Googleの広報担当者はReddit上で発表し、未検証の開発者からのアプリインストールをより安全にすることを目的としたAdvanced Flowの最初のバージョンの展開を開始したことを明らかにしました。
ここでは、サイドローディングとは何か、なぜGoogle Playが100%安全とは言えないのか、より安全にサイドローディングを行うために何に注意すべきか、そしてGoogleのAdvanced Flowがどのように役立つのかを解説します。
サイドローディングとは
サイドローディングとは、Androidユーザーが Google Play以外の場所からアプリをインストールすることを指します。便利な仕組みではありますが、詐欺やマルウェアにつけ入る隙を与えることにもなります。
Androidのオープン性は、その根強い強みの一つです。ユーザーは単一のアプリストアに縛られることなく、開発者のウェブサイト、代替マーケットプレイス、企業向けポータル、あるいは直接共有されたファイルからアプリをインストールできます。
これがサイドローディングです。これ自体が即座に危険というわけではありませんが、従来のアプリストア経由の配布に備わっているいくつかの防護策が失われることになります。Google Playストア自体からアプリを入手したとしても安全性が保証されるわけではありませんが、少なくとも一定の審査は行われています。Googleによると、2025年には方針違反となるアプリ175万点以上の公開を阻止し、有害なアプリに関与した開発者アカウント8万件以上を禁止したとしています。
サイドローディングが行われる理由はいくつかあります。
- 開発者が自社のウェブサイトから直接アプリを配布している
- 該当の国やGoogle Playでアプリが利用できない
- オープンソースソフトウェアなど、代替のアプリリポジトリで目当てのものが提供されている
- 企業向け、ベータ版、または特殊用途のアプリが必要である
- Google Playでは現在提供されていないバージョンをインストールしたい
しかし、マルウェアの作成者やオンライン詐欺師も、この同じ柔軟性を悪用します。彼らは銀行になりすましたり、配送業者、政府機関、暗号資産プラットフォーム、ニュースリーダー、求人担当者を装ったりした上で、被害者にアカウントを「保護」する、支払いを受け取る、あるいはでっち上げた問題を解決するためだとしてアプリのインストールを促します。
Google Playだからといって安心はできない
Google Playには審査プロセス、ポリシー適用、開発者向け管理機能、そしてGoogle Play Protectが備わっています。また、アプリ公開後も継続的なチェックが行われています。こうした対策はリスクを大幅に低減しますが、すべての掲載アプリが無害であること、あるいはすべての開発者が信頼できることを保証するものではありません。
公式チャネル経由であっても表面化し得る脅威には、次のようなものがあります。
- 便利なユーティリティ、ゲーム、金融アプリを装ったトロイの木馬
- アドウェアや、動作内容を偽って説明するアプリ
- サブスクリプションの罠や、不正な課金手口
- 必要以上の権限を要求するデータ収集アプリ
- 最初の審査を通過した後に動作を変える「スリーパーアプリ」
Google Play Protectは、ダウンロード前にPlayストアのアプリをチェックするとともに、他のソースからのアプリもスキャンします。潜在的に有害なアプリについて警告を発したり、無効化したり、削除したりすることができますが、これはあくまでセキュリティの一つの層として捉えるべきであり、インストール前にアプリを吟味することの代わりにはなりません。
モバイル保護を、いつでもどこでも。
要するに、「Google Playで入手可能」というのは好材料ではあっても、安全性のお墨付きではないということです。
サイドローディングに注意が必要な理由
認証済みストアからのインストールと、他所からAPKをダウンロードすることの主な違いは、単なるファイル形式の違いではありません。それは「信頼の連鎖」の違いです。
サイドローディングを行う場合、以下の点について保証が薄くなる可能性があります。
- 誰がそのアプリを作成したか
- ファイルが改変されたり、再パッケージ化されたりしていないか
- ダウンロード元のサイトが正規の開発者になりすましていないか
- 正規のアップデートを受け取れるかどうか
- 詐欺師がセキュリティ保護を無効化するよう仕向けていないか
ソーシャルエンジニアリングが決め手となるケースは少なくありません。説得力のある電話、ポップアップ、テキストメッセージ、チャットメッセージが、アプリのインストールが緊急に必要だと強く迫ってくることがあります。攻撃者の狙いは多くの場合、被害者が疑問を抱く時間を与える前に、警告を無視させることにあります。
予期しないアプリのインストール要求は、それがどんなものであっても疑ってかかってください。特に、緊急性や秘密性を強調するもの、金銭を約束するもの、あるいは銀行・政府機関・雇用主・端末提供元が必要としていると主張するものには注意が必要です。
正規の銀行、政府機関、法執行機関、テクニカルサポート提供元が、電話やメッセージでAPKのインストールやAndroidのセキュリティ設定の緩和を指示してくることはありません。
より安全にサイドローディングを行う方法
サイドローディングは、明確な理由がある場合に限り行い、それが予期しないメッセージや電話ではなく、自分自身の判断によるものであることを確認してください。
- まず開発者の公式サイトから始める。スポンサー付きの検索結果、無作為なダウンロードポータル、見知らぬ人から送られてきたリンク、なりすましドメインは使わないでください。
- 開発者を独自に検証する。提供元の公式ウェブサイト、ドキュメント、公開コードリポジトリ、信頼できるコミュニティチャネルを確認してください。ダウンロードページに記載された情報だけでは不十分です。
- 実績のあるリポジトリを優先する。アプリがGoogle Play以外で配布されている場合は、可能であれば出所の確認や署名検証について高い評判を持つソースを利用してください。上級者であれば、APKの署名証明書や暗号学的ハッシュ値を開発者が公開している値と照合するのも有効です。誰にでもできることではありませんが、偽物を見抜く助けになります。
- 圧力を受けた状態でアプリをインストールしない。通話やチャットを終了し、自分自身で見つけた連絡先情報を使って、名乗っている組織について独自に調べてください。
- Google Play Protectを有効にしたままにする。インストール時だけでなく、その後も定期的にアプリをスキャンします。これはGoogle Play以外からインストールされたアプリも対象です。
- インストールの前後で権限を確認する。特に、シンプルなアプリがユーザー補助機能、SMSメッセージ、通知、デバイス管理者権限、連絡先、画面録画へのアクセスを求めてくる場合は注意してください。
- Androidとアプリを常に最新の状態に保つ。セキュリティ修正は、OSの脆弱性と既知の悪意あるアプリの挙動の両方から身を守るのに役立ちます。
- 信頼できるモバイルセキュリティソフトウェアを利用する。独立したセキュリティ層を設けることで、リスクの高い挙動を検知しやすくなり、望ましくない、あるいは悪意のあるアプリについてより高い可視性を得られます。
- もはや信頼していない、または使っていないアプリの権限を削除・アンインストールする。インストール時には無害に見えたアプリでも、開発者が放置したり方針を変えたりすれば、リスクとなり得ます。
Googleの新しいAdvanced Flowがどう役立つか
Googleは、Androidの新しい本人確認プロセスを完了していない開発者からアプリをインストールする際に向けたAdvanced Flowの展開を進めています。この機能は、未検証のソフトウェアをインストールするリスクを理解した上で、それでもその柔軟性を必要とするユーザーを対象としています。
この設計が注目に値するのは、マルウェアだけでなくソーシャルエンジニアリング攻撃も対象としている点です。ワンタップで即座に上書きできるようにするのではなく、このフローではユーザーに次の手順を求めます。
- システム設定で開発者モードを有効にする。これは十分簡単な操作でありながら、高圧的な詐欺でよく使われる偶発的・ワンタップでの回避を防ぐのに役立ちます。
- 簡単な安全確認を完了する。誰かにそそのかされてセキュリティを無効化しようとしていないかを確認するためのものです。詐欺師はしばしば被害者に保護機能を無効化させるよう圧力をかけます。
- 端末を再起動する。これにより、詐欺師が指示に使っているかもしれないリモートアクセスや通話中の電話を遮断します。
- 1日待つ。その後、指紋認証や顔認証などの生体認証、または端末のPINを使って変更を確認します。この1回限り、1日の遅延が、詐欺師が利用する緊急性を断ち切り、考える時間を与えてくれます。
このプロセスを完了すると、未検証の開発者からのインストールを7日間、または無期限に許可するかを選択できます。
Advanced Flowがあるからといって、Google Playにリスクがないわけではありませんし、未検証のアプリが本質的に悪意あるものになるわけでもありません。開発者検証が確立するのは説明責任です。つまり、アプリを検証済みの開発者の身元に結びつけるものであり、すべてのアプリが無害である、あるいはすべてのユーザーに適していることを保証するものではありません。
結局のところ、判断するのはユーザー自身です。誰かが作り出した緊急事態に押されてではなく、入手元を確認した上で自ら選んでアプリをインストールしてください。
アプリがGoogle Playから来たものであれ、外部のソースから来たものであれ、インストールする前に一呼吸置いてください。誰が作ったのか、なぜその権限を必要としているのか、ダウンロード経路は信頼できるのかを確認し、見知らぬ人に急かされても応じないでください。そのわずかな手間は、煩わしさではなく一つの防御機能なのです。
詐欺師は、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Securityは、フィッシング、詐欺テキストメッセージ、悪意のあるサイトなどからユーザーを守ります。リアルタイムでAIを活用したScam Guardも標準搭載しています。
