Windowsストアは本当に安全？偽アプリからマルウェアまで、その実態を徹底解説

2012年初頭に登場したWindowsストアは、公開当初から厳しい批判にさらされてきました。アプリの品揃えが貧弱だったこと、使い勝手が悪かったこと、そしてアプリ自体もデスクトップ版に比べて機能面で大きく見劣りしていたことが主な理由です。

しかし、最大の問題――そして今も残る問題――はセキュリティでした。ストアには詐欺まがいのアプリや模倣品があふれ、一見無害に見えるアプリからマルウェアが発見され、要求される権限リストも際限なく膨らんでいたのです。

では、状況は改善されたのでしょうか？Windowsストアは今や信頼できる安全なサービスになったのか、それとも依然として問題を抱えているのか？

本記事では、Windowsストアの「過去」と「現在」を振り返りながら、他の人気アプリストアとの比較も交えて詳しく見ていきます。

かつてのWindowsストア：偽アプリだらけの時代

当初のWindowsストアは、ユーザー体験の面で大きな課題を抱えていました。VLCメディアプレイヤーやiTunesのような人気ソフトを検索すると、何千件もの結果が表示され、そのうち数百件が正規アプリのロゴ、説明文、スクリーンショットを丸ごとコピーしていたのです。

コンピューターに詳しくないユーザーであれば、簡単に罠にはまってしまいました。

特に効果的だったのは、ストアに公式版が存在しないケースです。例えば、VLCは公式アプリをリリースしていたため正規版が上位に表示されましたが、AppleはiTunesのWindowsストア版をリリースしていなかったため、表示されるすべてのリストが偽物だったのです。

本物かどうかを見分ける方法は、細かい注釈を読むくらいしかありませんでしたが、それすら確実な手段とは言えませんでした。

マイクロソフトがこれらのアプリの登録を許してしまったこと自体問題ですが、最悪なのは何千ものユーザーが騙されてお金を支払わされたことです。偽アプリはほぼ必ずダウンロードに料金を設定しており、10ドルという高額な価格も珍しくありませんでした。

なぜマイクロソフトはこれらの苦情への対応が遅かったのでしょうか？皮肉な見方をするなら、売上の一部を会社が受け取っていたからだ、と言う人もいます。

現在の状況

状況は大幅に改善されています。マイクロソフトは数多くの新しい審査基準とチェック体制を導入し、信頼できるアプリを見つけるのがかつてないほど容易になりました。

例えば、ストアの利用規約は格段に厳格になりました。現在の規約には以下のような文言が含まれています。

セキュリティテスト：この最初のテストでは、アプリのパッケージにウイルスやマルウェアが含まれていないかを検査します。テストに合格しなかった場合は、最新のウイルス対策ソフトで開発システムをチェックし、クリーンな環境でアプリパッケージを再ビルドする必要があります。

偽アプリ問題についても明記されています。

アプリで真の価値を提供すること。ストアからアプリをダウンロードする説得力のある理由を示してください。アプリの機能や提供元などについて、顧客を誤解させてはなりません。顧客、システム、エコシステムを欺こうとしてもいけません。レビュー操作、クレジットカード詐欺、その他の不正行為を問わず、いかなる種類の詐欺にもストア内での居場所はありません。

理想的に聞こえますが、まだ問題は残っています。

マルウェア問題

注目すべきは、偽アプリ問題がピークに達していた2014年当時、マルウェアの証拠は見つかっていなかったという点です。MalwarebytesとAvastの両社とも、ストア内にマルウェアを仕込んだアプリは存在しないと述べていました。

しかし、怪しげなアプリの一部には間違いなくマルウェアの問題があり、ウイルスは往々にしてアプリ内の欺瞞的なメッセージを通じて配信されていました。

その一例が2016年5月に発覚した事例です。「Torrenty」というBitTorrentクライアントは、初回起動時に次のように表示されました。

一見すると問題なさそうに見えますが、「Update pending（更新保留中）」というメッセージはアプリのインターフェースの一部ではありませんでした。実際にはWebページへリンクしており、そのページは即座に「Setup.exe」というプログラムのダウンロードを試みたのです。ZDNetによると、このファイルは24種類の異なるアンチウイルススキャナーによって危険と判定されました。

その1年前には、別のユーザーが「Video + Subtitle DX」というアプリを娘がダウンロードしたことで、検索画面が改変され、OS全体に広告が表示され、リモートアクセスアプリまでインストールされたと訴えていました。

Googleで軽く検索するだけでも、同様の被害事例が多数見つかります。

デジタル署名という救い

Windowsストアの救いとなる特徴の一つが、デジタル署名の活用です。

これにより、ストアはどのアプリがマシンにインストールされているか、またその主要な特性を把握できます。

アプリのコードがマルウェアによって攻撃されると、そのアプリの署名が変更されます。これによりWindowsが異常を検知し、OSはそのアプリの実行をブロックします。さらに、ストアから新しくクリーンなバージョンを自動的にダウンロードすることさえあります。

完全に安全というわけではありません――ハッカーはバイパスや抜け穴を見つけることで悪名高いからです。しかし、正しい方向への一歩であることは間違いありません。

他のアプリストアとの比較

マイクロソフトのストアは、最大のライバルであるGoogle Playストア、AppleのApp Store、UbuntuのApps Directoryと比べてどうなのでしょうか？

以下、3つのストアのセキュリティ機能の概要をご紹介します。

Apple App Store

AppleのApp Storeは、セキュリティ面でのゴールドスタンダードと見なされています。理論上は堅固です――すべてのアプリはサンドボックス内で動作し、アプリは事前に承認されたAppleのチャネルを通じてのみ通信でき、専任のアプリ審査チームを擁しています。

しかし、業界の先駆者といえども問題から完全に免れているわけではありません。

例えば2016年2月には、中国の開発者がサードパーティ製App Storeクライアントをアップロードすることに成功したことが発覚しました。このアプリは審査担当者や中国国外のIPアドレスからのアクセスには英語学習アプリとして表示されましたが、中国国内ではプロビジョニングプロファイルの設定方法と、人気アプリの改造版を無料でダウンロードする手順をユーザーに教えていたのです。

この抜け穴が深刻なサイバー犯罪者に悪用される可能性は十分にあり得ます。

Google Play

Google Playも過去に独自の問題を抱えてきました。ストアは依然としてAppleほど堅牢ではありませんが、大幅に改善されています。

Googleは現在、すべてのアプリ開発者を審査し、インストール済みアプリの定期的なスキャンを実施し、さらにすべてのアプリを仮想サンドボックス内で動作させることを義務付けていると主張しています。

Ubuntu Apps Directory

Ubuntuの開発者たちには、マイクロソフト、Apple、Googleのような資金力はありませんが、それでもストアの安全性を厳格に保つことに成功しています。

こちらでも新規アプリの審査プロセスが採用されており、ストア内のすべてのアプリは「confinement（隔離）」の下で動作します。具体的には、アプリは特定のディレクトリに対してのみ読み書きアクセスを持ち、デバイスのほとんどの機能やコンテンツへのアクセス権を得るには、セキュリティポリシーグループを宣言する必要があります。

Windowsストアより優れているのか、劣っているのか？結論は読者の皆さんにお任せします。

あなたはWindowsストアを信頼できますか？

あなたのWindowsストアでの経験はいかがでしたか？

悪質なアプリに騙されたことはありますか？ダウンロードしたものの中にマルウェアを発見したことはありますか？それとも、近年の改善を踏まえれば、ストアの評判はもはや不当なものだとお考えですか？

ぜひ下のコメント欄であなたの意見をお聞かせください。