會原 
公開前審査で安心安全な印象のあるApp Store。しかし最近は、審査の時だけ無害なアプリを装い、承認された後に賭博サイトや性的なディープフェイクを作る機能へ「変身」するアプリが相次いで見つかっています。
Appleは10月16日（米国時間）、App Storeの審査ガイドラインを改定し、新たに項目「2.5.19」を追加。審査時に中身を偽り、承認後に別の機能を追加するようなアプリは、App Storeからの削除に加えてApple Developer Programからの除名対象になり得ると明記しました。
開発者向けの発表によると、2.5.19は審査時にアプリの中身を偽って承認後に変更する行為について、従来の禁止方針を明確化するもの。こうした不正が見つかったアプリは、App Storeからの削除とApple Developer Programからの除名対象になると説明しています。
ガイドライン本体の2.5.19では、隠された機能や休眠状態の機能、説明のない機能をアプリに含めないよう要求。アプリの機能は利用者とApp Reviewの双方にとって明確であるべきだとしています。
さらに、コードの難読化などで説明のない機能をアプリのバイナリに隠そうとする行為は、App Storeからの削除や開発者アカウント停止の理由になると定めています。
Appleは発表の中で、審査時に目的を偽り、承認後に初めて「ヌード化（nudification）」のような有害機能を見せるアプリを例示。こうした手口は一般に「おとり商法（bait-and-switch）」と呼ばれると説明しています。
加えてガイドライン1.2も改定しました。AIツールで生成した画像を含め、本人の同意のない性的な画像を、アプリ側が積極的に防止・削除すべきコンテンツとして明記しています。
十分な対策を講じない開発者や、通知を受けても改めない開発者は、開発者行動規範への違反やApp Storeからの削除の対象になり得るとのことです。
そしてセクション5も改定。人身売買や児童の搾取（児童性的虐待コンテンツを含む）を助長するアプリは、App Storeから削除するだけでなく、App Store以外の代替配信でも配信を停止すると明確にしています。
同社によると、昨年は安全上の問題がある15万本を超えるアプリを阻止し、詐欺や不正行為を理由に19万3000を超える開発者アカウントを停止したとのこと。こうした違反の背景には、組織的な詐欺グループを含む悪意ある者が、承認後にのみ有効化する有害コンテンツを隠そうとする手口があるとしています。
しかし、審査後に「変身」するアプリは今年に入っても後を絶ちません。9to5Macは7月、ブラジルのApp Storeで、天気や旅行などのカテゴリーに並ぶ簡単なゲームや実用アプリを装う不審なアプリを60本以上発見したと報じました。
これらのアプリはブラジルのIPアドレスから開いた時だけ賭博サイトを表示。Appleが初期に見つかったアプリを削除した後も、別のアプリがランキング上位に現れていたといいます。
同誌によると、こうしたアプリを量産するための指示を、AIのコーディングエージェント「Cursor」向けにまとめた公開リポジトリもGitHub上で見つかったとのこと。
指示には、遠隔の設定でアプリ本体・アプリ内のWebページ・外部サイトのどれを表示するかを切り替える手法や、審査で同一グループと見抜かれにくくする工夫まで書かれていたといいます。
Appleは同誌に対し、アプリの本当の機能を隠そうとするアプリには一切容赦しないと説明。報道の前から似たアプリ25本に対応し、関係する開発者アカウントも停止していたとしています。
さらに11月2日には、WIREDが400を超えるアプリやドメインからなる不正ネットワークを報道。9to5Macによると、語学学習やAI筋トレ指導、ペットに服を着せるアプリなどを装っていたといいます。
ところが実際には、特定の条件で開いた時にだけ、利用者がアップロードした写真から性的な画像や動画を生成するWeb画面を読み込んでいたとのことです。
Appleは、WIREDから詳細の提供を受けて19本のアプリを削除。同社は、これらのアプリは審査の時点ではルールに沿っていたものの、承認後に開発者がアプリの読み込むWebサイトを差し替え、承認された内容をポルノに置き換えたと説明しています。
一方、こうした手口は以前から存在していました。2024年2月には視力検査アプリとして審査を通った「Kimi」が、実際には海賊版の映画やドラマを視聴できるアプリだったことが発覚。Appleは審査で偽装していたとしてアプリを削除し、開発者もApple Developer Programから除名しています。
遠隔操作やWebの差し替えで中身を変えられてしまえば、事前の審査だけで見抜くのは困難です。だからこそAppleも「発覚したら開発者ごと追放する」という重罰を明文化したのでしょう。しかし、ブラジルの事例のように、1本しかアプリを出していない開発者アカウントから次々と投入されては、モグラ叩きが続きかねません。公式ストアにあるからと過信せず、見知らぬ開発者のアプリが不自然にランキングへ浮上してきた時は、まず警戒したほうが賢明かもしれません。
