スマートフォンでアプリ利用時の個人情報収集の危険度

質問

スマートフォン（アンドロイド）を使っており、様々なアプリをネットよりダウンロードして
使用していますが、その際にどこまで個人情報が収集されているのかが気になって
います。
特に気になるのが、アドレス帳情報、通話履歴です。

アドレス帳に入っている名前、電話番号、メールアドレスや通話先履歴番号、通話先名などが
アプリにより収集されているということでしょうか。
収集されているならば、アドレス帳に入っている人や通話履歴に入っている人に大きな迷惑を
かけるということになると思っています。
（例えば、フェースブックのアドレス帳に入っている人宛に、運営が自動的（どこかで利用者には
同意を取っている形にはなっているのでしょうが）に招待メールを出しているというように。
過日、突然自分の本名で知らない（と思われる）人から招待状が来たのはびっくりしました。）

（１）現状でどこまでアプリで情報を吸い上げることができるのか。
特に、アドレス帳の名前、電話番号、メールアドレスや通話先履歴番号、通話先名は全部収集可能なのでしょうか。

調べたところ、
android.permission.READ_PHONE_STATEの権限をあたえると、
自分の携帯番号や端末ＩＤ等
android.permission.READ_CONTACTSの権限をあたえると、
通話先履歴番号、通話先名（アドレス帳に登録の名前）等
が吸い上げられるようなのですが・・・ほんとうでしょうか。

逆に見れば、メールアドレスまではアドレス帳からは抜けないとも読めるのですが。

有名なアプリでもＤＬ時に上記の権限付与の許可を求められることが多いと思いますが・・・

（２）自分でできる対策は？
アプリをそもそも利用しないというのは性質上無理ですし、信用できそうにない提供者からの
アプリは使用しないぐらいはやっていますが・・・

（３）スマフォアプリの個人情報収集により実害が発生している顕著な例はありますか？
アドレス帳には、プライベートから取引先まで様々なのが入っています。
これらのデータ、しかも実名が利用されて、悪用されたら大変なこととなると思います。
（業者のランダムのスパムメール送信はある程度皆が、あきらめているところだとは思いますが。）

（４）個人情報収集されるリスクの度合いは？
ネットを利用している以上ノーリスクはありえないのは当然と思うのですが、スマフォアプリ利用による
リスクが概ねどれくらいなのか。
クレカ情報が抜かれるレベルなのか、クッキーでブラウザ情報等が抜かれるぐらいの簡単なレベル
なのか・・・

従来は、携帯端末固有ＩＤやＩＰアドレスが知られる、クッキーで捕捉されるレベルで、
直接的には個人を特定することは難しかったと思いますが、アドレス帳等そのものが
抜かれると、情報が個人と直結することになると危惧してます。

自動車で言えば、運転する以上他人を死傷させることもあるが、仕事には絶対必要で、
死傷を最大限さけるために、危険ポイントをしって、できる対処方法はとっておきたいという感じです。

ご教授よろしくお願いします。

回答No.2

shinshin3 · ベストアンサー

最近、流行のアンドロイドOSを使用したスマートフォンOSは最新のバージョンで2.3まで
バージョンUPされています。基本はLinuxカーネルというものを使用して作られています。
LinuxカーネルのバージョンがUPする事で、アンドロイドOSもバージョンUPして行くと
思われます。
基本的にはプログラムですので、なんでも行う事は可能です。
商用アプリ等では、接続された端末（アンドロイド携帯）の情報は、ある程度の情報は
2重ダウンロードや課金情報を管理する為に、顧客情報として吸い上げますが、住所、メールアドレス、
電話番号、通話履歴、アドレス情報は、アプリ構築時には、吸い上げられない様に構築します。

端末情報を外部接続端末で、吸い上げるソフトを作成するには、ある特殊な構造のプログラムを
作成しなければなりません。この為、通常のアプリ作成上では困難であるためできません。

各メーカサイドで独自性があり、個人情報保護に努めている為、ソフトウエアロックと、ハードウエア
ロックが施されており、外部からのアクセスができない様にされています。

（１）についてですが、接続された端末のメーカ、携帯端末固有ＩＤ型番、搭載OSバージョン、MACアドレス、端末製品番号、ハードウエアROM基盤番号、RAMシステムユーザー情報などが、正確に情報として外部から参照でき、セキュリティーロック手法(ハード、ソフト）がわかれば可能です。

（２）信用できそうな提供者であるならば、自己管理責任の下で大丈夫だとは思いますが、
自分でアンドロイドOSバージョンに基づき、アプリケーションを作成する事です。

（３）通常のインターネット同様、あるサイトに接続したら、その後知らない所からメールが
送信されてきたりというのはありますが、アンドロイドも所詮Linuxですから、同様にあります。
簡単に抜き取られるのは、メールアドレスが取られてしまいますが、ソフトバンクもドコモも
対策をしているようですが、なかなかいたちごっこです。
私の友人は、ドコモスマートフォンでアンドロイドOS1.6の時に、SPメールでメールを取られたと
言っていましたが・・・。（調査はしていませんので詳細はわかりませんが）
ドコモのSPメールは、プログラムを特殊な構造で構築している為、安易にできない様になっています。

（４）OSの待機時間（熟練度）が増すにつれて、プログラムを解析する人々が出てきますので、
その部分を突いて、ソフトウエアが構築されれば高くなります。
現段階のOSは、最新スマートフォンで2.3で、新しいOSですので、低いと思われます。

現在PC上での情報収集方法と、スマートフォンOSでの個人情報収集方法は、ほとんど同じ手法で
プログラム作成されているようですが、クッキー補足を有効としない接続方法が、あるということ
です。アンドロイドOSを使用したスマートフォンで、Gmailを使用し、同期を取ると、
パソコンで設定したメールアドレスや、メール内容（送受信）が、スマートフォン上に表示されます。
この原理を理解していただければ、アドレス等は簡単に抜けます。
現状のOSバージョンなどでは、GoogleのアンドロイドOS仕様があり、データ同期課程で、データ暗号化
されているので容易には、抜けない状況で端末に提供されています。
端末上で表示された段階（コマンド入力等処理）で、携帯メモリ（OS上のシステム領域）から、
プログラムが呼び込まれて、展開、表示する仕組みですので、外部からアクセスして抜き取る処理を
作成したとしても、バイナリ（2進）、HEX(16進）、EBIC等のでコードが、めちゃくちゃな配列ですから
今の所大丈夫なはずです。

これから、どんどんOSのバージョンUPが行われてきます。基本的には無線技術や、WEB関連技術の向上に
伴い、改良されていくと思われます。
一般ユーザであれば、市販のアンドロイド用のセキュリティーソフトを購入されて対処された方が
得策だと考えます。（大手メーカには保障があるため）

お礼

丁寧な回答ありがとうございます。
理解不足で恐縮ですが。

>住所、メールアドレス、電話番号、通話履歴、アドレス情報は、アプリ構築時には、吸い上げられない様に構築します。

ここで言われているアプリとは、例えば、端末に標準で入っている電話帳
やＳＰモードメールアプリのことでしょうか？

>通常のアプリ作成上では困難であるためできません。

やはり流石にそんな簡単なものではないと・・・
色々なアプリをＤＬするときに、質問の中で書いたような権限付与の許可を
求められ、許可している場合があるのですが、この場合は、許可した以上
電話帳側でソフトなり、ハードなりでロックしていようと、吸い上げれて
しまうということでしょうか。

>市販のアンドロイド用のセキュリティーソフトを購入されて対処

ノーリスクはありえないという前提で
これは是非検討しようと思います。

回答No.1

xNekoNyanx

そこまで理解されているのでしたら、一般人レベルで最も効果的なのは「仕事用端末には余計なものは入れないし、不用意なアクセスもしない」でしかないこともおわかりではないかと…。

そもそもネットを利用して端末から情報を盗みだすのは、そういった需要と供給があってこそのものですので、その点ではスマートフォンが普及し始めて間もない現在はまだ過渡期にあるとしか言えず、よってむしろAndroid OS2.3以降で本格的に電子マネーが実装されてから本格化していくのではないか、と考えられます。

リスクも何もパソコンと同じで、意図的に狙われたり自ら地雷を踏んでしまわない限りは、大事には至りにくいのでは？
ただし、個人を特定する手段については単純に端末情報に限らずSNSなどの履歴から辿られることもあるようですから、やはり仕事用とプラーベートで端末は完全に切り離すべきでしょうね。
特に芋づる式になりがちなクラウド上の情報管理は徹底しておくべきだと思います。

お礼

どうもありがとうございます。

>仕事用端末には余計なものは

非常に頻繁に仕事で携帯をつかうなら、２台目もと考えていたのですが、
頻度は高くないが、必ず使うという状況なので。

>意図的に狙われた

人気アプリやいわゆるお勧めアプリでも、権限付与を要求してくるものが
多くて、絶対に使わないのが最善ですが、ここまで当たり前になってくると
避けることが難しくなっている感じです。
そこでせめて、権限付与による情報の吸い上げがどこまでできてしまうのか
を知れればと思った状況です。
ある程度の限度が分かれば、恐れすぎることもないとないと思いまして。