Google Playの「早期アクセス」を悪用した不正アプリが横行、レビュー非表示の仕様を突く

要点

• Google Playの「早期アクセス」プログラムを悪用し、金銭や報酬を謳う不正なAndroidアプリが数千本配信されていることが判明した。
• 早期アクセスアプリには公開レビューや星評価がつかない仕様があり、これが不正アプリの警戒サインを隠す抜け道となっている。
• 100万回以上ダウンロードされた模倣ゲームのほか、偽のリワードアプリや規制を逃れたカジノ風アプリなどが確認されている。
• SNS上のAIディープフェイク広告で拡散され、出金できない報酬を餌に大量の広告を表示させて不正な収益を得る手口が主流となっている。

概要

Google Playストアで正式公開前のアプリを配信できる「早期アクセス」プログラムが悪用され、ユーザーを欺く不正なAndroidアプリが数千本規模で出回っていることが明らかになった。ルーマニアのサイバーセキュリティ企業Bitdefenderが調査結果を公表し、セキュリティメディアのThe Hacker Newsが報じた。

早期アクセスアプリに対して一般ユーザーがレビューや星評価を投稿できない仕組みを逆手に取り、利用者の警告サインを排除した状態でダウンロード数を伸ばす手口が確認されている。

レビュー非表示の仕様と悪用の背景

Google Playの早期アクセスは、開発者がアプリの正式公開前にテスト版を提供し、ユーザーから動作フィードバックを集めるためのプログラムだ。

本プログラムで公開されているアプリには、一般ユーザーが公開レビューや星評価を残せない仕様が設けられている。これは開発途中の不具合による不当な低評価（レビュー爆撃）から開発者を保護する目的で導入されたものだ。しかしBitdefenderは、この仕様が裏目に出ており、不審なアプリを警告するコミュニティの防衛手段が失われていると指摘する。通常であれば低評価や否定的なコメントで危険性が共有されるが、早期アクセスではそうした信頼シグナルが一切働かない。

100万DL超の模倣アプリや多岐にわたるカテゴリ

調査では、多種多様なジャンルで不正な早期アクセスアプリが確認された。具体的な事例として、人気ゲーム『Grand Theft Auto』の模倣作である「Vice Streets: Open World」（パッケージ名：com.gamblechaos.withfriends.game）が挙げられている。

このアプリは100万回以上のダウンロード数を記録していたが、レビューや星評価は一切存在しなかった。現在はGoogle Playストアから削除されているものの、Google側による対処か配信者自身の取り下げかは判明していない。

さらに悪用の対象はゲームにとどまらず、PDFリーダー、QRコードスキャナー、位置情報を追跡すると称する電話トラッカー、各種ユーティリティ、商標侵害タイトルなど広範囲に及んでいる。

AIディープフェイク広告と出金不能な報酬ループ

これらのアプリは、TikTokやFacebookなどのSNS広告を通じて拡散されている。広告には、AI（人工知能）で著名人の姿を精巧に偽造したディープフェイク動画が使われているケースも確認された。

広告では現金やPayPal送金、暗号資産、ギフトカード、カジノの賞金などが約束される。アプリ導入直後は潤沢な仮想報酬が付与されるが、出金の基準額に近づくと進行が極端に遅くなり、実際に報酬が支払われることはない。利用者に広告を次々と閲覧させ、不正な広告収益を得ることが手口の最終的な狙いとされている。

ギャンブル規制の回避と関連する脅威動向

早期アクセスの悪用は、法規制を回避する手段としても使われている。正規のギャンブルアプリにはライセンス取得やジオフェンシング（位置情報に基づくアクセス制限）、年齢確認が義務付けられているが、不正アプリはスロットやパズルなどのカジュアルゲームを装って早期アクセスに登録し、規制をすり抜けて外部のギャンブルサイト等へ誘導している。

Bitdefenderは、早期アクセスが開発者にとって有益なツールである一方、評価を非表示にする仕様が不正ソフトウェアへの防御を無力化していると警鐘を鳴らす。なお、The Hacker NewsはGoogleにコメントを求めている。

また、同時期にはAndroidを標的とするマルウェアとして、外部開放されたADB（端末とPCを通信させる開発者向けデバッグ機能）をスキャンして感染を広げるRAT「Hagaseca」や、古いAndroid端末のデータを暗号化する「Mantax Otax」の出現も報告されている。