スマホソフトウェア競争促進法とは？ 影響とセキュリティリスク

昨今、普及率が90%に達している^※1と言われるスマートフォンは、もはや生活を支えるインフラの一つと言われています。しかし、普及率の高いデバイスであるがゆえに、スマートフォンを狙った攻撃も年々増加しています。また、近年はスマートフォンにおけるサービスの独占を禁止する動きが活発化しており、2024年6月に成立した、いわゆる「スマホソフトウェア競争促進法」により新たなリスクが生じる可能性があります。本記事では、スマホソフトウェア競争促進法の概要とともに、モバイルセキュリティの重要性や同法がもたらすセキュリティリスクと対策について解説します。

スマホソフトウェア競争促進法とは

2024年6月、日本ではスマートフォンの利用とセキュリティに関連する新たな法律案が可決、成立しました。「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律^※2」、通称「スマホソフトウェア競争促進法」です。

スマートフォンの大半を占めるiOSとAndroidでは原則それぞれの公式ストアからしかアプリをインストールできませんでしたが、各公式ストアの審査、アプリ内課金も公式ストアを経由しなければならないこと、手数料負担の大きさなどについての不満が世界各国で発生し、実際に大きな訴訟に発展した例もあります。その結果、公式ストアがサービスを寡占しているとみなされ、公正かつ自由な競争を妨げていると認識されたことから規制する動きが広がっているのです。

すでにヨーロッパではデジタル市場法(DMA)の影響を受け、App Store 以外のサードパーティーアプリストアからアプリを流通させるための機能を Apple が提供しています。

日本における「スマホソフトウェア競争促進法」も同様の目的と解決手段を示していますが、その影響を簡潔にまとめると以下のようになります。

• 対象はOS（機能）、アプリストア、ブラウザー、課金システム、検索エンジン
• ユーザーは Apple / Google が提供する公式アプリストア以外のアプリストアを使用できるようになる
• アプリストアはセキュリティが確保されていると判断されたものが許容される
• アプリからOSの機能にアクセスできるようになる（一部）
• ブラウザーや検索エンジンを自由に、簡単に選択できるようになる
• アプリ内課金を公式ストア以外の方法で選択できるようになる
• ただし、サードパーティーストアを経由せずにアプリを導入する（例：Webサイトから直接アプリをダウンロードしてインストール）ことを許容することまでは求められていない（禁止することができる）

モバイルデバイスは業務に不可欠なものに

2011年時点では30%以下であったスマートフォンの普及率は、2015年には70%を超え、そして2022年には90%を超えるまでに増加しています。企業向けスマートフォンも同様に普及が進んでおり、企業が保有するエンドポイント全体の内訳をみても、その60%は iOS や Android といったモバイルOSが占めています^※3。

企業におけるスマートフォンを含むモバイルデバイスの用途も拡大を続け、従来の電話やメールだけでなく、企業クラウドへのアクセスをベースにチャット、ドキュメントの共同編集、プレゼンテーション、顧客データの入出力などさまざまな目的で利用されています。また、従業員個人に強く紐づくという性質から、企業ファシリティやリソースへのアクセスのための2要素認証やIDとしてスマートフォンが利用されるシーンも目立ちます。

モバイルデバイスのセキュリティ

企業がモバイルを積極活用する上で最初に懸念されるのはセキュリティであり、特に悪意のあるアプリ（マルウェア）による被害やアプリの管理をどうするか、ではないでしょうか。

前述したように現状の主要なモバイルOSである iOS / iPadOS や Android を搭載するデバイスでは、原則それぞれの公式ストアである AppStore や Google Play ストア からしかアプリをインストールできませんでした。こうした公式ストアで公開されるアプリはそれぞれの厳密な審査を経てから公開されるため、セキュリティリスクは比較的少なくなります。

しかし、Android はユーザーの操作で簡単に公式ストア以外からもアプリをインストールすることが可能なため、 iOS に比べてマルウェアの被害が継続して報告されています。iOS においては公式ストア以外からのアプリのインストールには専用のツールや外部機能を必要とするため一般的には難しく、それゆえに Android に比べてセキュリティリスクが少ないと言われていました。（ただしアプリ以外でも、フィッシングメールによるアカウント情報の窃取、公共のWi-Fiを利用することによるネットワークの盗聴（中間者攻撃）、OSそのものが持つ脆弱性を悪用したデバイスへの攻撃などは、OSの種類を問わず毎月数多く検出されています）

スマホソフトウェア競争促進法により懸念されるセキュリティリスク

スマホソフトウェア競争促進法によってユーザーはさまざまな手段でアプリを導入でき、競争によって金銭的にも恩恵を受けられ、かつカスタマイズ性の高いアプリやサービスを利用することができるようになるでしょう。しかし一方で、この「競争の自由」が新たなリスクを呼び起こす可能性もあります。

これまでOSごとに厳密な審査基準のもとに配信されていたアプリの代替としてサードパーティーストアの利用、または代替アプリの利用が進むことによって考えられるリスクをいくつか挙げてみましょう。

• 脆弱なアプリの増加
  サードパーティーアプリストアは公式ストアのようにアプリの更新が義務付けられていません。これにより、脆弱性を抱えたアプリが放置される可能性があります。
• 攻撃対象ポイントの拡大 セキュリティ対策に不備のあるアプリの利用、またはアプリによるOSへのアクセス範囲の拡大により、これまでよりさらに脆弱性を悪用した攻撃が増加する可能性があります。
• マルウェアの懸念 OS提供元によって審査／検証されたアプリ以外の流通を許容することで、マルウェアの拡散が加速化する可能性があります。
• プライバシーリスク サードパーティーアプリストア独自の基準によって、過度に権限を要求するアプリが拡散され、ユーザーと組織の機密データが意図せず漏えいする危険性があります。

このような新たなリスクにより、マルウェアやフィッシング誘導の増大、データ侵害と不正アクセス、デバイスそのものへの侵害などの深刻化が懸念されます。現在でも Android デバイスでは、公式ストア外からのアプリインストールによるマルウェア感染やデバイスのセキュリティ迂回（ジェイルブレイク、ルート化）によるセキュリティ侵害が発生しています。スマホソフトウェア競争促進法により複雑な手順を必要とせずに同様のセキュリティ侵害を引き起こす可能性が広がる、と言い換えれば分かりやすいかもしれません。

これからのスマートフォンの展開、活用に向けて

前述のように、スマホソフトウェア競争促進法の施行により新たなセキュリティリスクが懸念されていますが、企業・個人が安全にスマートフォンやタブレットを利用するにはどのようなことに気を付ければよいのでしょうか。

この疑問に対する完全な回答はありませんが、例えば以下のような対策を取ることでモバイルを取り巻くさまざまなセキュリティリスクを大幅に減らすことは可能です。

• デバイスに常に最新のOSバージョンまたはパッチバージョンを適用する。（脆弱性を減らす）
• デバイスを1日に1回再起動する。（継続性のあるデバイス侵害を遮断する）
• 不審なURLはタップしない。（フィッシング被害を減らす）
• 信頼されたアプリストアからのみアプリをインストールする。（マルウェアの混入を抑止）
• アプリのセキュリティ／プライバシーリスクを確認する。（情報漏えいの可能性を減らす）
• 暗号化されていないネットワークにつながない、不審なWi-Fiに安易に接続しない（ネットワーク攻撃の機会を減らす）

ただし、これらの全てを日常的にかつ網羅的に確認するのは手間ですし、どうしても抜けや漏れが生じます。そもそもOSのパッチは提供までタイムラグが生じるケースも多くあります。さらに端末の制限を多くすればするほどユーザーの利便性が低減し、端末の利用率低下を招く場合もあります。そのため、利便性とセキュリティのバランスを考慮しながら運用する必要があります。

まとめ

ビジネスの加速化、企業や団体におけるDX推進、生産性の向上にはモバイルの積極的な活用が不可欠であると言えますが、モバイルをとりまく環境は今回のスマホソフトウェア競争促進法にもみられるように常に変化しています。特に企業のITチーム、モバイルセキュリティチームは従業員のモバイルデバイスのリスク状態や可視化に対応することが強く求められることになるでしょう。さまざまな攻撃からデバイスを安全に保護し、継続的なリスク回避を実現する上でも、モバイル統合脅威管理やアンチウイルスなどの専用ツールを導入することが望まれます。

関連サービス

Zimperium

ZimperiumのiOS、Androidに特化したモバイル端末向けセキュリティソリューション「Zimperium MTD」で、デバイス上で発生する異常なふるまいやOS上のプロセスから攻撃を検知します。

https://www.softbank.jp/biz/services/security/zimperium/

資料ダウンロード

同じカテゴリーの記事をみる