AndroidとiPhone、どちらが安全？2017年版スマホOSセキュリティ徹底比較

感謝祭、ブラックフライデー、サイバーマンデー、そしてクリスマス。毎年この時期になると、目移りするほどのお得なセールが目白押しになります。なぜこんな話をするのかというと、これらのセールに合わせて新しいスマートフォンの購入を検討している方も多いはずだからです。2017年には新世代のiPhoneが登場し、Android陣営でもGalaxy S8やOnePlus 5といった魅力的な機種が発売されました。

しかし、どちらかを急いで購入する前に、ひとつ考えてみてください。最もセキュリティ性の高いスマートフォンOSはどちらでしょうか？ Android端末なのか、それともiPhoneなのか。本記事では、Android 8.0 OreoとApple iOS 11をさまざまな観点から比較しながら、その答えに迫ります。

スマートフォンに不可欠なセキュリティ機能とは

まず、あらゆるスマートフォンOSが備えておくべき中核的なセキュリティ機能を整理してみましょう。

• デバイス全体のコントロール（不要アプリの削除、ロック、PIN・パスワード設定など）
• App Store／Play Storeの安全性（アプリの権限管理を含む）
• バグや脆弱性への対応、アップデートの頻度
• マルウェアおよびランサムウェアからの保護

以降のセクションで、それぞれの項目についてiOSとAndroidを比較していきます。

プリインストールアプリ（ブロートウェア）

自分のデバイスを自由にコントロールできることは非常に重要です。当たり前のように聞こえますが、ブランドスマートフォンを購入したことのある人なら、それが必ずしも実現していないことをよく知っているでしょう。削除できないアプリ、意図しない更新、余計なバッテリー消費や通信量の増加、ストレージ容量の圧迫――こうした問題はブロートウェアに起因するものです。では、AndroidとiOSはそれぞれどう対処しているのでしょうか。

iOSの場合

iOS 11には複数のプリインストールアプリが付属していますが、その大半はユーザー自身の手で削除可能です。このコントロール性自体が優れた特徴ですが、さらに見逃せないのは、残しておいた場合でもプリインストールアプリがすべてAppleによって開発・署名されているという点です。長年の実績から見ても、Apple製の標準アプリがセキュリティ問題を引き起こすケースは極めてまれです。

iOS 11のプリインストールアプリを削除する手順は以下の通りです。

1. アプリアイコンを長押しして、アイコンが揺れる状態にします
2. 対象アプリの「×」をタップし、「削除」を選択します
3. ホームボタンを押して完了です

Androidの場合

Androidは状況がまったく異なります。GoogleがAndroid OSを開発していますが、実際には多様なメーカーが独自のカスタマイズを施した端末を販売しています。そのため、搭載されるプリインストールアプリも端末によって大きく異なり、ブロートウェアの量は時に驚くほどです。筆者がSamsung Galaxy S8を購入した際も、Bixby専用ボタンの無効化（root化なしで）さえ許可されるまで数か月を要しました。他のプリインストールアプリについては言うまでもありません。

問題なのはSamsungだけではありません。一部の米国キャリアは、プリインストールアプリをユーザーを課金体系に絡めとる手段として活用しており、Androidの不要アプリの削除は総じて困難です。しかも、Appleと違ってAndroidのプリインストールアプリの多くは端末メーカー自身が開発しているため、統一された対応は存在しません。

さらに厄介なのが、稼働中のAndroid OSバージョン幅広いという事実です。古いOSを搭載した端末は新しい端末とは異なる脆弱性を抱えており、メーカーが旧端末へパッチを提供する動機は低くなりがちです。結果として、脆弱性は端末ごとに予測不能な形で顕在化します。

Androidのブロートウェアを削除したい場合は、「[端末名] ブロートウェア 削除」などのキーワードで検索するしかありません。機種が多すぎて一律の案内は不可能だからです。しかも完全な削除にはroot権限が必要になることが多く、これはまた別のリスクを伴います。

判定：プリインストールアプリ

iOSの勝ち。 プリインストールアプリはほぼ簡単にアンインストールでき、制限の厳しいiOSプラットフォームの方が、オープンソースのAndroidよりも全体的なセキュリティで優れています。

ロック機能、PIN、パスワード

次に、PINやパスワードなどによるデバイスのロック方法を比較します。当然ながら誰もがスマートフォンをパスワードなどで保護しているはずですが、どちらのOSがより優れた保護を提供しているのでしょうか。

iOSの場合

iOS 11の登場で大きな注目を集めたのが、顔だけでロック解除できるFace IDです。しかし、この新技術は早くも厳しい検証を受けることになりました。執筆中の時点で、ベトナムの研究チームBkavがマスクを使ってFace IDを突破したと主張していたのです。追加の検証待ちではあるものの、技術的には攻略されうる可能性を示す出来事でした。

とはいえ、これはかなり高度な手法であり、現時点で一般ユーザーが直面する脅威ではありません。

Face ID以外にも、2013年以降のiPhone（最新のiPhone Xを除く）にはTouch IDが搭載されています。指紋認証による素早いロック解除が可能で、最も安全なiOSのロック手段として推奨されていますが、こちらもハッカーによって突破された事例があります。

Touch IDには別の弱点もあります。ただし、多くのハッキング手法は難易度が高く、端末そのものやユーザーの手指への直接アクセスを必要とします。（ちなみに、電源ボタンを素早く5回押すことでTouch IDを無効化できます。これは「緊急SOS」モードを起動し、完全なロック解除なしで緊急通報を可能にする機能です。）

生体認証を使わない場合は強固なパスコードを設定することになります。iOSのパスコードの選択肢は以下の通りです。

• 6桁の数字パスコード
• 4桁の数字コード
• カスタム数字コード（桁数自由）
• カスタム英数字コード（文字数自由）

パスコード使用時にもうひとつ検討したいのが「データを消去」オプションです。これを有効にすると、10回連続でパスコードを誤入力した時点で端末内の全データが自動的に削除されます。無効の場合は、iTunesでの復元が必要になります。

Androidの場合

実は顔認証によるロック解除は、iOSに先駆けてAndroidが先行導入していましたが、同様の課題を抱えていました。Galaxy S8の顔認証ロックは、写真一枚で簡単に欺かれてしまったのです。

Androidの多くの機能と同じく、セキュリティオプションは端末固有の部分が大きいのが実情です。たとえば筆者のS8には虹彩スキャナーが搭載されていますが、他メーカーの最近の端末にはありません。指紋センサーもすべての端末にあるわけではありません。

Android 8.0ユーザーが利用できる標準的なロック方式は主に以下の通りです。

• スワイプ：保護なし。ポケット内での誤操作防止のみ
• パターン：低〜中程度の保護。画面の汚れ跡から推測されることもあり、解析ソフトも存在
• PIN：中〜高程度の保護。最大16桁
• パスワード：中〜高程度の保護。最大16文字の英数字

最善策は、指紋認証とPINを組み合わせるように、複数のセキュリティ機能を併用することです。一つの防御壁が破られても、常にバックアップがある状態を作れます。

しかし、Androidのオープンソースであることは恩恵でもあり呪いでもあります。パターンロックを5回未満の試行で解読するクラッキングソフトが公開されており、標準のロック画面を完全にバイパスしてAndroid端末の内部に侵入する手法も複数存在します。一方でメリットもあります。優れたサードパーティ製セキュリティアプリが豊富にあり、無料でセキュリティを強化できます。さらにSmart Lockを設定すれば、自宅Wi-Fi接続中はロック解除のままにするといった運用も可能です。

ブロートウェアの項目と同様、Android端末の問題はメーカー版OSの違いに直結します。メーカーカスタム版のAndroidではPINやパスワードを上書きできる脆弱性が見つかった一方、純正Androidでは問題なかった、という事例も複数報告されています。

判定：ロック機能、PIN、パスワード

僅差ですが、iOS 11が辛勝。 iOS 11では英数字パスコードの長さに上限がないため、「martyr silent blind towing wolves cask herd」のような44文字のパスコードも作成でき、ブルートフォース攻撃に対して極めて強固になります。xkcdの有名な「正しい馬力」の漫画が示す通り、長いフレーズ型パスワードは有効なのです。

Androidでも長いパスコードを扱えるアプリで補強できますが、基本機能として組み込まれているわけではありません。いずれにせよ、複数のセキュリティオプションを組み合わせることが重要です。

App StoreとPlay Storeのセキュリティ

iOSユーザーはApp Store、AndroidユーザーはGoogle Play Storeからアプリをダウンロードします。同じアプリが両ストアに存在しても、セキュリティ水準が同じとは限りません。近年はAppleとGoogleが互いに学び合い（特にGoogle側）、両ストアのセキュリティ方針は接近しつつあります。では、どちらのストアの方が安全なのでしょうか。

iOS：App Store

App Storeは長らくAndroidのストアよりはるかに安全だと考えられてきました。理由は、AppleがiOSの開発プロセスを厳格に管理しているためです。審査のハードルが高く、より深い評価とセキュリティチェックが行われます。

とはいえ、App Storeがセキュリティ問題と無縁だったわけではありません。2015年にはXCodeGhostマルウェアに感染した数百のアプリがAppleによって削除されました。それ以前にもWireLurker、Masque Attack、AceDeceiver、SSL関連の問題などが発生しています（いずれも修正済み）。執筆時点では、宣伝内容に見合わないサードパーティアプリの一掃も進めており、余分なコードを含むアプリや、ダウンロード後に別の広告を挿入しようとするアプリが対象となっています。また、Skycureの調査レポートによれば、iOS向けマルウェアは四半期ごとに増加傾向にあります。

Android：Play Store

Google Play Storeはマルウェア問題が少なくありません。むしろ、その規模は驚くべきものがあります。ある調査では、ダウンロード数420万件に達した悪質アプリも確認されています。Check Pointのセキュリティ研究者によれば、Googleが問題アプリを削除しても、改良版が即座に出現してダウンロードを集めるといういたちごっこが続いています。

近年、AndroidユーザーはXavier、Judy、ExpensiveWall、Googlian、Godless、SonicSpyなどのマルウェアに悩まされてきました。マルウェア開発者にとって最大の追い風となるのは、Android端末の膨大な種類と、その多くが大幅に古いバージョンを走らせているという実態です。未パッチの脆弱な端末は、マルウェア開発者にとって格好のカモなのです。

Googleの対応が必ずしも迅速だったわけではありませんが、2017年にはマルウェア拡散を防ぐ複数の対策が導入されました。最大の目玉が「Google Play Protect」です。端末の定期スキャン、ダウンロード前のアプリ検証、デバイス追跡など、複数の側面からセキュリティを守る包括的な仕組みです。

それでも、Androidは常に脅威にさらされ続けます。Windowsユーザーが痛感しているように、最も人気のあるOSを使っているだけで、マルウェアの標的になりうるのです。

さらに、誰でもどこでも簡単にAndroidアプリを開発できるため、悪用の余地が大きく開いています。実際、悪用は後を絶ちません。Play Protectも完全に堅牢ではなく、開発者は悪意あるコードの発動をタイマーで遅延させたり、正規アプリのインストール後に悪性コードをダウンロードさせたりすることで検知を回避できます。

判定：App StoreとPlay Store

ここは明白です。iOSの勝ち。 Appleは一貫してApp Storeをマルウェアフリーに保つよう努め、アプリ開発プロセスを統制し、公開希望者を厳しく監視しています。GoogleもAndroidユーザーの保護に前進を見せていますが、古く脆弱なAndroidバージョンを走らせる端末があまりに多いため、この永続的な戦いは今後も続きます。

バグ、脆弱性、アップデート頻度

このセクションは他ほど深く掘り下げません。端的に言えば、iOSの方がAndroidよりもバグと脆弱性が少ないのが実情です。アップデート頻度については、もう少し議論の余地があります。

AppleがiOSをアップデートする際は、アプリ、電話機能、Siriを含むコア全体が更新されます。Appleは端末のサポート期間も長めです。ただし、サポート終了後の扱いはより決定的です。古い端末は新しいiOSバージョンの重荷に耐えられず、動作しなくなります。

一方、古いAndroid端末はフルアップデートを受けられませんが、旧バージョン対応アプリの豊富さゆえに依然として使え続けられます（これこそがAndroidの世界的な人気の大きな理由です）。

マルウェア・ランサムウェア対策

最後のセクションでは、マルウェアとランサムウェアからの直接防御を比較します。アプリストアの話は済ませましたが、OS自体は脅威からどうやってユーザーを守るのでしょうか。

iOSの場合

AppleはiOSのセキュリティを設計段階から組み込んでいます。アプリ間およびアプリとOS間のサンドボックス分離が優れており、これだけでもコード内の（少数の）脆弱性の影響を最小限に抑え、iOSユーザーを極めて安全な状態に保ちます。Appleは2015年には、役に立たないばかりか脆弱性を招きかねないという理由で、アンチウイルスアプリを多数削除する措置まで取りました。

すべてのアプリはサンドボックス化され、他のアプリが保存したファイルへのアクセスや、許可なく端末を変更することが禁止されています。さらに、コード署名、ランタイムプロセス解析、専用エクステンションのサポートによって、アプリセキュリティが多層的に強化されています。

興味のある方は、Apple公式の「iOSセキュリティガイド」（PDF）を読んでみてください。実に興味深い内容です。

Androidの場合

Androidも高度なセキュリティ機能を内蔵しています。「Android Application Sandbox」がアプリのデータとコード実行を分離し、アプリ間のデータを保護します。iOSと同様に、アプリ同士の相互通信も制限されています。

しかし、iOSとAndroidの間には二つの大きな違いがあります。第一に、ユーザーがアプリ権限をコントロールする仕組みです。悪意あるコードは個々のアプリの権限を悪用してシステムを侵害できます。第二に、Androidのオープンな性格そのものです。前述の通り、AndroidはiOSよりもはるかに開放的であり、その分、Androidユーザーはより広範囲のマルウェアにさらされます。

たとえば、シマンテックのレポートによると、2014年から2016年にかけて、Androidの新規マルウェア「ファミリー」の数は減少しましたが、「亜種」の総数は増加しました。

判定：マルウェア・ランサムウェア対策

AndroidもiOSも、高度なセキュリティ層の仕組みでユーザーを保護しています。しかし残念ながら、OSのオープンな性質により、Androidユーザーが遭遇するマルウェアやランサムウェアは圧倒的に多いのが現状です。よって、iOSの方が優れた保護を提供します。

その他のセキュリティ機能

以下は一部のユーザーには標準装備に見えるかもしれませんが、大多数のユーザーにとっては応用的な機能です。

フルディスク暗号化

AndroidとiOSの両方でフルディスク暗号化が利用可能です。ただし、iOSではパスコードを設定していればデフォルトで有効になります。米国政府とAppleの間でSan Bernardino事件のiPhoneを巡って大きな対立が起きたのも、端末が暗号化されていたからです。iOSとAndroidのフルディスク暗号化はハードウェアに紐付けられており、秘密鍵の抽出は困難です。

ただし過去にはAndroid端末が破られた事例があり、潜在的な攻撃経路もiOSより広いと言えます。

VPN対応

iOSとAndroidの両方がVPNを広範にサポートしています。Androidの方が、OSと直接連携するカスタマイズ可能なVPNソリューションの選択肢が豊富です。

着脱式バッテリー

「真の」プライバシーを求める一部のユーザーは、バッテリーを取り外して端末への給電を断つことで位置追跡を防ぎます。iOS端末は密閉設計のためバッテリーにアクセスできません。これが懸念材料であれば、Android端末をメーカーごとに検討するとよいでしょう。

そして勝者は？

総合的に判断すると、最も安全なモバイルOSはiOSです。 もちろん、Android端末のセキュリティを大幅に向上させる方法は確かに存在します。しかし初期状態のままであれば、iOSはほぼすべての面でAndroidを上回ります。

あなたはセキュリティのためにiOSを選んでいますか？それともAndroidでも十分安全だと思いますか？あなたが絶対に外せないスマホのセキュリティ機能は何ですか？ぜひコメント欄で教えてください！