Samsungのスマートフォンに搭載されている「セキュアフォルダ」は、指紋認証や顔認証を利用して機密データを安全に保管できる機能として知られている。しかし、最近の調査によって、ワークプロファイル内のアプリがセキュアフォルダのデータにアクセスできる問題が発覚した。
この問題により、企業が管理する端末では、リモートアクセスを持つIT部門がフォルダ内の写真や動画、アプリデータを取得できる可能性があることが指摘されている。また、Androidの「権限マネージャー」を使うことで、セキュアフォルダ内のアプリが外部から確認できてしまう問題も浮上している。
Samsungはこの問題を認識しているものの、具体的な修正計画は明らかになっておらず、現時点では機密データの保存に注意が必要だ。
ワークプロファイルの仕様がセキュアフォルダの脆弱性を生む要因に
Samsungのセキュアフォルダが十分にプライベートでない原因の一つは、Androidのワークプロファイルの仕様にある。ワークプロファイルは企業が従業員のデバイスを管理するための機能であり、企業管理者がアプリやデータにアクセスできる仕組みになっている。このプロファイル内では、個人用プロファイルとは別にアプリをインストールし、仕事専用の環境を構築することが可能だ。
しかし、Samsungのセキュアフォルダはこのワークプロファイル内でも通常のフォルダとして認識され、外部からの制限がかかっていない状態になっている。
つまり、ワークプロファイルを管理する企業側のアプリやツールが、セキュアフォルダ内のデータへ自由にアクセスできる可能性があるということだ。この仕様上の問題により、雇用主やIT部門が従業員のセキュアフォルダ内のファイルを閲覧できる環境が生まれてしまっている。
Samsungはセキュアフォルダを「独立した安全な空間」として位置付けているが、実際にはワークプロファイル内では適切な分離がされておらず、通常のフォルダと同じ扱いを受けている。この状況は、特に企業から提供された端末を利用しているユーザーにとって、データのプライバシーに大きな影響を与えるだろう。
セキュアフォルダ内のアプリ情報が権限マネージャーで可視化されるリスク
ワークプロファイルを介したデータアクセスの問題に加えて、Androidの「権限マネージャー」の仕様もセキュアフォルダの安全性に疑問を投げかけている。通常、セキュアフォルダ内のアプリは他のアプリやシステムから隔離され、外部からは見えないようになっているはずだ。しかし、Androidの権限マネージャーを開くと、セキュアフォルダ内のアプリが一覧表示されてしまうことが確認されている。
これは、ユーザーがインストールしているアプリのリストが外部に漏れる可能性があるということを意味する。例えば、プライベートな用途で使用しているアプリをセキュアフォルダに隠していたとしても、権限マネージャーを通じて誰でもその存在を確認できる状況になっている。特に、セキュアフォルダをプライベートなアプリ管理の手段として利用しているユーザーにとっては大きな問題となるだろう。
この問題は、単にアプリの一覧が表示されるだけでなく、企業や管理者が利用する監視ツールを通じて、インストールされているアプリの情報を取得できる可能性も示唆している。Samsungがこの仕様をどのように改善するのかは未定だが、現時点では、セキュアフォルダを利用する際にアプリのリストが外部から確認できるリスクを理解しておく必要がある。
Samsungの対応はどうなるのか 設計の見直しが必要な可能性
この問題を受けて、Samsungがどのような対応を行うのかが注目されている。セキュアフォルダの本来の目的は、プライベートなデータを完全に隔離することにある。しかし、現状の設計では、ワークプロファイルを経由したデータアクセスや、権限マネージャーを通じたアプリの可視化といった問題が残っている。
Samsungがこの問題を根本的に解決するためには、セキュアフォルダのアーキテクチャ自体を変更し、ワークプロファイルとの分離をより厳密にする必要があるかもしれない。例えば、GoogleがAndroid 15で導入を予定している「プライベートスペース」のように、完全に独立したプロファイルとして扱うことで、外部からのアクセスを遮断する仕組みを作ることが求められるだろう。
ただし、このような抜本的な変更はすぐに実装できるものではなく、今後のアップデートで段階的に対応していく可能性が高い。そのため、現時点では、ユーザー側でセキュリティ対策を講じる必要がある。特に、仕事用のデバイスでセキュアフォルダを使用する場合は、企業のIT部門によるアクセスが可能であることを認識し、機密性の高いデータの保存には慎重になるべきだろう。
Source：Android Police