【今、知っておくべき危機　第2回】2013年、不正なAndroid （TM)向けアプリは100万件に到達／プロのサイバー犯罪者とどう闘うか？

Android端末市場の拡大と、スマートデバイスを業務に導入する企業が急速に増加していることを受け、大手情報セキュリティ会社のトレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長兼CEO：エバ・チェン、東証一部：4704　以下、トレンドマイクロ）は、「2013年のサイバー攻撃の予測」について、以下のようにまとめた。

■拡大するAndroid端末市場は、サイバー犯罪者たちにとっても “おいしい” 市場

スマートデバイス市場の中でもAndroid OSを搭載端末の市場が拡大を続け、また、スマートデバイスを業務で利用する企業も増加している。その一方で、不正なアプリや、危険性の高いアプリの脅威も急速に拡大している。Android端末の高い人気は、端末メーカ、OSメーカ、関連企業にとってPCに代わる成長市場を創り出しているが、これはサイバー犯罪者たちにとっても“おいしい”市場になっていることは間違いない。
トレンドマイクロ株式会社が発表した2013年セキュリティ脅威予測から、今、日本が知っておくべきスマートデバイス活用に潜む、最新のセキュリティリスクについて解説する。

■2013年、Android端末向け不正アプリは100万件に増加

トレンドマイクロは、2012年までに35万個のAndroid端末向けの不正アプリを確認した。そして、2013年の不正アプリ数は約3倍の100万件に達すると予測している。
「100万件」という不正アプリの数は、Android端末に対するセキュリティリスクが誰にとっても対岸の火事ではないことを明確に表している。こうした脅威に対し、もし何の対策もしていないとすれば、個人・企業ユーザーに関係なくサイバー攻撃の被害に遭う可能性は十分に高いと言わざるをえない。

■被害に気付かない？数が大幅に増加すると同時に、不正アプリは「進化」を続ける

不正アプリは、数が増えていることだけが問題ではない。スマートフォンに新しい機種やアプリが登場するように、不正アプリも進化を遂げている。トレンドマイクロは、2012年にも様々な不正アプリや危険性の高いアプリを確認した。
サイバー犯罪者は、ユーザーのセキュリティの知識や意識の低さに付け込んでいる。セキュリティ対策への知識の量・意識の高さはユーザーによって差があるが、もはや「よくわからない」では済まされない。

■セキュリティ対策をあきらめる？複数端末の利用がもたらす新たな問題とは？

スマートフォン、タブレットPCが急速に普及し、複数端末の所有は珍しいことではなくなった。企業でも、PCに加えてスマートフォンやタブレットを業務に導入することが多くなっており、その動きはますます加速するだろう。当然、使用している端末それぞれ全てにはセキュリティ対策が必要だが、トレンドマイクロは、2013年は「端末ごとに十分なセキュリティ対策が行われなくなる」と予想している。

原因は、複数種類の端末、OSの存在により、セキュリティ対策が複雑化していることにある。対策は、それぞれの端末、OSごとに適切に行われる必要があるがPCとスマートフォンではセキュリティ対策の方法も当然異なる。Windows OS搭載PCだけに対策を行っていた頃と比較して、明らかに複雑になっている。例えば企業でBYOD（Bring Your Own Devices/社員の私物スマートデバイスを業務利用させること）を導入している場合、端末、OS、さらにはバージョンまでを含めた種類の数は、相当多いと予測され、その種類を踏まえたセキュリティ運用の負荷は大幅に高まり、運用しきれなくなる可能性もある。また、他社を参考にセキュリティ対策をすることも現実的ではない。サーバ環境も使用デバイスも様々であるため、同条件の手本とする事例を探し出すこと自体が困難であるからだ。
つまり、IT担当者自らが理解をし、自社の環境に応じた独自のセキュリティ対策を考え出さなくてはならない。しかし、日々新しいサイバー犯罪が生まれている現代において、これは簡単なことではない。

■社内のIT担当者ばかりが負担を増やしても解決はできない

対策が複雑化することで、企業のIT担当者の業務は煩雑化し、一気に仕事の量が増える。
セキュリティ対策が複雑、煩雑になると、設定変更を諦めたり、デフォルト設定のまま放置することが日常化する可能性が高くなる。なんとなく「うちは大丈夫だろう」と、意図的に十分ではないセキュリティ対策のままにしているケースもあれば、十分な対策であるかどうか理解しないまま放置されるケースも想定される。これはIT担当者だけの責任ではない。業務は増えても、人員を増加することが困難な今のご時世、IT担当者でさえ「対策のために必要な知識を得る時間」はないだろう。新しいサイバー犯罪が増えても、IT担当者に「学ぶ時間」が無ければ、対策が不十分であることにさえ気づくことができないのは無理もない。

■プロのサイバー犯罪者たちと、どのように戦えばよいのか？

ではいったいどうすればいいのか？
サイバー犯罪者は単なる趣味や愉快犯ではない。プロの犯罪者である。情報収集、犯罪手法のアイデア、攻撃技術、どれも非常に高く、かつ攻撃の成功率を高めるために日々進化を遂げている。残念ながら企業のIT担当者ではなかなか太刀打ちしづらい現状がある。そこで頼るべきなのは、セキュリティの専門家だ。犯罪のプロには、対策のプロを。サイバー犯罪はそのレベルまで来ているのだ。
今のセキュリティ専門会社は、最新の攻撃動向をキャッチアップし、それらに対抗するための様々な技術を持ち合わせている。単に製品を売るだけではなく、セキュリティ対策の専門家による人的支援サービスも存在している。プロのサイバー犯罪者には、セキュリティのプロが専門知識を持って対策してくれるのだ。

十分な対策がとれていない状態のまま放置することは、自らサイバー犯罪者の攻撃を受け入れることに等しい。われわれ、企業ができることは、自社のセキュリティ対策状況をきちんと理解し、必要な対策を継続し続けることだ。
少しでも不安な点がある方は、今すぐ、まずはセキュリティ専門の会社に相談をしてみることを強くおすすめする。

サイバー犯罪は、対岸の火事ではないことを、改めて認識してほしいと切に願う。
企業の資産である機密情報が流出した場合の被害額とセキュリティ対策を見直すコスト、比べるまでもないのではないだろうか。

トレンドマイクロ株式会社では、今後もセキュリティ対策ソフトを時代の変化に合わせて開発し続けるのみならず、サイバー攻撃の最新事例やその検証情報、パソコンセキュリティ対策のアップデート情報を、積極的に発信してまいります。

関連リンク
トレンドマイクロ セキュリティブログ
「2013年のサイバー攻撃の予測について」
http://blog.trendmicro.co.jp/archives/6457?cm_mmc=Ent-_-Sakaami_5-_-Webrelease-_-001

トレンドマイクロ株式会社
http://jp.trendmicro.com/jp/home/enterprise/index.html?cm_mmc=Ent-_-Sakaami_5-_-Webrelease-_-002