーヤーのひとつです。デスクトップとモバイルの両方のユーザーに愛される、オープンソース界の巨人と言えます。VLCのダウンロード数は実に24億9,500万回以上。驚異的な数字です。

VLCを開発するVideoLANチームは最近、ソフトウェアへ広告をバンドルする条件で提示された数千万ユーロ規模のオファーを断っていたことを明らかにしました。

オープンソースアプリ内での広告表示は、フリーライセンスに反するわけではありません（著作権の保持者によります）。しかし、オープンソースプラットフォームの中核的な理念は、開発の方向性を外部の干渉から守ることにあります。多くの開発者にとって、それは他社の利益を生む広告を避けることを意味します。とはいえ、広告を収入源としている開発者も存在します。

しかしVideoLANは長年にわたり、自社製品に広告を搭載しない方針を明確に掲げてきました。そんな中、VLCのGPL（GNU General Public License）に明確に違反する広告付きAndroidクローンアプリが500万〜1,000万ダウンロードを記録し、不正な所有者に巨額の利益をもたらしていたのです。VideoLANの驚きは想像に難くありません。

そのアプリはGoogle Playストアで配信されていましたが、長期間にわたりGoogleは何の措置も講じませんでした。数千人ものユーザーがクローンとして報告し、開発者を悪意あるものとして通報していたにもかかわらずです。

321 Media Playerの実態

問題のVLCクローンは複数存在し、その中で最悪だったのが「321 Media Player」でした。広告付きの直接クローンでありながら、10万件を超えるレビューで4.5という高評価を獲得していました。もうひとつのクローン「Indian VLC Player」も50万ダウンロード以上を記録し、同様に高い評価を受けていました（レビュアー数は少ないものの）。

端的に言えば、321 Media PlayerはVLCを丸ごと取り込み、大量の広告を追加し、別のオープンソースメディアプレーヤーであるMedia Player Classicのアイコンを使って偽装し、VideoLANへのクレジット表記すら行いませんでした。Torrent Freakとのインタビューで、VideoLANのプレジデントであるジャン＝バティスト・ケンプフは、この模倣アプリがVLCのGPLに違反していることを認めています。

「VLCのAndroid版はGPLv3ライセンスの下で提供されており、アプリケーション内のすべてがオープンソースであり、ソースコードを共有することが求められます」とケンプフは述べています。「このクローンはクローズドソースの広告コンポーネントを使用しているようで（そもそもオープンソースの広告コンポーネントなど存在するのか？）、これは我々のコピーレフト条項の明確な違反です。さらに、彼らはソースコードをまったく共有していないようで、これも違反にあたります」

模倣アプリがもたらす脅威

最も驚くべき点は、模倣アプリが集めた膨大なダウンロード数です。通常、Androidコミュニティは模倣アプリや悪意のあるアプリを素早く発見し、削除が必要だとGoogleへ通知します。しかしこの事例では、その仕組みがうまく機能しなかったようです。

実際、VideoLANはDMCA（デジタルミレニアム著作権法）に基づく申告を「何度も」行いましたが、そのたびに――DMCAプロセスとGoogle Playストアのポリシーの関係で――模倣アプリは再アクティブ化されてしまいました。しかも、321 Media PlayerはVLC模倣アプリの氷山の一角にすぎません。ケンプフ氏はAndroidのサブレディットへの投稿で、さらに21個の広告付き模倣アプリと、有料版1つを挙げています。（投稿以降、いくつかの模倣アプリは姿を消しましたが、依然として多くが残っています。）

これはGoogleとGoogle Playストアにとって決して好ましい状況ではありません。残念ながら、Google Playストアは今なお模倣アプリが蔓延しています。一方で、Google自身もこれを重大な問題と認識しており、模倣アプリの波に対抗するための取り組みを進めています。

2016年、Googleは21万個のアプリを特定して削除しました。2017年にはその数が70万個に達し、前年比70％の増加となりました。このうち約25万個は、直接コピーまたは軽微な改変を加えた模倣アプリで、「紛らわしいUnicode文字の使用」「異なる地域設定でのなりすましアイコンの隠蔽」、さらにはロゴの差し替えといった手口が使われていました。VLC模倣アプリは広告収入で利益を得ようとしていますが、模倣アプリは本質的に危険な存在なのです。

懸念されるのは広告収入だけではありません。模倣アプリはマルウェアを仕込む格好の温床となります。無防備なユーザーは、開発者の情報を確認せず、「危険信号」となるレビューを見逃し、ダウンロード数の整合性さえチェックしないままアプリをインストールしがちです。さらに、正規ルートを外れて未検証のサードパーティストアやウェブサイトを利用すれば、悪意のあるアプリに遭遇するリスクはさらに高まります。

模倣アプリを避けるためのポイント

Googleの「Play Protect」セキュリティ機能により、Androidユーザーは悪意のあるアプリをより簡単に検出できるようになっています。オープン性はAndroidの大きな魅力であると同時に、詐欺師やマルウェア配布者にとって格好の標的となる要因でもあります。ESETのマルウェア研究者ルカス・ステファンコ氏は、「攻撃者は絶えずGoogleのセキュリティシステムへの侵入を試みている」と指摘します。

しかし基本的には、悪意のあるアプリを避けるにはユーザー自身の知識と注意が不可欠です。以下のポイントを押さえておきましょう。

・ユーザーレビューを入念に確認する
・ダウンロード数の整合性を照合する
・開発者プロフィールを調べ、同一開発者の他のアプリを確認する（例：Microsoft Corporationの公式開発者アカウントにはWord、Excel、Outlook、PowerPointなどが並んでいます）
・Google Play Protectによる定期的なアプリスキャンを有効にする
・「良すぎる話」は疑ってかかる。一部の有料アプリが期間限定で無料になることもありますが、上記の注意点は常に当てはまります

もちろん、321 Media Playerのようなケースでは、このチェックリストを適用するのがやや難しい側面もあります。一見すると、アプリは高評価を得ており、十分なダウンロード数があり、GoogleもPlayストアへの掲載を許可しています。しかし詳細を調べてみると、模倣アプリへの否定的なレビューの多くは、無防備なユーザーへ問題を警告する内容だったのです（その状況でユーザーが実際に気に留めるかどうかは別問題ですが）。こうした事例があるからこそ、日頃からの警戒心こそが最大の防御策となるのです。