iOSアプリ1200件で利用される広告SDKに悪質なコードとの報告--開発元は否定

　開発者向けセキュリティサービスを手がけるSnykは米国時間8月24日、人気の高い広告SDKの「iOS」版に悪質なコードが仕込まれているとするレポートを公開した。このSDKは1200以上のiOSアプリで使われており、ダウンロード数は1カ月に3億回を超えると業界のエキスパートは推計しているという。

提供：Snyk

　Synkによれば、この悪質なコードは、中国に本社を置く広告プラットフォームMintegralが提供しているiOS向けSDKに密かに挿入されていた。

　Mintegralは、「Android」アプリとiOSアプリの開発者にこのSDKを無料で提供している。開発者はこのSDKを使って、わずか数行のコードでアプリに広告を組み込み、開発にかかる時間とコストを削減することができる。

　Synkは、このSDKのiOS版に悪質な機能が含まれているとしている。この機能がiOSアプリのバックグラウンドで密かに動作し、Mintegral以外の広告ネットワークが配信している広告がタップされるのを待っているというのだ（モバイルアプリでは、広告戦略やマネタイズ戦略を多様化するために複数の広告SDKが使われていることが多い）。

　広告がタップされると、MintegralのSDKがクリック参照元のプロセスを乗っ取り、iOSに対して、ユーザーによるクリックが競合他社の広告ではなく自社の広告で発生したように見せかけるという。これにより、他社のSDKや広告ネットワークから生じた売り上げを難なく横取りできる恐れがある。

　Snykは24日付けのブログ記事に、「さらにSnykは、Mintegralの悪意あるコードが組み込まれたアプリケーション内から発行されるURLベースのリクエストはすべて、その詳細がMintegral SDKによって捕捉されることを確認した」と記している。

　該当情報は記録された後、リモートサーバーに送信される。その中には以下のような情報が含まれるという。

• リクエストされたURL。これには個人を識別できる情報や、機密性の高いその他の情報が含まれる可能性もある。
• リクエストのヘッダー。これには認証トークンや、その他の機密性の高い情報が含まれる可能性もある。
• リクエストが送信されたアプリケーションコード内の位置。この情報はユーザーの行動パターンを特定する上で役立つ可能性がある。
• デバイスのIDFA（広告識別子）。これはAppleがランダムに生成した一意の文字列であり、デバイスと、デバイス固有のハードウェア識別子（IMEI）を特定するためのものだ。

　SnykのアプリケーションセキュリティアドボケイトAlyssa Miller氏は、「捕捉しているデータの性質をMintegralが隠ぺいするために使用している改ざん防止制御技術とカスタム化したプロプライエタリーなエンコーディング技術の双方は、『TikTok』アプリを分析したリサーチャーらが報告しているものと同様の機能を思い起こさせる」と述べている。

　またMiller氏は、「『SourMint』（SnykがMintegralのiOS向けSDKに付けたコード名）の場合、収集されるデータのスコープは、適正なクリック属性に必要なものよりも広範囲に渡っている」と話した。

　Snykは、Mintegral SDKを使用しているiOSアプリのリストを公開していない。しかし同社によると、悪意のあるコードが存在する最も古いSDKのバージョンは、2019年7月17日にリリースされたバージョン「5.5.1」だという。

　iOSユーザーは、自らの使用しているアプリにMintegral SDKの悪意あるコードが含まれているかどうか知るすべを持たないため、個人情報や閲覧傾向を守る上でできることはないに等しい。それでも、アプリ開発者は、Snykのレポートにある情報とアプリのコードベースを照らし合わせてこのSDKを取り除いたり、悪意のあるコードが存在しない旧バージョンにダウングレードすることができるだろう。

　Appleは24日付けの電子メールで、Snykのリサーチャーらと同社のレポートについて話をしたとしており、Mintegral SDKがユーザーに被害を与えている形跡は今のところ見つかっていないと述べた。

　Appleによると、アプリ開発者は自らのアプリ内で使用するSDKに対する責任を負っており、サードパーティーによって提供されている多くのライブラリーのコード中には、誤った解釈をして不正目的で利用できる機能を持ったコードが含まれている可能性があるという。また、こうした状況は同社も過去に確認しているという。

　Appleは、これらの二面性を有した機能を持ったSDKの存在こそ、同社が最近になってiOSによるプライバシー統制を拡大している理由だとした。また同社は2020年中にリリースする予定の「iOS 14」で、アプリやSDKによるプライバシー侵害をより容易に洗い出せるようにする新たなプライバシー強化機能を多数提供すると説明した。

　MintegralはSnykのレポートについて強く否定し、Snykの調査内容は「虚偽の主張」だとした。Mintegralは米ZDNetに共有した文書の中で、広告詐欺とされている問題について調査すると約束している。また、同社がユーザーデータを収集する仕組みは、他の広告企業が行っていることと何ら違いはないと説明した。