知らずにインストールしてしまいそうな偽物アプリの存在から明らかになるApp Storeの脆弱さ

Androidアプリの10本に1本がマルウェアと言われていますが、AppleのiOSデバイス用アプリが配信されているApp Storeは厳しい審査が存在するのでマルウェアやスパイ広告などが入ったアプリが配信されてしまうことは非常にまれなことです。しかし、そんなApp Storeの持つ脆弱性をArs Technicaが指摘しています。

A new app clone grifter shows App Store’s weakness | Ars Technica
http://arstechnica.com/business/2014/05/a-new-app-clone-grifter-shows-app-stores-weakness/

「1Password」はiPhoneやiPad上で、ウェブサービスへのログイン情報やクレジットカード情報などを安全に保管するためのアプリ。日本語を含む20カ国語に対応しており、パスワードはPCと同期して使用することもできます。

そんな1Passwordのクローンアプリが以下のスクリーンショットのもので、アプリ名とロゴデザインはほとんど丸パクリと言っても過言ではないレベルとなっています。本家の1Passwordと同じアプリ名で、販売価格は1.99ドル(約200円)と本家アプリよりも16ドル(約1600円)も安く販売されていました。このアプリに対して1Passwordの販売元であるAgile BitsのJeffrey Goldberg氏は、「あのアプリはもちろん我々のものではない。これまでも偽アプリを見たことはありましたが、ここまで顕著なものは見たことがなかった」と、メールでArs Technicaにコメントを寄せています。

App Storeでは、Google Playで見られるようなマルウェア入りのアプリやスパム広告入りのアプリのような不正なものを排除するため、公開前に厳しくアプリの審査が行われ、Appleからの認証を得たあとにアプリが配信されることとなります。この厳しい審査が存在することから、App Storeは「Walled Garden(壁に囲まれた庭)」と呼ばれているわけですが、このアプリ審査基準の詳細は明かされておらず、特に最近は「クローンアプリに対して規制がゆるくなってきているのでは」とまで言われる始末。

1Passwordのクローンアプリの中身を見てみると、セキュリティ面はボロボロでユーザーにパターンベースのセキュリティ的に安全性の低いパスワードを推奨するとのこと。さらに、クローンアプリはパスワード管理アプリにも関わらず、ユーザーに写真へのアクセスを求めてくるそうです。

By Mike Cohen

クローンアプリを配信している人々にとって「アプリの機能をどこまで模倣するか」は重要ではなく、あくまで「見た目を似せること」が重要なポイントとなります。そして、クローンアプリはアプリの名前とアイコンをコピーし、App Storeから削除されるまでの少しの間に少しでも多くのアプリの売上や広告収入を得ようとします。また、App Storeのデベロッパーは、Google Playのデベロッパーのようにマルウェアをアプリに仕込むことは難しいのですが、アプリを使って連絡先情報や写真を集めることは可能、とのこと。

そして、仮にアプリデベロッパーがクローンアプリのことでAppleに苦情を言ったとしても、Appleはアプリを即時停止するのではなく、話し合いの場を設けようとするそうです。1Passwordと同じく過去にクローンアプリに悩まされた「A Beautiful Mess」というアプリの販売元で営業マネージャーを務めるTrey George氏は「正気の沙汰とは思えませんが、我々が法的に行えることはほとんどありませんでした」と、偽物アプリが出現した際のもどかしさを語ります。

なお、1Passwordのクローンアプリの作成者は、写真編集アプリ「Afterlight」のクローンアプリである「New Afterlight」や、見た目やアプリ名からはどんなアプリか伝わりづらい「Where is My Partner？」という位置情報をトラッキングするアプリなどを配信しています。

A Beautiful Messとは異なり、1PasswordはMacとiOS端末の古くからの得意先であり、一夜にして爆発的にアプリが大人気になったというわけでもありません。そんなアプリが堂々と偽物を作成されてしまい、Appleがだまされたまま配信し続けていたということは、まっとうなアプリデベロッパーからすれば看過できない問題です。

なお、日本にもパクリアプリに悩まされるアプリデベロッパーは存在します。

無料で期間限定ダウンロード可能なアプリ「アイコンメモ」、理由は「パクリ撲滅のため」 - GIGAZINE