McAfee Blogにて日本のスマホアプリユーザーをターゲットにした最近のマルウェアという記事がまとめられています。このケースだと事前に怪しげなパーミッションを求められるため、権限を許可しない限り情報は取られないようですが取られた場合の被害は少々うざいものがあります。
- Android ID
- 電話番号
- コンタクトリスト
とりあえず上記三つのうちアンドロイド特有の情報として「Android ID」ってのはどんな情報なのかについて少しまとめておきます。
Android IDについてはアンドロイドではIMEI（International Mobile Equipment Identifier）、iOSのUDIDに相当する固定値の一つで個体識別用…ですがもともとあまり信用が無い(グーグル自体がバグを理由に使うなと言ってます)ので、ほぼ個体識別用と言っても信用が無い故にまともな認証や識別では普通使用されないようです。「端末の工場出荷時状態から初回起動される際任意に作成され、端末の寿命期間中変化しない64ビットの数字」と書くとなんかそこはかとなく重要なそれっぽいですが、root化すれば書き換えることもできるらしいしIMEIやUDID録られるよりも少し気は楽かも？
コンタクトリストはコンタクトリストに含まれるエントリーの名前、電話番号、Eメール、つまり連絡先データがまるっと盗まれるようです。基本的にこれら有害なアプリに対抗する手段はアクセス許可、パーミッションの類はよく注意して自衛を意識する、これ以外の対策は無いです。パーミッションはよく分かってないユーザーがむやみに「ok牧場！」とかジョークまじりの勢いでボタン押しても効果発動、そしてすでに後戻りできない。しかもこれはバグでもなんでもない、プロセスの中にあるのは単なるアクセス許可の発行なのでユーザー自身が情報の利用を許可したという経緯があります。
参考URL：luminのコードメモより、「個人情報漏れすぎ,」
参考URL：コラム：Androidアプリのアクセス許可で気になる項目「端末のステータスと ID の読み取り」
参考URL：Malware Research Experts