Bitdefenderは、一見普通に見えるユーティリティアプリの中に、異例の権限を要求したり不審な挙動を示したりするものがあり、従業員のAndroid端末にインストールされた場合に深刻なセキュリティリスクとなり得ることを発見しました。
Google の早期アクセス（Early Access）プログラムは、開発者が正式リリース前に未完成のアプリを公開し、フィードバックを集めてバグ対応を行える場を提供することを目的としています。
しかしBitdefender Labsの新たな調査によると、この機能が潜在的に欺瞞的なアプリケーションに異例のアドバンテージを与えている可能性があるといいます。早期アクセス中のアプリはユーザーが公開評価やレビューを行うことができないためです。
Bitdefenderのユーザーがインストールしたアプリを分析した結果、偽のカジノ・報酬型ゲームや、誤解を招く可能性のあるユーティリティ、第三者の著名な商標を無断使用したアプリケーションなど、数千件もの早期アクセスアプリが確認されました。これらの多くはTikTokやFacebookをはじめとするソーシャルプラットフォームでも宣伝されており、中には著名人などをAIで生成したディープフェイクを使った広告も含まれていました。
企業にとっての懸念は、単に従業員が偽のカジノゲームで時間を無駄にするという話にとどまりません。
BitdefenderのセキュリティアナリストであるSilviu Stahie氏によると、同社が調査した一見ごく普通のユーティリティアプリの中には、異例の権限を要求したり不審な挙動を示したりするものがあり、こうしたアプリが従業員のAndroid端末にインストールされた場合、はるかに深刻な問題を引き起こしかねないといいます。
QRスキャナーが端末の「ランチャー」になろうとしていた
Stahie氏はCSOの取材に対し、発見されたアプリの大半は主に広告表示を目的としたものだったが、中にはより深刻な懸念を抱かせるものもあったと語りました。
ある事例では、QRコード読み取りアプリが、Pixelスマートフォン上で純正のAndroidランチャーを置き換えるようユーザーに促そうとしていました。QRコードのスキャンという基本機能しか持たないアプリにしては異例の要求だと、Stahie氏は指摘します。
「QRコードスキャナーが必要とするのはカメラへのアクセスだけです」と同氏は述べ、保存済み画像をスキャンするために写真やストレージへのアクセスをオプションで必要とする場合はあるとしつつも、「ホーム画面の置き換え役を担う正当な理由は皆無です。最も可能性が高いシナリオは、開発者がこのアプリをバックグラウンドで常時動作させたかったというものです」と付け加えました。
ランチャーとして機能すれば、非表示のWebビューを密かに読み込み、広告を継続的にクリックさせ続けることが可能になります。これはクリックジャッキングとして知られる手口です。
しかし同じ挙動は、偽のログイン画面を表示したり、タップ操作を傍受したり、さらには通知経由で届く二要素認証コードを窃取したりする目的にも悪用され得ると、Stahie氏は指摘します。
今回の調査では、PDFリーダー、QRスキャナー、電話トラッカー、ユーティリティアプリに加え、カジノ・報酬・「お金を稼ぐ」系アプリなど、幅広いカテゴリーで不審なアプリが見つかりました。中には早期アクセスの状態のまま、すでに数千件以上のインストール数を積み上げているものもあります。
企業がリスクを抑えるための対策
Bitdefenderは、これらのアプリが確認された端末が業務用だったのか個人用だったのかは判別できないとしています。しかしStahie氏は、異例の権限要求それ自体を警戒信号として扱うべきだと主張します。
「もしこうしたアプリの一つが人気を得れば、開発者はアップデートを配信してアプリを極めて危険なものに変え、はるかに悪質な脅威へと進化させることもできてしまいます」と同氏は述べています。
この可能性が懸念される理由は、早期アクセスがユーザーが問題のあるソフトウェアを見分けるために通常頼りにしている仕組みの一つを奪ってしまう点にあります。通常のPlayストアアプリであれば、誤解を招く挙動が発覚した際に否定的なレビューが急速に積み重なります。しかし早期アクセスでは、そうした警告が一般公開されることはありません。
従業員の個人用Android端末を業務利用させている組織に対し、Stahie氏は「Android Enterprise ワークプロファイル」機能の利用を推奨しています。この機能は業務用アプリ・データを従業員の個人環境から分離するものです。企業は、エンタープライズ管理ソリューションなどのデバイスポリシーコントローラーを使って、従業員所有の端末にワークプロファイルを展開できます。
「会社が電話を支給・所有している場合、組織はオペレーティングシステム全体を所有しつつ、業務用プロファイルと個人用プロファイルを分離して展開することになります」とStahie氏は説明します。「業務関連のもの、メールクライアント、その他のアプリはすべて独自の分離されたサンドボックス内で動作し、ユーザーは業務用プロファイル内に許可されていないものをインストールできません」
これは「完璧な解決策」ではないものの、専用のモバイルセキュリティ対策と、不審なアプリケーションに関する従業員教育を組み合わせれば効果が期待できると、Stahie氏は考えています。
Google自身も、Workspace管理者が組織全体で早期アクセスアプリを無効化したり、組織単位やグループごとにアクセスを制限したりすることを許可しており、リスクが高すぎると判断した企業には、この機能を通じて曝露範囲を抑える手段が用意されています。
