App Storeは本当に安全？スマホのマルウェアを排除する審査の仕組みとその限界

スマートフォンにマルウェアが感染している――そんな心当たりはありますか？デバイスをルート化（Android）や脱獄（iOS）していなければ、答えはおそらく「ノー」でしょう。スマホのウイルスは実在しますが、公式アプリストアがかなりしっかりとふるいにかけてくれているのです。

もちろん、完璧な仕組みは存在しません。実際、これまでにもマルウェアがストアをすり抜けた事例があります。後ほど詳しく見ていきましょう。

しかし、スマートフォンの公式ソフトウェアストア――iOSならApp Store、AndroidならGoogle Play――だけを利用していれば、感染の確率は極めて低くなります。これは両プラットフォームの審査プロセスのおかげです。今回は、この審査システムの仕組み、すり抜けてしまったマルウェアの実例、そして自分自身を守る方法について解説します。

審査のフィルターはどう機能している？

2015年春の時点で、両大手モバイルプラットフォームとも、アプリをストアに追加する前に審査を行っています。ただし、片方のプラットフォームにとっては、これは比較的最近の変化でした。

かつてGoogleのAndroid Market（現・Google Play）は「開放的」なことで有名でした。つまり、さまざまなアプリがほとんど監視されることなくストアに並んでいたのです。マルウェアなどの問題はユーザーによって発見され、報告を受けてGoogleがアプリを削除するという流れでした。その後、既知の感染パターンを検出するソフトウェアによるマルウェアフィルターが導入され、すべての申請アプリが自動的にスキャンされるようになりました。

さらに2014年末頃には、Googleは一歩進んだ措置を取り、人間のレビュアーにすべてのアプリを目視確認させる体制を敷きました。

人間のレビュアーが、ストアに登録されるすべてのアプリを手作業で審査しています。Googleの審査は比較的早く、通常は数時間、場合によっては数日で完了します。

一方、Appleはそこまで速くありません。App Storeの審査には1週間程度かかることもあります。Appleはストア開設当初から人間によるレビューを実施しており、開発者はアプリを提出してからストアに表示されるまで長い待ち時間を強いられます。マルウェアを含むソフトウェアは（他の多くのアプリと同様に）通常は却下されます。

この審査の長さについては賛否両論ありますが、その結果として、App Storeにある数百万のアプリの中でマルウェアを含むものはごくわずかに抑えられています。

どちらのシステムにおいても、公式ストアからインストールするソフトウェアは、マルウェア検出フィルターと人間のレビュアーの組み合わせによって審査されていることになります。この厳重なチェックをすり抜ける可能性は低いものの、ゼロではありません。実際、両プラットフォームで突破された事例があるのです。

マルウェアがすり抜けた実例

一般に信じられていることとは逆に、iPhoneもマルウェアに感染する可能性があります。ただし、その多くは脱獄（ジェイルブレイク）した場合です。しかし、Appleの有名な厳格な審査プロセスをすり抜けられることが、理論上は証明されています。ジョージア工科大学の研究チームは、マルウェアをアプリに忍び込ませることに成功し、Appleの審査はそれを見逃しました。研究者だったため彼らは自らアプリを削除しましたが、本物の詐欺師がそんな礼儀を尽くすことはまずないでしょう。

実際のアドウェアも、Google Playの審査を通過したことがあります。ある年、比較的人気のあったカードゲーム「Durak」にマルウェアが含まれていることが発見されました。このマルウェアはしばらくの間潜伏し（これが検出されなかった理由とみられます）、その後サードパーティ製アプリストアのポップアップ広告を表示するようになりました。おそらく、こうしたサードパーティストアをインストールしてしまえば、さらなる問題に巻き込まれることになるでしょう。

Googleはその後DurakをPlayから削除しましたが、同様のアプリが今後もすり抜ける可能性はあります。少しでも怪しいと感じたら、Android端末にマルウェアがないかを確認する手順を試してみてください。

慌てずに、しかし油断せずに

注目すべきは、いずれのケースでも、問題のアプリは最終的に発見され、それぞれのストアから削除されたという点です。この意味で、ユーザーは「第二の審査プロセス」として機能しています。マルウェアを発見して報告することで、AppleやGoogleに問題のあるアプリを削除する機会を与えているのです。

つまり、こうしたマルウェアを避けたいなら、次の対策が大きな効果を発揮します。

• 公式アプリストア――AndroidならGoogle Play、iOSならApp Store――のソフトウェアだけを利用する
• レビューが極端に少ないアプリや、登録されて間もないアプリは、提供元の企業を本当に信頼できる場合を除いて避ける
• よくわからないアプリは検索して、信頼できるサイトの第三者によるレビューを確認する

アプリストアの外にあるマルウェア

公式アプリストア経由の感染は可能ですが、モバイルユーザーにとって最大の脅威というわけではありません。たとえばAndroidのマルウェアの大半は、サードパーティ製アプリストア（Google Play以外）や、怪しいサイトから入手した海賊版ソフトウェアから来ています。クラック版Androidアプリをダウンロードする前に、そのリスクをよく理解しておきましょう。

しかも、マルウェアは必ずしもアプリからやってくるわけではありません。たとえば「WireLurker」は、OS X経由でUSB接続を介してiOSデバイスに感染し、脱獄の有無にかかわらず動作します。セキュリティ企業Palo Alto Networksの説明を引用しましょう。

WireLurkerは、感染したOS XコンピュータにUSB経由で接続されたあらゆるiOSデバイスを監視し、脱獄の有無にかかわらず、ダウンロード済みのサードパーティ製アプリケーションまたは自動生成された悪意のあるアプリケーションをデバイスにインストールします。

つまり、モバイルデバイスを感染から守ることの一環として、デスクトップ環境を清潔に保つことも重要なのです。Macユーザーであっても油断はできません。Macにマルウェアがあるかどうかの見分け方も、あわせてチェックしておきましょう。

慌てる必要はない

筆者はアプリ配信における「囲い込み（ウォールドガーデン）」方式の大ファンではありませんが、認めざるを得ません。マルウェアは、この方式を支持する非常に強力な論拠なのです。皆さんもそれぞれ意見があると思いますので、下のコメント欄でぜひお聞かせください（筆者がひどく間違っている、というご指摘でも歓迎します）。

なお、本記事の内容は2015年頃の情報に基づいています。現在では、Googleが「Google Play Protect」による常時スキャンを導入し、Appleも審査体制を強化するなど、両プラットフォームの保護機能はさらに進化しています。とはいえ、「公式ストアを利用し、怪しいアプリを避ける」という基本原則は今も変わらないのです。