DUアンチウイルスアプリがユーザーデータを無断収集——Google Playからの削除と復帰の全経緯

人気モバイルセキュリティアプリ「DU Antivirus Security」が、Google Playストアに復帰しました。一度は削除されたこのアプリは、なぜ再び公開されることになったのでしょうか。

まずは全体の経緯をご説明します。DU Antivirus Securityは、最も利用者の多いモバイル向けアンチウイルスアプリの一つでした。しかし、セキュリティ企業Check Pointが、このアプリがユーザーのスマートフォンから密かにデバイスデータを収集していたことを明らかにした結果、アプリストアから削除される事態となりました。

DU Antivirus SecurityはDU Groupによって開発されたアプリで、Playストアのデータによると、1,000万〜5,000万台のデバイスにダウンロードされていました。

ユーザーデータを秘密裏に収集し、別のアプリへ送信

Check Pointの研究者たちは公表したレポートの中で、アプリの動作に不審な活動を検出したと報告しています。初回起動時に、DU Antivirus Securityは以下のデータを収集していました。

固有識別子
連絡先リスト
通話履歴
位置情報(取得可能な場合)

収集されたデータは暗号化され、IPアドレス「47.88.174.218」にあるリモートサーバーへ送信されます。当初、研究者たちはこのサーバーがマルウェア作者によって管理されていると推測していました。しかし、DNSレコードや関連サブドメインを用いた綿密な調査の結果、サーバー上でホストされているドメインが、Baiduの従業員であるZhan Liang Liuという人物に登録されていることが判明しました。

さらに、収集された情報は、同じくDU Groupが提供する別のアプリ「Caller ID & Call Block – DU Caller」によって利用されていたこともわかりました。このアプリは、着信に関する詳細情報をユーザーに表示するために使われています。

Googleによるアプリの削除

アプリの不審な挙動を裏付ける情報が揃った後、Check Pointは8月21日にGoogleへ警告を発しました。これを受けたGoogleは、8月24日にPlayストアから当該アプリを削除しました。

削除の理由は、プライバシーポリシーにデータ収集に関する記載が一切なく、アプリもユーザーから許可を得ていなかったためです。

Playストアでの復帰を目指したDU Groupは、ユーザーデータを盗み見ていた原因となるデータ収集コードを完全に削除する必要がありました。コードの除去後、アプリは8月28日にストアへ戻されました。

Check Pointによると、DU Antivirus Security v3.1.5およびそれ以前のバージョンにはデータ収集コードが含まれているとのことですが、過去バージョンについては主張を裏付けるテストは行われていません。したがって、安全を確保するためには、データ収集コードを含まない最新バージョンへアップデートすることが重要です。

同じ仕組みを持つ他30個のアプリも存在

DU Antivirus Securityの不審な挙動を検出した後、Check Pointは他のアプリにも悪意あるコードが埋め込まれていないか調査を行いました。その結果、30個のアプリに同様のコードが組み込まれていることを突き止め、うち12個はGoogle Playストアで配信されていたと発表しています。Playストアのデータによれば、約2,400万〜8,900万人のユーザーが、許可を求めることなくデータを収集するこれらの悪質なアプリをインストールしていた可能性があります。

「これらのアプリはおそらく外部ライブラリとしてコードを実装しており、盗み取ったデータを、DU Callerが使用していたのと同じリモートサーバーへ送信していました」と研究者たちは述べています。

実はそれ以前から、DU Callerアプリは攻撃的な挙動で問題視されていました。今年初めには中国メディアも、DU Callerが複数バージョンのプライバシーポリシーを使い分けてユーザーを欺き、許可の有無にかかわらずデバイスからデータを収集していると報じていました。

以下は、Check Pointが特定した、Playストアでホストされていたデータ収集コードを含むアプリの一覧です。

また、同じコードを搭載しながら、サードパーティのウェブサイト経由で配布されていたアプリのパッケージ名は以下の通りです。

com.power.core.setting
com.friendivity.biohazard.mobo
com.energyprotector.tool
com.power.core.message
batterysaver.cleaner.speedbooster.taskkiller.phonecooler
com.rammanager.pro
com.memoryanalysis.speedbooster
com.whosthat.callerid
speedbooster.memorycleaner.phonecleaner.phonecooler
com.example.demos
com.android.fb
antivirus.mobilesecurity.antivirusfree.antivirusandroid
speedtest.networksecurity.internetbooster
com.ramreleaser.speedbooster
com.dianxinos.optimizer.duplay
com.coolkeeper.instacooler
com.memoryreleaser.booster
com.freepopularhotvideo.hotube

専門家が指摘する「開示の問題」と業界への影響

SC Media UKとのインタビューで、ESETの業界アンバサダーであるTony Anscombe氏は次のように語りました。「データを収集して別のアプリへ渡しているだけなら、悪意があるようには聞こえませんが、本質的には開示(ディスクロージャー)の問題です。市場には数百のアンチウイルス製品があり、そのうち10社が市場を支配しています。中には誠実な意図で開発された製品もあるでしょうが、開発者自身が、どの開示をすべきで、どの開示を避けるべきかを理解していないケースがあるのです」

「アンチマルウェアベンダーには信頼関係が不可欠です。ベンダーがユーザーのデバイスに対して持つアクセス権は、必要だからこそあらゆる情報を見通せるものであり、だからこそ開示は正確でなければなりませんし、プライバシーポリシーも誰もが理解できる言葉で書かれるべきです。そこには、私の母親でも読んで理解できるような平易な表現が求められます」

あわせて読みたい: 知っておきたい隠れたサイバーセキュリティの事実!

「こうした事件は業界全体に波及します。人々がセキュリティ業界への信頼を失えば、それは私たち全員にとって損失だからです。さらに、Google Playストアにそうしたアプリが存在するという事実は、ストア自体の信頼性をも損ないます。同時に、供給元の多様性の重要性も浮き彫りになります。単一のプロバイダーに依存する『 monoculture(単一栽培)』状態では、その一社が何かを見逃しただけで大規模な感染につながりかねません。多様なプレイヤーがさまざまな角度から監視する健全なセキュリティ業界であれば、感染率は下がり、問題も減っていくのです」