Google Play、アクセシビリティサービスの誤用に対する取り締まりを強化

マルウェアアプリの蔓延で批判を浴びてきたGoogle Playストアは、セキュリティ問題に本格的に取り組む姿勢を示しました。Googleは現在、Playストア上のすべてのアプリを見直し、Androidの「Accessibility Service(ユーザー補助サービス)」を使用しているアプリを調査しています。その結果、これらのサービスを不必要に使用していると判断されたアプリは、Playストアから削除されることになります。

すでにGoogleは、Accessibility Service APIを利用しているアプリ開発者への連絡を開始しています。以下は、開発者に送信されているメールの内容です。

Googleから開発者へ送られたメールの内容

アプリに変更が必要な場合は、以下の手順に従ってください:

• 「Permissions(権限)」および「User Data(ユーザーデータ)」のポリシーを詳しく読み、アプリが「Developer Program Policies(デベロッパープログラムポリシー)」に記載されたすべてのポリシーに準拠していることを確認してください。
• アプリでBIND_ACCESSIBILITY_SERVICE権限が必要ない場合、または障害のあるユーザーがAndroidデバイスやアプリを利用できるよう支援する以外の目的でこの権限を使用している場合:
  1. アプリのマニフェストからこの権限のリクエストを削除してください。
  2. Play Consoleにサインインし、修正したポリシー準拠のAPKをアップロードしてください。
• 障害のあるユーザーの支援を目的としてBIND_ACCESSIBILITY_SERVICE権限が必要な場合:
  1. アプリのストア掲載情報に「This app uses Accessibility services.(このアプリはユーザー補助サービスを使用します)」という文言を記載してください。
  2. アプリ内でユーザーにこの権限の有効化を求める前に、目立つ形でその使用目的を開示する必要があります。開示は以下の要件をすべて満たさなければなりません:
     • AccessibilityServiceInfoクラスのandroid:summary要素およびandroid:description要素を通じて開示すること
     • Accessibility Service権限によってアプリで有効になる機能を説明すること。Accessibility Serviceリクエストと併用される各機能について、正当な理由とともに開示に明記する必要があります。

あるいは、アプリの公開を取り下げることも選択できます。

すべての違反は記録されます。重大または繰り返される違反があった場合、開発者アカウントの終了、および関連するGoogleアカウントの調査と終了につながる可能性があります。

ポリシーを確認した上で、弊社の判断に誤りがあると思われる場合は、ポリシーサポートチームまでご連絡ください。担当者が2営業日以内にご返信いたします。

敬具
Google Play レビューチーム

アクセシビリティサービスとは?

Accessibility Service(ユーザー補助サービス)は、障害のあるAndroidユーザーを支援するアプリを開発者が設計できるよう提供されている特別なサービスです。しかし、時間の経過とともに、多くの開発者が自己の利益のためにこの仕組みを悪用するようになりました。これまでGoogleは、開発者によるこれらのサービスの使用に対して特に異議を唱えることはありませんでした。GreenifyやLastPassなど、GoogleのAccessibility Servicesを活用している有名アプリもあります。

なぜ厳格化するのか?

近年のマルウェア攻撃を受け、Googleはこれらのサービスに対して警戒を強めています。悪意あるアプリを作る開発者にとって、これらのサービスはユーザーデータの抽出やフィッシング攻撃に容易に悪用できてしまうのです。「Cloak and Dagger」攻撃や「Toast Message Overlay」攻撃など、AndroidのAccessibility Servicesを悪用した最近の攻撃事例がいくつか報告されています。

アプリ開発者への影響は?

Googleは開発者に、最新ポリシーへの準拠以外の選択肢を残していません。サービスの利用方法を変更しなければ、アプリがPlayストアから削除され、さらにGoogleアカウントの終了につながる恐れがあります。そのため、アプリの利便性にどれほど影響しようとも、開発者は最新のガイドラインに従わざるを得ない状況となっています。