インターネットセキュリティの基本、そしてウェブ閲覧中の個人情報のプライバシー保護については、すでにご存知かもしれません。ファイアウォールを使用し、予期せぬ添付ファイルは開かず、見知らぬ人からのリンクはクリックしないようにしましょう。しかし、スマートフォンはどうでしょうか？セキュリティ研究者のジョージア・ワイドマン氏が、2011年のセキュリティカンファレンス「ShmooCon」で、自作のボットネットを使ってAndroidスマートフォンをいとも簡単に感染させた事例は、スマートフォンに保存されている個人情報のプライバシーを懸念する人は、疑わしいアプリや信頼できないアプリをダウンロードする前に、よく考えてみるべきだということを示唆しています。
では、スマートフォンボットネットはどのように拡散するのでしょうか？まず、被害者はボットビルダープログラムを含むファイルをダウンロードする必要があります。ボットビルダープログラムは、スマートフォンの基本オペレーティングシステムにボットをインストールする、秘密の悪意のあるコードスニペットです。感染ファイルは、アプリ、音楽、あるいはメールの添付ファイルなど、様々なものになり得ます。「ボットネットはどんなものにもカモフラージュされる可能性があります」とワイドマン氏は主張します。「誰かが、ユーザーが求めている優れた機能を持つアプリを公開するかもしれません。さらに悪いことに、そのアプリは宣伝通りに動作し、ユーザーが疑わないように仕向けるかもしれません。その間、ボットネットは何年も活動を続ける可能性があります。」
携帯電話が感染すると、ほとんどのユーザーが慣れ親しんでいるアプリケーション層の下にある、ベースOSにスレーブボットプログラムがインストールされます。そこから、これらのボットはユーザーが操作する前に、携帯電話で送受信されるすべてのデータを監視・変更できるため、ボットマスターはユーザーの知らないうちに携帯電話を操作・制御できるようになります。「ボットはユーザーよりも先にすべてを把握するため、プライベートなデータを盗み取り、インターネット上の他の場所に転送することが可能です」とワイドマン氏は言います。「あなたが何をしていたか、誰と話していたか、どこにいたかなどです。」
ボットマスターがあなたの携帯電話を掌握すると、まず最初に行われるのは、できるだけ多くのユーザーに感染を広げることです。過去には、モバイルボットネットがスマートフォンのインターネットアクセスを悪用し、電子メールを介して悪意のあるコードを拡散してきました。しかし、ワイドマン氏のAndroidボットネットは、SMSテキストメッセージを介して通信および拡散するため、危険です。ワイドマン氏は、SMSテキストメッセージサービスの乗っ取りは、携帯電話のモデム経由でインターネットにアクセスするよりもバッテリー効率が高く、はるかに巧妙であると主張しています。さらに、これは新たな攻撃経路となり、何も知らないユーザーが感染した友人から悪意のあるコードへのリンクを含むテキストメッセージを受け取る可能性があります。
「友達から『これを見て』というリンク付きのテキストメッセージを受け取ったら、なぜ信じないのでしょうか？」とワイドマン氏は言います。「もし私の連絡先の誰かが感染していたら、知らないうちに私に感染させているかもしれません。」もちろん、スマートフォンのマルウェアは目新しいものではありません。シマンテックやルックアウトなどのセキュリティ企業は、マルウェア検出機能や、SMS経由で電話をロックしたり消去したりするリモートセキュリティ機能を備えたiOSおよびAndroidアプリを提供しています。しかし、ワイヤレス市場は多種多様なデバイスや通信事業者に分散しているため、セキュリティ企業がアプリを最新のマルウェアプロファイルで更新し続けることは困難です。さらに悪いことに、ほとんどの検出アプリは他のアプリケーションをスキャンして悪意のあるコードを検出するだけです。この方法では感染したアプリは検出できますが、ボットビルダープログラムが既にスマートフォンのOSの一部を上書きしている場合はあまり効果がありません。OSの種類も関係ありません。ワイドマン氏はプロトタイプのボットネットをAndroid OS上で開発しましたが、ボットはどのスマートフォンでも動作する可能性があると述べており、現在テスト用にiOSとWindows Phone 7デバイスを探しています。
ワイドマン氏のセキュリティ研究は一見恐ろしいように思えるかもしれませんが、今のところはあくまで研究段階です。「今後、この種の攻撃が蔓延した場合、私たちはソフトウェアを更新してそれを検出します」と、Lookout SecurityのCTO、ケビン・マハフィー氏は述べています。「このようなマルウェアが実際に確認されない限り、既存の脅威への取り組みに注力していきます。」
さらに、スマートフォンをボットネットから守り、データのプライバシーを守るのは実はとても簡単です。iPhoneやAndroidデバイスのセキュリティも、ノートパソコンと同じくらい真剣に考えるようにしてください。信頼できない人からのアプリやファイルはダウンロードせず、テキストメッセージに埋め込まれたリンクやファイルにも注意しましょう。スマートフォンにダウンロードするファイルは感染する可能性があることを念頭に置き、適切な対策を講じてください。
