スマホの個人情報抜き取るアプリ

質問

スマホの個人情報抜き取るアプリ、ウイルスで逮捕という事件がありました。
これってなんで逮捕されたんですか？なにがウイルスなんですか？

GooglePlayで節電、電波改善とかで献策してダウンロードしようとすると
個人情報の読み取り、ＧＰＳ位置確認など、なんでそんな権限要求するの？
怪しくね？と思って私はダウンロードしません。

アドレス帳アクセスなど、要求してダウンロード者が「はい」を押したから
自分で取られたり、書き換えられたりしてもいいですよ。
と許可したのだから問題ないのでは？(法律的には)と感じます。

それともダウンロード時の警告、アクセス権を無視、偽装できる
アプリケーションが作れるのでしょうか？

ダウンロード警告時には、「このアプリは実行に特別な権限を要求しません」
とあるのにインストールしたら、GPS(ユーザーの現在地)、アドレス帳、携帯番号などに
アクセスして、それをどこかに送信する。
など可能なんですか？

できないなら、振り込め詐欺じゃないけど許可したユーザーが悪いというか馬鹿だっただけじゃないの？
と思ったのですが。

回答No.3

mrkato

ニュースに上がった、護送中の顔が２被疑者とも良く映ってるとかは、
「何々TheMovie」というタイトルシリーズの逮捕者（一応ソフトの会社自身）で、
経済産業省系の公式な説明が、とても読みやすいページです。
（スマートフォンだと大きなホームページで大変ですが、ぜひ）
情報処理推進機構(IPA)2012年4月のコンピュータウイルス・不正アクセスの届出状況
http://www.ipa.go.jp/security/txt/2012/05outline.html

単にアプリをもらってインストールする時の「必要な権限確認画面」
で、一部が右のアイコンに触れないと読めない「折り畳み」だっただけ？。

携帯電話会社のｄマーケット、ａｕスマートパスなどは
「技術者が人力でアプリの健全性を見たやつしか載せない
（課金ビジネスのサイトに繋がる自体は関係ないが、有名どころ限定）」
仕組みを加えてるので。

テレビ東京「ワールドビジネスサテライト」2012年9月7日特集、公式動画
http://www.tv-tokyo.co.jp/mv/wbs/feature/post_26668/
弱小アプリでも、アンドロイダーというアプリ情報掲載会社だと、
今回までのアプリ問題を逆に活かして、ユーザー組織を巻き込んだり、
面接身元確認（制作者同士でインタビュー自体楽しそう）もしていたり。

お礼

重大な権限は上位の表示されるし、画面が小さいから折りたたみ表示しているので
それもわかりにくい、というのであればandoroid端末の開発メーカーにも
問題あるんじゃないの？と言うことができるのでなんか不思議です。

ツアー旅行、生命保険、金融商品の規約みたいに細々と小さな文字で
長ったらしく書いてあるなら別ですが。

Windowsにも偽装アプリ、ウイルス検索ソフトのふりをしたトロイの木馬。
とかはいくらでもあります。
Realplayer
Flash
などもダウンロードするときに勝手によけいなソフトをデフォルトで
ウイルス検索ソフト(駆除能力なしのマカフィー、シマンテックなど)
日本語入力ソフトなど一緒にダウンロード、インストールしようとします。
確認画面が出て、一応チェックが入っている(デフォルトで)んですけどね。
これも悪質だなーと感じていますが、一応ユーザーは目に見える形で許可したのですから
問題ない。事になっているんだと思います。
問題ならとっくに禁止されているはずなので。

逮捕された側をかばう気は無いけど、私が仮に犯人側なら、ユーザーの許可は得ている。
と反論しますけどね。

Windows,Mac,Linuxのように実行したらもうなにされても仕方ない。
という訳ではありませんし。

「もぐら叩きゲーム」なのにダウンロードしたら「メモ帳」「推理ゲーム」だった。
とか全く違うソフトなら表記に問題がある。とかも言えますが。
裏で個人情報をとっていた。は一応ユーザーが許可したし・・・
なんかただ利用者にも問題あったでしょ？
と感じています。

回答No.2

trajaa

当事者じゃないから具体的どうなのか詳細は知らんが

少なくとも、『動画アプリケーション』が、端末のアドレス情報を洗い浚い抜き取る必要性がどこに有る？
端末の所有者の情報なら、百歩譲って許諾条件に含めたらどうか？という議論は出来てもね
まさか、『貴方の端末に登録してあるアドレス情報を丸ごと頂きます』なんて認証画面に表示するわけ無いでしょう？

それに、アプリ側の表示(権限云々、情報送信云々)は飽くまでもアプリ側の表示だけであって
その結果がOS側の権限には全く関係無い

お礼

振り込め詐欺の時、Expack500に現金入れて送ってくれ品名は「書籍」「書類」で
と言われればあれ？
と思う人は多いと思います。
それでもそのまま犯人言うことを聞いて送る方も馬鹿だと思います。
もちろん犯人は悪いですけどね。

「動画アプリケーション」
であれば例えばMX動画プレーヤーは

・ネットワーク通信、完全なインターネット アクセス
・ストレージ
・システム ツール

を要求しています。確かにこれらの権限は動画再生には必要そうですが
「アドレス帳へのアクセス」などは、なんでだよ？
と思います。おかしいと思ったら自分で注意しましょう。
ってことを思っているのですが。

あともう１つ重要なのはこの権限要求は、ダウンロードしようとする
ソフト側が出しているのか？それともOS側が出しているのか？
ってことです。
これってOS側が出しているんですよね？
ダウンロードしようとするソフト側で表示するならならいくらでも、偽装、表示はできます。

ダウンロードするときは特に権限必要ないよ。
通信はするから「ネットワーク通信、完全なインターネット アクセス」
だけは要求します。
でも実際は認められていない「アドレス帳」やらのアクセス権も取ってしまうことができるなら
OS側の問題かなと思います。

今回はアドレス帳、電話番号程度みたいですがその気になれば課金管理にアクセスして
勝手に有料アプリを購入、カード決済をして、犯人が行方をくらます。
とかができるのではとも思ってます。

もうちょっと高度な物になれば
「GET_ACCOUNTS」
「AUTHENTICATE_ACCOUNTS」
「PROCESS_OUTGOING_CALLS」
盗聴とかもやり放題かなと。

参考となるURLもみましたが、権限管理画面で自分で気がつけよ？
と思ってしまうのですが。
だから利用者側にも問題があるのでは？
と感じています。

回答No.1

tar5500

逮捕されない理由
→犯人が特定できないから

ダウンロードしないのは勝手だけど
便利に使うにはダウンロードしてアプリ入れないとね
テレビは見たいが電気代払いたくないからつけてない状態みたいだね
リスクはあるけど便利さをとるかとらないかかな？

個人情報を抜かれたくなかったらスマホではなく
ガラケー使うといいと思います

お礼

いやそうじゃなく、ダウンロード時に警告が出ます。
「はい」と押したのは利用者なので利用者にも問題があるのかな？と。

ダウンロード時の権限表示を偽装、突破できるならOS側の重大な問題かなと思ってます。