Googleの広報担当者はReddit上で、未確認の開発者からのアプリのインストールをより安全にするために設計されたAdvanced Flow」の最初のバージョンの展開を開始したと発表した。
サイドローディングとは何か、Google Playが100%安全ではない理由、サイドローディングをより安全に行うために注意すべき点、そしてGoogleのAdvanced フローはそれに役立ちます。
サイドローディングとは何ですか？
サイドローディングによりAndroid ユーザーはGoogle Play以外からアプリをインストールする。これは便利な場合もあるが、同時に詐欺やマルウェアの温床にもなり得る。
Androidそのオープン性は、同社の揺るぎない強みの一つです。アプリストアは一つに限定されません。開発者のウェブサイト、代替マーケットプレイス、企業ポータル、または直接共有されたファイルからアプリをインストールできます。
これはサイドローディングと呼ばれます。必ずしも危険なわけではありませんが、従来のアプリストア配信に伴う安全対策の一部が失われます。Google Playストアから直接アプリを入手しても安全性が保証されるわけではありませんが、少なくとも一定の審査は行われています。Googleは、 2025年に175万件以上のポリシー違反アプリの公開を阻止し、有害なアプリに関連する8万件以上の開発者アカウントを禁止したと述べています。
サイドローディングを行う理由はいくつかあります。
- 開発者は自社のウェブサイトから直接アプリを配布する。
- アプリはお住まいの国または Google Play ではご利用いただけません
- 別のアプリリポジトリでは、例えばオープンソースソフトウェアなど、あなたが探しているものが見つかるかもしれません。
- エンタープライズ版、ベータ版、または専用アプリが必要です
- Google Playで現在提供されていないバージョンをインストールしたい
しかし、マルウェア作成者やオンライン詐欺師も同様の柔軟性を駆使する。彼らは銀行、配送業者、政府機関、暗号通貨プラットフォーム、ニュースキャスター、あるいは求人担当者になりすまし、被害者に対し、アカウントを「保護」するため、支払いを受け取るため、あるいは架空の問題を解決するためにアプリをインストールするよう促す。
Google Playは無料パスではありません
Google Playには、審査プロセス、ポリシーの適用、開発者による管理、そしてGoogle Play Protectといった仕組みがあります。また、アプリ公開後も継続的なチェックを実施しています。これらの対策によってリスクは大幅に軽減されますが、すべてのアプリが無害になったり、すべての開発者が信頼できると保証されるわけではありません。
公式ルートを通じて依然として表面化する可能性のある脅威には、以下のようなものがある。
- 便利なユーティリティ、ゲーム、または金融アプリを装ったトロイの木馬
- アドウェアや、その動作を偽って表示するアプリ
- 購読詐欺と欺瞞的な請求方法
- 必要以上のアクセス権限を要求するデータ収集アプリ
- 初期審査を通過した後、動作が変わる隠れたアプリ
Google Play Protectは、Playストアのアプリをダウンロード前にチェックするだけでなく、他のソースからのアプリもスキャンします。潜在的に有害なアプリについて警告を発したり、無効化したり、削除したりすることができますが、これはセキュリティ対策の一つとして捉えるべきであり、インストール前にアプリを精査することの代替となるものではありません。
いつでも、どこでも、モバイル端末を保護。
つまり、「Google Playで入手可能」というのは、セキュリティ上の問題がないことを示すものではなく、肯定的な兆候に過ぎないということだ。
サイドローディングに注意が必要な理由
正規のストアからインストールする場合と、それ以外の場所からAPKファイルをダウンロードする場合の主な違いは、単にファイル形式の違いだけではありません。それは、信頼関係の連鎖にあるのです。
サイドロードを行う場合、以下の点について保証が少なくなる可能性があります。
- アプリを作成したのは誰ですか？
- ファイルが変更されたか、再パッケージ化されたか
- ダウンロードサイトが正規の開発者を装っているかどうか
- 本物のアップデートを受け取るかどうか
- 詐欺師があなたを操ってセキュリティ保護を無効にさせようとしているかどうか
ソーシャルエンジニアリングは、しばしば決定的な要因となる。巧妙な電話、ポップアップ、テキストメッセージ、チャットメッセージなどで、アプリのインストールが緊急に必要だと主張されることがある。攻撃者の目的は、被害者が要求に疑問を抱く前に、警告を無視してインストールさせてしまうことにある。
アプリのインストールを求める予期せぬ要求はすべて疑わしいものとして扱ってください。特に、緊急性、秘密性、金銭の約束、または銀行、政府、雇用主、デバイスプロバイダーが必要としているという主張を伴う場合はなおさらです。
正当な銀行、政府機関、法執行機関、または技術サポートプロバイダーは、電話やメッセージでAPKのインストールやセキュリティの弱体化を指示することはありません。 Android セキュリティ設定。
より安全に横から荷物を積み込む方法
サイドロードは明確な理由がある場合にのみ行い、その決定が予期せぬメッセージや電話ではなく、あなた自身の意思によるものであることを確認してください。
- まずは開発元の公式サイトから始めてください。スポンサー付きの検索結果、無作為のダウンロードサイト、見知らぬ人から送られてきたリンク、類似ドメインなどは使用しないでください。
- 開発元を独自に検証してください。発行元の公式サイト、ドキュメント、公開コードリポジトリ、信頼できるコミュニティチャネルなどを確認してください。ダウンロードページに記載されている情報だけでは不十分です。
- 実績のあるリポジトリを優先してください。アプリがGoogle Play以外で配布されている場合は、可能な限り、出所と署名検証において高い評価を得ているソースを使用してください。上級ユーザーにとっては、APKの署名証明書または暗号ハッシュを開発者が公開している値と比較することが有効な場合があります。これはすべての人にとって実用的ではありませんが、偽アプリの検出に役立ちます。
- プレッシャーを感じながらアプリをインストールしないでください。通話を終了し、チャットを閉じ、ご自身で入手した連絡先情報を使って、主張されている組織について独自に調査してください。
- Google Play Protectを有効にしておいてください。インストール時およびインストール後定期的にアプリをスキャンします。Google Play以外からインストールされたアプリも対象となります。
- インストール前とインストール後に権限を確認してください。特に、シンプルなアプリがアクセシビリティサービス、SMSメッセージ、通知、デバイス管理、連絡先、画面録画へのアクセスを要求する場合は注意が必要です。
- Androidとアプリは常に最新の状態に保ってください。セキュリティ修正プログラムは、オペレーティングシステムの脆弱性と既知の悪意のあるアプリの動作の両方から保護します。
- 信頼できるモバイルセキュリティソフトウェアを使用してください。独立したセキュリティレイヤーは、危険な動作を特定し、潜在的に不要なアプリや悪意のあるアプリに対する可視性を高めるのに役立ちます。
- 信頼できない、または使用しなくなったアプリは、権限を削除し、アンインストールしてください。インストール時には無害に見えたアプリでも、開発者が開発を放棄したり、開発方針を変更したりすると、思わぬ問題を引き起こす可能性があります。
Googleの新しいAdvanced フローは役立ちます
Googleは、開発が完了していない開発者からのアプリのインストールにAdvancedフローを展開しています。 Androidの新たな本人確認プロセス。この機能は、未検証ソフトウェアのインストールに伴うリスクを理解しつつも、柔軟性を必要とするユーザーを対象としています。
このデザインは、マルウェアだけでなくソーシャルエンジニアリング攻撃も標的としている点で注目に値します。即座にワンタップで上書きできるのではなく、ユーザーには以下の手順を踏む必要があります。
- システム設定で開発者モードを有効にしてください。これは非常に簡単で、強引な詐欺でよく使われる、意図しない操作やワンタップによる不正アクセスを防ぐのに役立ちます。
- セキュリティ設定を解除するように誰かに説得されていないか、簡単な安全チェックを行ってください。詐欺師は被害者にセキュリティ保護機能を無効にするよう圧力をかけることがよくあります。
- デバイスを再起動してください。そうすることで、詐欺師があなたを誘導するために使用している可能性のあるリモートアクセスやアクティブな電話をすべて遮断できます。
- 1日待ってから、指紋認証や顔認証、またはデバイスのPINコードを使って変更を承認してください。この1日だけの遅延は、詐欺師が利用しようとする焦りを解消し、考える時間を与えてくれます。
手続きが完了したら、未確認の開発者からのインストールを7日間許可するか、無期限に許可するかを選択できます。
Advanced FlowはGoogle Playがリスクフリーであることを意味するものではなく、未検証のアプリが本質的に悪意のあるものであることを意味するものでもありません。開発者認証は責任体制を確立するものであり、アプリを認証済みの開発者と紐づけるものですが、すべてのアプリが無害である、あるいはすべてのユーザーに適していることを保証するものではありません。
結局のところ、それはあなた次第です。アプリをインストールするなら、提供元を確認した上で自分で選んだものを選びましょう。誰かが緊急事態を捏造したからといってインストールしてはいけません。
アプリがGoogle Playから入手したものでも、外部ソースから入手したものでも、インストールする前に少し立ち止まって考えてみましょう。誰が作成したのか、なぜ必要な権限を要求するのか、ダウンロード経路は信頼できるのかなどを確認し、見知らぬ人がインストールを急かしてきたら拒否しましょう。こうしたちょっとした手間は、単なる煩わしさではなく、むしろ便利な機能なのです。
詐欺師たちは、あなたが思っている以上にあなたのことを知っています。
Malwarebytes Mobile Security 、フィッシング、詐欺SMS、悪意のあるサイトなどからユーザーをMobile Security 。AIを活用したリアルタイムの「Scam Guard」機能が標準搭載されています。
