アプリケーション「鏡」が設置された三星（サムスン）電子の「ギャラクシーＳ」シリーズは、国内だけでも約１０００万台近くが販売された。三星電子側は、「情報を収集したことなどない」と釈明したが、同アプリが、敏感な個人情報を収集できる権限を持っていたことは認めた。消費者らは、「単に、鏡を見るとき、位置情報や住所録まで把握されるとは知らなかった」と戸惑っている。
●鏡を見る瞬間、位置や通話リストも把握
この事実を見つけた高麗（コリョ）大学・情報保護大学院の金昇柱（キム・スンジュ）教授は、「確認の結果、同アプリが起動するたびに、ユーザーの情報を三星電子や通信会社に配信した事実は、確認されなかった」としながらも、「過度に広範に渡って情報を収集しているため、個人情報流出の可能性は排除できない」と主張した。
単に鏡を見るアプリが、過度に多くの情報にアクセスできる権限を持っていること自体が、疑わしいという。また、これは単なるミスだとしても、同アプリが、第３者によるハッキングプログラムで情報を盗むのを手助けする「穴」の役割をした可能性も高いというのが、金教授の主張だ。
今回、問題となったアプリは、鏡アプリのほか、同スマートフォンのアプリ「データ通信設定」や「プログラムモニター」だった。データ通信設定とは、スマートフォンでデータ通話をする時、有料である第３世代（３Ｇ）通信網を切って無料のワイファイ通信網だけを利用するのに使われるアプリ。プログラムモニターアプリは、アンドロイド運営体制（ＯＳ）を使用するスマートフォンの特性のため、過度に多く使われるアプリを強制的に終了させる時に主に使われる。このようなアプリは、鏡アプリと同様に、ユーザーのスマートフォンの住所を読み取り、日程を追加したり書き直したりし、電子メールを送ったり、携帯メールを読み取ることもできるようになっている。
高麗大学・情報保護大学院は、今回の分析過程で、ギャラクシーＳとギャラクシーＳ２のほか、ＬＧ電子のスマートフォン「オプティマスＱ」についても同様の調査を行った。その結果、オプティマスＱでは、アプリの本質的機能とは関係のない、過度な個人情報を要求するアプリは見つからなかった。
●誰が作ったのか
アンドロイドＯＳを開発したのは、三星電子ではなくグーグルだ。しかし、アンドロイドＯＳは、メーカーがいくらでも勝手に手を加えることができる。東亜（トンア）日報の取材チームが確認した結果、同じ三星電子のスマートフォンでも、グーグルが直接企画・開発した最新スマートフォン「ギャラクシーネクサス」には、今回問題となった３つのアプリは設置されていなかった。
一方、同じ時期に発売された「ギャラクシーノート」には、ギャラクシーＳシリーズのように、過度な権限を要求するアプリが、同様に入っていた。
問題となったアプリが設置されているスマートフォンは、軒並み三星電子が開発を手がけた「センスＵＩ」というユーザーインターフェイスを使っていた。これは、グーグルとは別途に、三星電子が直接開発したソフトだ。問題は、センスＵＩは、国内で販売されているギャラクシーシリーズでない、海外で販売される製品にも使われていることだ。そもそも、このような多くの情報を顧客の同意無しに、アプリにアクセスできることも問題だ。三星電子側は「開発過程での単なるミスだ」と釈明した。
●消費者は選択できない
もう一つの問題は、このような過度な権限がアプリに与えられたことが確認された後も、消費者は手のつけようがないことだ。問題となったアプリは、「フリーロード」という方式で、スマートフォンの製造過程で設置される。三星電子は、これをユーザーが削除できないロム（ＲＯＭ）という領域に設置したため、削除できる方法などない。最初の画面上で削除しても、アイコンが消されるだけでアプリ自体はそのまま残る。
放送通信委員会は昨年末、「スマートモバイルセキュリティ総合計画」という名のスマートフォン情報セキュリティ対策をまとめ、アプリの無分別な情報保護や収集を制限するための措置も作った。その対策の一つである「韓国型アプリのゲノムプロジェクト」は、今回高麗大学側が見つけたように、個別アプリの危険性を予め確認し予防する機能だ。しかしこれは、市場に新たに流通されるアプリを診断するためのものだ。今回のように、メーカーが予め作って設置しているアプリの場合、把握が容易でなければ、一度設置されると簡単に削除することもできない。
coolj@donga.com sanhkim@donga.com
About Dong-A Ilbo