あなたのスマホを最ものぞき見しているのは、ハッカーではありません。あなたのパスコードを知っている、身近な誰かです。

サブスクで買えるスパイウェア

「ストーカーウェア（stalkerware）」という言葉は、一見するとごく普通に見えるソフトウェア群を指します。サブスクリプションで提供される市販のアプリで、多くは「保護者による見守り」や「従業員の勤務管理」をうたって売られています。クレジットカードと月額10〜40ユーロさえあれば、誰でもオンラインのダッシュボードを手に入れ、その端末の日常をのぞけてしまいます。メッセージ、常時のGPS位置情報、写真、閲覧履歴、通話記録。中にはマイクを作動させられるものまであります。

そこに技術的な離れ業は一切ありません。秘密のエクスプロイトも、書くべきコードの一行もありません。この製品は、まったく専門知識のない人が、手に持っているスマホに数分でインストールできるように設計されています。ひとたび仕込まれると、アプリは目立たないように振る舞います。アイコンは表示されず、プロセス名は無害そうなものになり、画面には何も現れません。

その規模を正確に測るのは困難です。何しろ「見つからないように」作られたソフトウェアだからです。手元にある数字は上限ではなく下限にすぎません。あるアンチウイルス企業1社だけでも、毎年世界中の数万台のスマホでこれを検知しています。そして約40の団体が集うCoalition Against Stalkerwareは、この現象が収まる気配はないと報告しています。しかもこれは、セキュリティアプリが入っている端末の数にすぎません。それ以外の端末は、どんな統計にも決して現れないのです。

こうしたアプリをインストールするのは誰でしょうか。パートナー、元交際相手、一線を越えた親、ときには雇用主です。ひとつはっきりさせておきましょう。多くの国では、成人の同意なくその人のスマホに監視ソフトウェアをインストールする行為は、二人の関係がどうであれ、犯罪です。

物理的に5分触れることは、どんなウイルスよりも大きな被害をもたらす

これこそ、ぜひ覚えて帰っていただきたい考え方です。というのも、脅威についての一般的なイメージをひっくり返すものだからです。被害者の操作を一切必要とせずに、遠隔でスマホを乗っ取ることは、途方もなく難しいのです。それを可能にするエクスプロイトは数百万ドルで取引され、一般個人を監視するためではなく、国家によるスパイ活動に使われます。現実的な道筋は、はるかに短いものです。あなたのパスコードを知っていて、あなたのスマホと5分間ふたりきりになること。それだけです。

Androidでは、インストールは直接的です。「提供元不明のアプリ」を許可し、アプリをインストールし、強力な権限（ユーザー補助、デバイス管理者）を与え、アイコンを隠す、という流れです。iPhoneでは、スパイアプリのインストールはかなり難しいため、監視はたいてい別のルートをたどります。すなわちAppleアカウントの認証情報です。それを知っている人は、何一つインストールしなくても、バックアップ、位置情報、写真を読み取れてしまいます。

そこから導かれる実践的な結論は単純で、しかも一銭もかかりません。ロック解除コードこそ、あなたのデジタルライフを守る最初の錠前なのです。「信頼して」教えてしまったコード、誕生日、何年も変えていない同じコード。すべてはそこから始まります。コードを変え、自分の中だけにとどめておくこと。これもまた、基本的なセキュリティ習慣です。スマホをロックせずに放置しないのと同じように。

本物のサインと、偽物のサイン

まずは偽物のサインから片づけましょう。無用な不安をかき立てるだけだからです。バッテリーが温かい、スマホの動作が遅い、データ使用量が上下する。こうした症状には、無害な原因が山ほどあります。出来の悪いアプリ、劣化したバッテリー、最近のアップデートなど。現代の監視ソフトウェアは、まさにそんなふうに自らの存在を露呈しないよう、念入りに設計されているのです。

本当に注意を向けるべきサインは、別のところにあります。最初のサインは、技術とはまったく関係ありません。身近な誰かが、知っているはずのないことを知っている。あなたがどこにいたか、何を書いたか、誰と話したか。この兆候が繰り返されるなら、どんなバッテリーの症状よりも重い意味を持ちます。

スマホ本体では、構造的な手がかりを探しましょう。見覚えのないアプリが不釣り合いなほど強い権限（ユーザー補助、デバイス管理者）を持っている、Androidで「提供元不明のアプリ」が有効になっているのに設定した覚えがない、GoogleやAppleのアカウントに知らない端末がサインインしている、自分では設定していない位置情報の共有がある、といったものです。これらのチェックはすべて設定画面の中にあり、数分で済み、特別なスキルも要りません。

やるべきこと、そしてやってはいけないこと

思わずやってしまいがちなのが、アプリをすぐに削除することです。しかしそれは、ときに誤った対応になります。この種のソフトウェアの多くは、報告が途絶えた瞬間に、インストールした本人へ通知します。もしその相手があなたの日常生活の一部であり、状況に不安を感じているなら、いきなり削除することで事態が悪化しかねません。その場合は、まず記録を残し（スクリーンショット、日付）、支援を求めてください。Coalition Against Stalkerwareのウェブサイトstopstalkerware.orgには、国ごとの支援団体が一覧で載っています。

対処すると決めたら、次の順序で進めてください。

→ロック解除コードを変更する。誕生日や、身近な人がすでに知っているコードは避けましょう。
→別の端末（友人のスマホや信頼できるパソコン）から、まずメールのパスワードを、続いてGoogleまたはAppleアカウントのパスワードを変更する。
→それらのアカウントにサインインしている端末とセッションを確認し、見覚えのないものはすべて削除する。
→メールとメインのアカウントで2FA（二要素認証）を有効にする。
→最終手段として、初期化（工場出荷時リセット）を行えば、この種のソフトウェアはほぼすべて消え去ります。ただし、その後は侵害されたバックアップからではなく、新しいパスワードで端末をセットアップすることが条件です。

Trasimèneができること

Trasimèneのアプリ監視機能は、インストール済みのアプリを、サーバー側で更新される既知の監視ソフトウェアのリストと絶えず照合し、危険な兆候となる権限の組み合わせを警告します。ユーザー補助、自動起動、常時バックグラウンド動作を兼ね備えた目に見えないアプリが、正当な存在理由を持つことは、まずありません。

限界についても正直に語りましょう。それこそがこのブログの本質だからです。すべてを見通せるセキュリティアプリなど存在しません。AppleやGoogleのアカウント認証情報を経由する監視は、スマホ本体には一切触れません。スキャンではなく、アカウントの設定画面に現れるのです。だからこそこの記事では、私たちが自動化しているチェックだけでなく、両方のチェックの手順をご案内しました。

覚えておくべき原則。ロック解除されたスマホに物理的に5分触れられることは、これまで警告されてきたどんなウイルスよりも重大です。ロック解除コードは、あなたの最初の錠前です。自分で選び、自分で守りましょう。

過度な猜疑心に囚われて暮らす必要はありません。この記事で取り上げた監視は、空から降ってくるものではなく、身近なところからやってきます。そして、シンプルな習慣で防げるのです。自分だけのパスコード、しっかり守られたアカウント、そしてときどき権限を見直すこと。もしある日、技術的な対策だけでは足りない、状況がスマホの枠を超えてしまった、というときには、多くの国に力になってくれる支援団体があります。ここで紹介したチェック自体は、10分もあれば済みます。一度やっておく価値があり、そしてときどきやり直しておく価値もあります。

参考資料

Trasimène：モバイルセキュリティ

スマホのアプリをチェックする

Trasimène をダウンロード →