- Bitdefenderの調査によると、Google Playの「早期アクセス」プラットフォームが悪意あるアプリの温床になり得ることが判明
- ユーザーレビューや評価が公開表示されないため、アプリが正規のものかどうかをユーザーが判断する手段が失われている
- ゲーム、カジノ、ユーティリティ系アプリに悪意あるパッケージが仕込まれ、数千回もダウンロードされている
Googleは、開発者がテストやフィードバック収集のために早期アクセス版アプリを掲載できる「Early Access」プログラムをPlayストアに導入しました。
この機能は、細かな不具合を洗い出したい小規模アプリの開発者にとっては有用な一方で、悪意ある攻撃者にとっても、一見正規に見えながら内部に悪意あるパッケージを仕込んだアプリをユーザーにダウンロードさせる格好の手段となっています。
しかし、Bitdefenderによる新たな調査では、早期アクセスプログラムが公開レビューや評価を非表示にしていること自体が問題視されています。この仕組みによって、詐欺アプリや偽カジノアプリ、マルウェアを仕込んだパッケージが正規ソフトウェアを装って蔓延するアプリエコシステムが生まれかねないというのです。
危険なアプリで溢れる早期アクセス
通常のPlayストアでアプリを探す際、ユーザーがまず目にするのはアプリの評価です。偽アプリや悪意あるアプリについても、星評価やユーザーレビューのおかげでダウンロードすべきかどうかを素早く判断できます。悪質な開発者がレビューや評価を偽造する可能性はあるものの、少なくともアプリが正規かどうかを確認する手段は存在していました。
ところが、早期アクセスの仕組みでは、公開のユーザー評価やレビューがそもそも存在しません。そのため、偽アプリの被害に遭ったユーザーが、他のユーザーに向けて「このアプリはダウンロードするな」と公に警告する手段は事実上ありません。
さらに、開発者はFacebookやTikTokのスポンサー動画を通じてアプリを宣伝でき、法外な報酬をうたったり、著名人のディープフェイクを使ったりしてユーザーにインストールを促すことも可能です。
これは特に偽ギャンブルアプリで顕著です。Bitdefenderは、クリスティアーノ・ロナウド、ジェイソン・ステイサム、アンドリュー・テイトといった著名人のディープフェイクを使ったカジノアプリの広告を多数確認しています。これらのアプリは、ユーザーをGoogle Playの早期アクセスストアや、そのアプリ独自のウェブサイトへ積極的に誘導しています。
他の事例では、よく知られたアプリを模倣し、タスクを完了したり障害を乗り越えたりするたびに投資額が倍になるといった金銭的なインセンティブを謳うものもあります。また、『グランド・セフト・オートV』や『VI』など発売が期待される新作ゲームの盛り上がりに便乗するアプリも見られます。こうしたアプリは、正規のものに見せかけるために実際のゲームのスクリーンショットを流用していることが多いようです。
これらの詐欺アプリは、不正が発覚すると削除されることが多いものの、その後すぐに同じ悪意ある機能を持つ全く同一のコピーアプリに置き換えられます。Bitdefenderによれば、不正なアプリの中には数千回もダウンロードされたものもある一方、多くが依然としてGoogle Playの早期アクセスストアに残っているといいます。
詐欺アプリはゲームやカジノアプリに限りません。Bitdefenderは、QRコードスキャナーやPDFリーダーといったユーティリティ機能をうたうアプリも数多く確認しています。中には、全く同一のアプリが異なる開発者名で複数回掲載されているケースもあり、これはリーチを広げてダウンロード数を最大化する狙いがあるとみられます。
Bitdefenderは、Google Playの評判はユーザーがダウンロードするアプリを信頼できることに支えられていると指摘したうえで、早期アクセスプログラムはインストール前に悪意あるアプリを見抜く手段のほぼすべてを奪ってしまうと警鐘を鳴らしています。
