社説：反対の主張にもかかわらず、App Storeにはマルウェアが満載ではない

App Storeがマルウェアアプリに感染し、将来的にユーザーのデータを盗む可能性があるという証拠として、ある報告書が出回っています。しかし、AppleInsiderはこの調査を以前から検証しており、その内容は根拠のない誇張であり、不正確な点が数多く含まれています。

モバイルセキュリティ企業Wanderaは、App Storeで「クリッカー型トロイの木馬マルウェア」を含むアプリを17個発見したと発表した。しかし、同社が問題を発見したのは事実だが、発見したのは、広告を自動クリックする機能を含むというApp Storeのルールに違反した、たった1つの開発者によるアプリだった。それだけだ。

「iOSアプリに感染するために使われたクリッカー型トロイの木馬の今回の事例で最も懸念されるのは、それがバックドアとして機能することです」と、Wanderaの製品担当副社長マイケル・コヴィントン氏はAppleInsiderに語った。「このデバイスへの直接アクセスは、現在は広告配信に利用されていますが、将来的にはフィッシング攻撃や追加のマルウェア、あるいはリモートコントロールコマンドの配信に容易に利用される可能性があります。」

Wanderaは、このコードを使用するアプリはクリック数を不正に増やすことで企業の収益を人為的に増加させる可能性があると正しく指摘しています。しかし、報告書でアプリが将来のある時点でそれ以上のことをする可能性があると主張されていることは、彼らの主張通りiOSでは不可能です。

アプリ開発者がアプリに攻撃対象領域をリアルタイムで追加することは不可能です。また、Appleが発見したとされるコマンド＆コントロールサーバーを利用して、機能を感染させることも不可能です。さらに、AppleのiOSサンドボックス機能は、ユーザーがアプリに積極的にデータを提供しない限り、ユーザーデータの盗難を防止します。

セキュリティ企業が、これは危険なマルウェアであり、iOS App Storeのセキュリティ侵害にあたると結論付けていますが、これは根拠のない誇張です。この点と、AppleInsiderに送られた同社の調査結果に複数の誤りがあったことを踏まえ、当初はこの件の報道を控えました。しかし、いずれにせよこの情報は広まっており、検証も行われていないようです。

調査、メール、発見

これらのエラーは無視できませんでした。当初、WanderaはAppAspect Technologiesという開発会社がApp Storeに公開している56個のアプリのうち、18個のアプリが見つかったと報告していました。しかし、この開発会社は50個のアプリしか公開していませんでした。そして、その18個のうち1個は重複していると指摘しました。

ワンデラの公式サイト。17という数字に注目してください。重複を指摘されるまでは18だと説明されていました。

Wandera の Web サイトでは、同社は「お客様の組織、お客様の情報、そして何よりもお客様の従業員を保護する」ために存在していると主張しています。

「当社は、治療よりも予防が大切だと信じています。だからこそ、最新の脅威に先手を打って対応し、お客様が脅威について心配しなくて済むようにしているのです」と、同社は続けている。

それにもかかわらず、WanderaはAppAspect Technologiesに連絡を取らなかったようです。私たちが連絡したところ、同社はWanderaの主張について知らなかったとのことでした。そこで、私たちはAppleに連絡しました。

アップルの発言

Appleの広報担当者は、マルウェアは発見されなかったものの、App Storeのガイドラインに違反する広告クリックコードが含まれていたため、アプリを削除したと述べた。また、今後同様のアプリの申請を検出するための新たな対策を導入したとも述べた。

アプリが削除された後、AppAspect Technologies から連絡があり、問題を解決してアプリをストアに復元するために作業中であると伝えられました。

Appleがアプリを削除してから約1日後に、Wanderaは調査結果を同社に開示したかどうかを尋ねる私たちの質問に回答した。

「ワンデラは、アップルが感染したアプリの削除を開始することを期待して、調査結果を共有するためにアップルと積極的に協力している」とセキュリティ企業は主張した。

セキュリティ研究は重要だが、責任も重要だ

Appleのルールに違反しながらもApp Storeにアプリが登録されたという事実は、決して軽視できるものではありません。もちろん、不正に広告収入を得るために利用された可能性があったという事実は、深刻な問題です。

しかし、これは決して iOS App Store にマルウェアが感染したケースではありません。

一部のアプリが削除されたAppAspect Technologiesの公式サイト

もしそうであれば、もしこれが本当にWanderaが主張するほど深刻なマルウェアの事例であるならば、情報開示には責任ある方法がある。責任ある対応としては、Appleが調査結果をまるで重大なセキュリティ問題の開示であるかのように発表する前に、Appleに連絡を取るべきだっただろう。他のセキュリティ調査会社がほぼすべてそうしているように。

メディアで不正確な誇張表現を使ってそうすることは、正しいやり方ではありません。