第9回 スマートフォン・サイバー攻撃対策ガイド「サイドローディングの危険性」 | JSSEC
JSSEC技術部会 スマートフォン・サイバー攻撃対策ガイド 第9回 サイドローディングの危険性 JSSEC技術部会マルウェア対策WG 宮崎力（株式会社ラック） 昨今、サイドローディングの危険性についての議論が改めて活発化しています。 ご存知の通り、スマートフォンのOSは、AppleのiOSとGoogleがリードするAndroidがシェアのほぼ全てを占めており、この状況は世界的にも変わりありません。 アプリのインストールは、iOSはApp Store経由で、またAndroidはGoogle Playを経由して行います。ただし、Androidでは設定次第で、Google Playを介さないインストール、いわゆるサイドローディングによるインストールが可能になっています。 いずれにしても、両者ともサイドローディングによるアプリのインストールを推奨していないことが伺えます。今回は、サイドローディング
Google Play Storeの全アプリ、2022年4月からプライバシーポリシーが必須に
Google Play Storeの全アプリ、2022年4月からプライバシーポリシーが必須に2021.08.01 10:0033,867 Sam Rutherford - Gizmodo US ［原文］ （ 塚本直樹 ） 安心なストアのために。 今年の春先にGoogle（グーグル）が来年に向け発表したPlay Storeにおける新しいセーフティセクションの導入。そして米国時間7月27日、プライバシーポリシーなどアプリが表示しなければならない情報の詳細が明かされました。 セーフティセクションは2022年第1四半期（1〜3月）に導入されるのですが、今回のガイドラインはアプリ開発者が対応するための時間を確保できるように発表されました。セーフティセクションのデザインはまだ決定されていませんが、来年に向けていくつかのモックアップが提示されています。 Image: Googleセーフティセクションでは
ヨドバシカメラのAndroidアプリに脆弱性 フィッシングサイトなど任意のURLへのアクセスに使われる恐れ
ヨドバシカメラのショッピングアプリ「ヨドバシ」のAndroid版に、攻撃者によって任意のURLへのアクセスに使われてしまう脆弱性があるとして、JPCERT/CC（JPCERTコーディネーションセンター）が9月7日、注意を呼び掛けた。対策として、最新版へアップデートするよう案内している。 ヨドバシのAndroid版アプリには、Androidの「Intent」という仕組みを利用して、他のアプリから送られてきたURLにアクセスする機能がある。しかし、同アプリにはリクエストの発行元を制限せず、任意のアプリからIntentを受け取って任意のURLへアクセスを行ってしまう、アクセス制限不備の脆弱性があるという。 第三者がスマートフォンに対し遠隔操作を行い、同アプリを経由することで任意のWebサイトにアクセスすることも可能なことから、JPCERT/CCはフィッシングなどの被害にあう可能性があるとしている
LINE、Google Play登録アプリTop100のおよそ半分に脆弱性を発見 - 週刊アスキー
LINEは2月14日、セキュリティー・安全性診断ツール「AIR GO」を用いた脆弱性診断の結果「2019年度下半期Google Play Store Top 100（JP）脆弱性診断結果」を発表した。 AIR GOはAndroidアプリとウェブサイトを分析し、難読化の有無や脆弱性、オープンソースライセンス、マルウェア検出といったセキュリティーリスクを検知、解決策を提案するもの。明確な判別が難しいGoogle Play Storeのリジェクト理由を診断でき、アプリを配布する前に脆弱性や改善策を得られるなど、アプリの分析に最適化した情報を提供する。 2019年度下半期のGoogle Play Storeのトップ100のアプリに対してAIR GOによる脆弱性診断を行なったところ、セキュリティーポリシーに違反する脆弱性が見つかったアプリは全体のおよそ半数を占めることがわかったという。とくに脆弱性は
ストーカーウェア、10人に1人が交際相手に使ったと回答--米調査
持ち主に知られることなくスマートフォンを追跡するアプリの市場が急成長している。こうしたスパイアプリは、音声通話やテキストメッセージの履歴、写真などのスマホ内のコンテンツを吸い上げて、このアプリをひそかにインストールした人物に送信する。このようなアプリはストーカーウェアと呼ばれている。さらに今回、米国人の10人に1人が現在のパートナーや元交際相手に対して、このようなアプリを使った経験があると回答していることが、ウイルス対策企業のNortonLifeLockが米国時間2月12日に発表した調査結果で明らかになった。 NortonLifeLockがThe Harris Pollと共同で実施した今回の調査では、この手のアプリを使う人の割合は、男性のほうが女性の2倍以上多かったことも判明している。NortonLifeLockの研究者、Kevin Roundy氏によれば、このようなアプリは盗難防止や子ど
「Google Play」申請却下のアプリは55％増、公開停止は66％増 Googleが対策の成果を説明
悪質なアプリが審査をすり抜けて紛れ込む事案が後を絶たないGoogleの公式アプリストア「Google Play」。米Googleは2月13日、そうした不正アプリを阻止する対策を強化した結果、Google Playに提出されながら承認されなかったアプリの数は55％増え、公開が停止されたアプリは66％以上増えたと報告した。 GoogleではGoogle Playの有害アプリを削減するため、不正検出技術やシステムの改善を図り、ポリシーを強化するとともに、審査を担当する人員を大幅に増大させており、そうした投資が奏功したとしている。 Google Playで提供しているアプリに加え、ユーザーの端末に搭載されているアプリに対しても、Android向けのセキュリティサービス「Google Play Protect」で1日当たり500億のアプリをスキャンして、有害な挙動を検出する対策を開始。「Google
産業制御システムアプリ、セキュリティ問題は悪化の一途
IOActiveが34社のSCADAアプリケーションをGoogle Play Storeから無作為に抽出してテストした結果、計147件のセキュリティ問題が見つかった。 産業制御システム（ICS／SCADA）のモニタやコントロールに使われるAndroidアプリケーションのセキュリティ問題は、IoTの普及に伴って悪化の一途をたどっている――。セキュリティ企業のIOActiveが1月11日、そんな調査結果を報告した。 IOActiveの調査は、モバイルSCADAアプリケーションに対する攻撃の可能性を探る目的で実施した。こうしたアプリケーションを攻撃すれば、産業プロセスや産業ネットワークインフラに直接的、間接的に影響を及ぼしたり、SCADAオペレーターに干渉して意図せずシステムに損害を与える行為を実行させたりすることも可能だと指摘する。 今回の調査では、34社のSCADAアプリケーションをGoog
スノーデン氏、新セキュリティ監視アプリ「Haven」を共同開発
米国家安全保障局（NSA）による米国人の携帯電話への監視活動を内部告発したEdward Snowden氏が、個人の安全を守る新しい「Android」用アプリ「Haven」を共同開発した。開発者らによると、このアプリは「ポケットの中の『安全な場所』になること、あるいは『悪意ある客室係』からの攻撃を打ち負かす手段になること」を目的に設計された。 Snowden氏がプレジデントと理事を務めるFreedom of the Press Foundation（報道の自由財団）と、Guardian Projectが協力して開発したHavenは、あらゆるAndroidフォンに「動き、音、振動、光を検知して、予期せぬ他者や望まない侵入者を警戒する」機能を持たせる。 このアプリの基本的な仕組みは、動きや雑音などに反応して起動し、画像や音声を保存するというものだ。それ以降は、デバイス上で起きるすべての操作を保存
グーグル、同意なしに個人データを収集するアプリに警告を表示へ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleが「Unwanted Software Policy」（望ましくないソフトウェアのポリシー）の適用方法を大きく変更しようとしている。これにより、世界の20億人の「Android」ユーザーはプライバシーと透明性の向上を享受できるはずだ。 Googleは開発者に対して、自分のアプリがUnwanted Software Policyに準拠していることを確認するための猶予期間を60日与えている。その後もポリシーに準拠しないアプリについては、おそらく「Safe Browsing」の警告が表示されるはずだ。これを見たユーザーは、ポリシーに違反するそのアプリをインストールしない可能性が高い。 今回の取り締まり強化は、悪意のある有害なAnd
セキュリティ研究者ら、「GOキーボード」が数百万人のAndroidユーザーの個人情報を盗んでいると主張 | juggly.cn
Adguard のセキュリティ研究チームは、人気のキーボードアプリ「GO キーボード」が数百万人もの Android ユーザーから個人情報を不正に取得しており危険だと主張する報告を同社の公式ブログに掲載しました。 Go キーボードは、中国のアプリ開発集団 GOMO Dev Team によって開発されたキーボードアプリで、様々なテーマを提供しており、自分好みのデザインを楽しむことができます。 Adguard は Go キーボードについて、ユーザーの個人情報を外部サーバに送信しているだけではなく、Google Play ストアのポリシーによって禁止されている、アプリをインストールした直後に危険な実行コードを直接ダウンロードしているとして危険なアプリだと断定しています。 Adguard は Android のキーボードアプリによるネットワークトラフィックや望ましくない挙動を調査をしている中で G
Android端末が通信中の相手サーバを世界地図上に表示できる「Spy Monitor」 - CNET Japan
アプリ名：Spy Monitor バージョン：1.0.1 金額：無料（2017年4月2日時点） カテゴリ：ツール 開発：RadioOpt GmbH 使用端末：HUAWEI nova おすすめ度：★★★★☆ 「Spy Monitor」は、Android端末が現在行っている外部との通信を検出し、その通信先である外部サーバを世界地図上に表示してくれるアプリだ。新規にインストールしたアプリはもちろん、プリインストールされたアプリが不審な通信を行っていないか、確認するのにぴったりだ。 アプリを開くと現在地を中心とした世界地図が表示され、そこから国内外の任意の地点に対して線が表示される。この線は任意の地点とのデータのやり取りを表しており、ズームすることによって詳しい位置のほか、実際に通信を行っているアプリのアイコンが表示される。
クルマの遠隔操作Androidアプリ、マルウェアに無防備な実態が判明
自動車の遠隔操作に使われる7種類のAndroidアプリについて、対マルウェアの機能が実装されているかを調査した（出典：Kaspersky Lab） 「つながるクルマ」の遠隔操作に使われるモバイルアプリには、攻撃に対する防御の仕組みが欠落していて、マルウェアに悪用されかねない無防備な状態にある――。セキュリティ企業Kaspersky Labが主要メーカーのアプリについて、そんな検証結果を発表した。 Kasperskyの2月16日のブログによると、同社は大手メーカーの人気車種のドアロック解除やエンジン始動といった操作に使われるAndroidアプリ7種類について、マルウェアに感染させて乗っ取る手口に対する防御の仕組みが実装されているかどうかを検証した。 まず、アプリのリバースエンジニアリングを防ぐための難読化について調べたところ、7種類とも難読化は施されておらず、攻撃者がアプリのコードを読み取っ
Google、プログレッシブWebアプリをAndroidにより深く統合
Androidデバイスにおいて、プログレッシブWebアプリ(Progressive Web Apps)をよりアプリのように扱えるようになる。 プログレッシブWebアプリは、Webとアプリの両方の利点を兼ね備えたWebアプリだ。インストール不要、ブラウザのタブで表示してすぐに利用できるWebアプリでありながら、不安定なネットワークでも素早く起動し、レスポンシブで、プッシュ通知などをサポートする。ただ、基本的にWebアプリであり、ホーム画面にショートカットアイコンを置けて、開くとトップレベルの全画面表示になるが、アプリ・リストに表示されないなどOSとの連携は限られていた。 間もなくリリースされるAndroid用のChrome 57のベータでは、Androidアプリと同じようにプログレッシブWebアプリにアクセスできるようになる。ホーム画面にアイコンを配置したプログレッシブWebアプリがアプリの
リスクファインダーブログ: IPAにアンドロイドアプリの脆弱性報告をした話
昨日(2016/5/30)日、IPAより「DMM.com証券製の複数の Android アプリにおける SSL サーバ証明書の検証不備の脆弱性」が公開されました。 https://jvn.jp/jp/JVN40898764/ 今回この脆弱性は、リスクファインダー株式会社から報告させて頂きましたので、この件につきまして経緯や脆弱性報告手順について記載したいと思います。 SSLサーバ証明書の検証不備の脆弱性は、前から定期的に報告されていますが、なかなか減りません。アンドロイドアプリの脆弱性検査ツールを販売していていつも思うのは、自分の会社のソフトは大丈夫と思い込んでいる人が多い事です。 特に銀行や証券会社等は、お金を取り扱う会社ですので、セキュリティホールが見つかると顧客の資産に影響を与えます。 今回はDMM.com証券での脆弱性でしたが、過去には 百五銀行
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
go-spy-go-popular-android-keyboard-from-china-crosses-the-red-line
Adobe、iOS/Androidで撮影した文書をPDF化できる「Adobe Scan」を無償提供／“Adobe Sensei”で自動補正。OCRによるテキストの認識にも対応
偽セキュリティアプリも多数 ～第三者機関AV-ComparativesがAndroid向け製品を評価
Androidスマホに負担をかける常駐アプリ、1位に「Facebook」～Avast発表
Android向けのVPN接続アプリ「Opera Free VPN」を無料提供 
