StagefrightエクスプロイトからAndroidスマホを守る方法

「Stagefright(ステージフライト)」という名前には不気味な響きがありますが、それは決して偶然ではありません。Stagefrightは、Android史上最大級の脆弱性(エクスプロイト)として発見されたもので、Android 2.2 Froyoまで遡る幅広いバージョンに影響を及ぼし、全世界で約9億台ものAndroid端末が対象になり得るとされています。最も恐ろしいのは、この攻撃がMMS(マルチメディアメッセージ)経由で行われ、受け取った側は何も操作しなくても被害を受ける可能性があるという点です。Hangoutsや標準のメッセージアプリを使用している場合、受信したMMSは自動的にダウンロード・処理されるため、それだけで悪意あるコードが端末に侵入してしまうのです。

Stagefrightは、MP4動画などのマルチメディアファイルの再生を担うAndroidの中核ライブラリです。この脆弱性がこれほど危険視される理由は、ハッカーがAndroid端末へ悪意のあるコードを送り込むプロセスを極めて簡単にしてしまう点にあります。送り込まれるコードの中身は、攻撃者の思うままです。

自分の端末が脆弱かどうかを確認する方法

Googleはすでに最新のAndroidリリースでこのバグを修正しています。そのため、比較的新しいSamsungやMotorolaのフラッグシップ機を使っていれば、ひとまず安心といえるでしょう。問題は、すべてのユーザーが常に最新版のAndroidを使っているわけではないことです。多くの場合、メーカーが配信するアップデートを待つしかありません。

この脆弱性を発見したZimperium社は、「Stagefright Detector」というシンプルな診断アプリも公開しています。アプリをダウンロードしてテストを実行すれば、数秒で自分の端末が脆弱かどうかがわかります。

もし脆弱性がある場合は、最新のアップデート情報に注意し、配信され次第すぐにアップグレードしてください。また、以下の対策も併せて試してみましょう。

Stagefrightから身を守る方法

残念ながら、StagefrightはAndroid OSの深い部分に組み込まれているため、該当機能だけを無効化できるツールは存在しません。そこで、回避策を講じる必要があります。

このエクスプロイトは、MMSが端末で自動ダウンロードされたときにのみ発動することがわかっています。つまり、自動受信機能をオフにすれば、リスクを大幅に減らせるのです。

Hangoutsの場合:SMSにHangoutsを使っているなら、ハンバーガーメニュー(三本線アイコン)をタップし、「設定」→「SMS」と進んで、「MMSを自動取得」のチェックを外します。

Messenger(Google製)の場合:GoogleのMessengerアプリを使っているなら、右上の三点メニューボタンをタップして「設定」を開き、「詳細設定」から「自動取得」を無効にします。

標準のメッセージ(Messaging)アプリの場合:古いバージョンのAndroidでは、標準でMessagingアプリがインストールされています。メニューボタンをタップして「設定」を開き、「マルチメディア(MMS)メッセージ」の項目にある「自動取得」のチェックを外します。

どのSMSアプリを使っていても、設定画面のどこかに必ず同様のオプションがあるはずです。探して無効にしておきましょう。

さらに不安な方は、SMSアプリが対応していれば、知らない相手からのメッセージをブロックする機能を有効にするのも効果的です。

これで、アプリがMMSを勝手にダウンロードすることはなくなります。

それでもMMSの利用が一般的な地域にお住まいの場合は、少なくとも見知らぬ人から届いたMMSは開かないようにしましょう。

パッチ適用済みのアップデートが届くまでの間、これが現時点で最善の防御策となります。より積極的に対処したいなら、端末をroot化してCyanogenMod(CMベースのカスタムROM。現在は後継のLineageOSに引き継がれています)などを導入し、セキュリティアップデートを迅速に受け取れる環境を整える方法もあります。CMのナイトリービルドではすでにこのバグは修正されており、安定版にもまもなく反映される予定でした。

Androidのセキュリティをめぐる議論

Stagefrightの発見により、Androidのセキュリティをめぐる議論が再び活発になっています。あなたはiOSと比べてAndroidの方が安全性が低いと思いますか?それとも、10億以上の多様なデバイスで動作する無料のオープンソースOSであるがゆえの代償なのでしょうか?ぜひコメント欄であなたの意見を聞かせてください。