【電子版】アンドロイドOSに脆弱性、偽ウィンドウで操作誘導も－パロアルトネットワークス

• 

  パッチをインストールするためにクリックしているように見せ掛け、実際にはフル管理者権限をマルウエアに許可させている例（パロアルトネットワークス提供）

サイバーセキュリティー大手、米パロアルトネットワークスは、グーグルのモバイル用OS「アンドロイド」で深刻な脆弱性が見つかったことを明らかにした。最新版の「アンドロイド8.0 OREO」（英語版）を除いて、それ以前のすべてのバージョンに影響を与えるとし、ユーザーには更新パッチを当てるよう呼びかけている。

パロアルトネットワークスの脅威インテリジェンスチーム「ユニット４２」が発見したのは、アンドロイドプラットフォームに対し、悪意あるアプリが「オーバーレイ攻撃」をより簡単に行えるようにする脆弱性。実際の攻撃は確認していないとしながらも、今回の脆弱性を利用すれば上書き権限をユーザーに要求しない形で、攻撃者がスマートフォンなどのデバイスで実行中のウィンドウズやアプリにウィンドウを上書き（オーバーレイ）できてしまう。

オーバーレイ攻撃が成功すると、デバイス上の本来のウィンドウでクリックしているとユーザーに思い込ませ、実際には別のウィンドウをクリックさせることが可能になる。このようにして、ユーザーの知らない間にマルウエア（悪意のあるソフトウエア）をインストールさせたり、マルウエアにデバイスの全面的な管理者権限を許可したり、さらにはデバイスをロックして身代金を要求するランサム攻撃に使われたりするという。

防御策の一つとして同社では、アンドロイドのセキュリティーチームが検査を行っている「グーグルプレイ」からダウンロードしたアプリだけを使用するようアドバイスしている。