Oligur

最近、 Geeksphone Blackphone 、 Boeing Black 、 FreedomPop の Privacy phone という3 つの新しいセキュリティ フォンが注目を集めています。

これまでのところ、これらのスマートフォンはセキュリティ対策として同様のルートを採用しており、暗号化、セキュリティアプリ、その他の機能が搭載されています。

しかし、これらの携帯電話の少なくとも 1 つには、Android の標準機能となるべき機能が 2 つあります。

Silent Circleとの提携により製造された629ドルのGeeksphone Blackphoneは、PrivatOSと呼ばれるAndroidのフォーク版を採用しています。まず、アプリのインストール時に選択肢が表示され、各アプリがアクセスできる個人情報の種類、つまり各アプリが要求するデータソースごとの個別の権限を細かく選択できます。次に、アプリのインストール後には、「セキュリティセンター」が表示され、アプリごとに特定の権限を有効または無効にすることができます。

なぜこれら 2 つの機能が標準の Android に組み込まれていないのでしょうか?

ウイルス対策ソフトウェア会社アバストは金曜日、暗視機能付きAndroidアプリ「Cámara Visión Nocturna」がユーザーに知らせず許可も得ずに有料メッセージサービスに登録させていたことを明らかにした。

このアプリはWhatsAppなどのメッセージングアプリから電話番号を収集し、有料メッセージングサービスに登録していました。このサービスでは、1セッションあたり2.80ドルの料金が請求されていました。中には月額最大50ドルを請求されたユーザーもいました。この請求がどのように行われたのかは不明ですが、研究者が発見した時点で既に被害は発生していました。

一見合法的なアプリでありながら、ユーザーから金銭を搾取したり、違法行為を働いたりする秘密の機能を備えたアプリの利用が、成長産業となっているようだ。リモートアクセスツールキット（RAT）は長年問題となってきたが、中国をはじめとするアジア諸国のユーザーを標的とする傾向があった。

今週、研究者らは「Dendroid」と呼ばれるRATを発見しました。これは、マルウェア拡散を企む者が米国および欧州のユーザーを標的にするのを支援するものです。このRATは、正規のAndroidアプリソフトウェア内に悪意のあるコードを隠すように設計されています。

興味深いのは、Dendroidのコントロールパネルが仮想プライベートサーバー上にホストされていることです。これは「サービスとしてのマルウェア」です。

Dendroidの価格は300ドルで、24時間体制のテクニカルサポートと、検出されないという保証が付いています。フォーラムでは「Soccer」という名前で知られる開発者は、このソフトウェアは通話やテキストの録音、携帯電話からの写真のダウンロード、音声と動画の録音、携帯電話のカメラを使った写真撮影、電話番号への発信、通話履歴の削除、アプリケーションの起動、サービス拒否攻撃の実行が可能だと主張しています。

Dendroid は、Google Play ストアのコントロール (Bouncer と呼ばれる) をすり抜けるように設計されていると伝えられています。

これらはすべて恐ろしい話のように聞こえるが、モバイル セキュリティの専門家は、Dendroid が実際には大きな脅威になるとは考えていない。主な理由は、Dendroid が検出され、セキュリティ業界と Google がこれを知っているため、何らかの対策を講じることができると考えているためだ。

懸念されるのは、Dendroid が Android 向けの非常に専門的で高性能なオールインワン マルウェア ツールキットの新たなトレンドを象徴している点です。

マルウェアではないものの、データ窃取の問題もあります。

中国インターネットデータセンター（DCCI）が昨年発表した報告書によると、調査対象となったAndroidアプリの約35%が、アプリの目的とは関係のないユーザーデータを収集していたことが判明した。

この問題は中国国外でも発生していますが、Playストアのアプリに関しては平均的にはかなり改善されていると思われます。最も注目を集めた事例は、GoldenShores TechnologiesのBrightest Flashlightの失敗でした。

一見合法的なアプリの中に、ユーザーの信頼を悪用するために設計されたマルウェア ペイロードが密かに潜んでいることで、Android ユーザーが将来的にプライバシー、セキュリティ、金銭の侵害を受ける大きなリスクにさらされていることは明らかです。

そのため、Google は Geeksphone Blackphone の PrivatOS から次の 2 つの機能を追加する必要があります。

1. アプリが実行可能なプライバシー侵害行為のすべてについて、ユーザーに許可または拒否を迫る機能。面倒すぎてインストールを諦めるのではなく、インストールを完了させたいのであれば、アプリ開発者はプライバシー侵害行為を最小限に抑えるか、完全に排除する必要があります。
2. 明確で包括的な「セキュリティ センター」を提供する機能。いつでもプライバシーを侵害するすべての権限が表示され、個別にオンまたはオフに切り替えることができます。

もちろん、NoRoot Firewallのようなサードパーティ製アプリも同様の機能を備えています。しかし、これらはごく少数のユーザーしか利用しないでしょう。

Googleは、OSレベルでユーザーへの負担を最小限に抑えるこれらの2つの機能で、ユーザー保護を強化する時が来ました。Androidスマートフォンでプライバシー権限を付与または拒否するために、ユーザーが珍しいスマートフォンやあまり知られていないアプリを探す必要はもうありません。

（画像提供：SoftAndApps.info）