AmazonアプリストアがAndroidのセキュリティ脅威になる理由

無料のアプリやゲーム。人々を安易な安心感へと誘い込むのは、いつだって「無料」という言葉です。その甘い餌こそが、普段は慎重なはずの人々を、Android向けサードパーティ製アプリストアのインストールへと駆り立てます。

時にはGoogle Playよりも見栄えが良いこともありますが、多くの場合、こうしたストアでは「公式」ストアから削除されたアプリが提供されています。開発者が再配布する法的権利を持っていない可能性のあるソフトウェアが並んでいることも珍しくありません。さらに、マルウェアまみれのアプリやゲームも存在します。

しかし、スマートフォンのセキュリティを弱めるために、サードパーティ製アプリをインストールする必要すらありません。アプリストアそのものをインストールするだけでいいのです。この行為だけで、デバイスは脆弱性にさらされることになります。では、これがAmazonと何の関係があるのでしょうか?

Androidで使えるAmazonの公式アプリ

Amazonが公開している複数のアプリがAndroid向けに提供されています。代表的なのは、Amazon KindleやAmazonショッピングアプリです。その他にも、Amazon Music、Amazonセラー、Prime Now、Alexa、そしてAudibleのオーディオブックなどが揃っています。

これらのアプリのほとんど(あるいはすべて)を使ったことがあるのではないでしょうか。執筆時点で知られる限り、これらがデバイスにリスクをもたらすことはなく、すべてGoogle Play経由で入手可能で、他のアプリやゲームと同じ審査基準をクリアしています。

ところが、Google Playには存在しないアプリが1つだけあります。

Amazon Undergroundとは?

Amazonのタブレット(Fire TV端末も同様)には、デフォルトでAmazonアプリストアが搭載されています。これらの端末は、Amazonの膨大なメディア、アプリ、ゲーム、ショッピングへの即時アクセスを中心に設計されています。

標準的なAndroidデバイスには、こうしたアクセス手段は用意されていません。代わりに、前述のアプリの一部を通じて機能が提供されます。これにより、Amazonライブラリからの音楽や、Amazonプライムビデオのストリーミング視聴などが可能になります。

しかし、アプリやゲームを入手するには、Amazon Undergroundアプリが必要です。これはサードパーティ製アプリストアに該当するため、Google Playには掲載されていません。つまり、インストールするにはデバイスのセキュリティレベルを下げる必要があり、しかもほとんどのユーザーは、インストール後にこの設定を元に戻すことを忘れてしまうのです。

知られざるUndergroundの実態

Amazon Undergroundは、他のサードパーティ製アプリと同様、Androidスマートフォンやタブレットで「提供元不明のアプリ」のインストールを許可する必要があります。[設定] > [セキュリティ]にあるこの設定は、深刻なセキュリティ上の影響をもたらしかねません。

たった一つのアプリのためにこの設定を変更するのはリスクを伴いますが、ワクワクする新しいアプリストアを目の前にすると、セキュリティ設定が無効になったままになっていることを見落としがちです。

しかし、Amazonというブランドへの信頼が、そのリスクを上回ってしまうのです。そもそも、Amazonが自分のスマホを壊すようなアプリをリリースすることはまずないでしょうから。

有料ゲームが無料になる魅力

Amazon UndergroundがAndroidユーザーにとって魅力的なのは、明確なセールスポイントがあるからです。それは「無料ゲーム」。世の中に無料ゲームは溢れていますが、ここで配信されているのは、Google Playでは有料で販売されているタイトルばかりなのです。

これは、モバイルゲーマーにお金を節約するチャンスを与えるものです。それを望まない人がいるでしょうか?

要するに、これは「信頼できる大手Eコマース企業のアプリでありながら、有料アプリをお得に手に入れるために、スマートフォンやタブレットのセキュリティを下げることを要求してくる」ということです。

どこか引っかかりませんか?

「提供元不明のアプリ」を有効にしてはいけない理由

「提供元不明のアプリ」を有効にすると、Androidデバイスは危険にさらされます。Google Play以外からアプリを入手するなら、インストールするアプリの出所を確認できなければなりません。Google Playストア以外からアプリをインストールしようと考えているなら、次の2つの質問を自問してください。

1. そのAPKファイルは本物か?
2. 信頼できる開発者またはパブリッシャーから提供されたものか?

ほとんどの場合、両方の質問に「はい」と答えられないのであれば、そのアプリをインストールすべきではありません。

残念ながら、話はそう単純ではありません。Googleに依存せずにAndroidを使おうとする場合(プライバシー保護の観点では優れた選択です)、サードパーティ製アプリストアは不可欠になります。

市場で苦戦するAmazonの思惑

Amazonはアプリストア市場において、当初から大幅に不利な立場にありました。AppleとGoogle(そして近年ではMicrosoft)は、自社で厳格に管理する「ウォールドガーデン(閉じた生態系)」を構築しています。消費者にとってのメリットは、悪意のあるソフトウェアがスマートフォンへ拡散しにくいことです。新規アプリやゲームの審査プロセスに設けられた管理措置が、これを実現しています。

一方、AppleとMicrosoftはサードパーティからのアプリインストールをブロックしていますが(開発者が自身のアプリをサイドロードする方法は別途存在します)、Androidの状況はそこまで厳格ではありません。だからこそ「提供元不明のアプリ」という設定が存在するのです。

Amazonのような利益追求に長けた企業がAndroidユーザーの獲得を図るのは理にかなっています。実際、同社独自のモバイルOSであるFire OSはAndroidベースであり、片方のプラットフォーム向けアプリはもう片方でも動作します。

しかし、Amazon Undergroundを使ってアプリをインストールする場合でも、「提供元不明のアプリ」を有効にしておく必要があります。これは決して賢明な選択とは言えません。セキュリティ企業Lookoutの研究者Andrew Blaich氏は次のように指摘します。

「提供元不明のアプリを許可することで、ユーザーは悪意のあるアプリのインストールを防ぐための第一の防御線を自ら取り払うことになります。悪意のあるアプリは、悪意のあるウェブサイトのリンク、フィッシング攻撃など、さまざまな経路から届き得るのです…」

その通りです。「提供元不明のアプリ」の有効化は、サードパーティ製アプリストアやアプリだけの問題ではありません。ウェブサイトや広告が、スマートフォンに悪意のあるソフトウェアをインストールさせようとすることがあります。メールやインスタントメッセンジャー内のリンクについても同様です。

これらすべてにより、AndroidのセキュリティはWindowsと同等のレベルまで低下してしまいます。Androidのマルウェアは、どこからでも誤ってインストールされ得るのです。

だからこそ、「提供元不明のアプリ」を有効のままにしておくことは、本質的に安全ではないと言えます。

そのリスクを取りますか?

「提供元不明のアプリ」を有効にすると、サードパーティ製アプリストア経由でマルウェアが侵入する可能性があることは周知の事実です。その一方で、Amazonアプリストアでは魅力的な有料ゲームが無料で手に入ることも事実です。

Android Oでサードパーティ製アプリストアの正式なインストールが可能になり、「提供元不明のアプリ」を長期間有効にし続ける問題を回避できるという噂もありますが、現時点では依然としてリスクが伴います。

あなたはそのリスクを取りますか? 少額の節約のために、スマートフォンをマルウェアに脆弱なまま放置することを受け入れられますか? ぜひコメント欄で教えてください。

画像クレジット:Who is Danny/Shutterstock