スパイウェアとは
スパイウェアは、利用者に気付かれにくい形で操作や情報を監視・収集するマルウェアです。英語ではspyware（スパイウェア）と表します。
キーボード入力、クリップボード、画面、ブラウザー履歴、アカウント、ファイル、カメラ・マイク、位置などを集め、攻撃者へ送る場合があります。banking Trojanやstalkerwareなど、別分類と重なることもあります。
情報を収集するソフトウェアがすべてスパイウェアではありません。利用目的、明確な同意、必要性、表示、停止・削除方法、送信先を隠しているかが境界です。
何を観察するかで機能が分かれる
キーロガー、クリップボード監視、フォーム入力の横取りでパスワードやメッセージを集める。
画面キャプチャー、時間窓title、アクセシビリティイベントからアプリケーション利用を記録する。
履歴、Cookie、セッション、検索語、ダウンロード、拡張機能データへアクセスする。
カメラ、マイク、GPS、Wi-Fiなどの権限から音声・映像・位置を集める。
文書、写真、wallet、メール、設定、認証情報保存を列挙・複製する。
HTTPS、DNS、クラウドストレージなどへまとめて送り、リモート命令を受ける。
キーロガーだけがスパイウェアではない
キーロガーは入力を記録する一機能です。画面キャプチャーなら画面キーボードやパスワード管理ツールの自動入力も見え、セッションCookie窃取ならパスワードを知らずにログイン状態を奪える場合があります。
個別機能だけを止めず、取得可能だったデータとアカウントを範囲評価します。
モバイル端末では強い権限を悪用する
アクセシビリティサービス、通知アクセス、機器管理者、VPNプロファイル、設定プロファイルは正規用途がありますが、メッセージ読取、入力観察、削除妨害、通信転送にも悪用できます。
アプリケーション一覧だけでなく、これらの特別アクセス、未知のプロファイル、ルート・制限解除状態、アカウント共有を確認します。
stalkerwareは人身安全にも関わる
交際相手や家族などが物理アクセスを使って監視ソフトウェアを入れるstalkerwareでは、単純に削除すると監視者に気付かれ、危険が高まる場合があります。安全な別端末と支援機関から計画を立てます。
共有アカウント、系列機能、位置共有、クラウド写真、モバイル回線契約者権限も確認します。端末初期化だけで共有認証情報は変わりません。
正規テレメトリーとの境界を読む
異常終了報告や利用状況の分析は、明示された目的・範囲で運用され、プライバシー通知、利用者による選択、保存期間、送信先があります。セキュリティ監視も組織の方針と権限に基づきます。
別目的での秘密収集、必要以上のセンサー、停止困難、無関係な第三者への送信は疑う要素です。規約に一文あるだけで、あらゆる収集が安全になるわけではありません。
兆候はネットワークと権限から探す
未知処理の常駐、セキュリティ設定変更、異常なバッテリー・データ使用、カメラ指示記号、未知拡張、定期的な外部通信は手掛かりです。ただし故障や正規同期でも起こるため、単独では断定しません。
DNS・プロキシログ、エンドポイントイベント、モバイルプライバシーダッシュボード、アカウントアクセス履歴を時刻で結びます。
駆除とアカウント防御を並行する
端末を隔離し、必要な証拠を保全します。安全な端末からパスワード、セッション、メール転送規則、APIトークン、復旧情報を変更します。特にメールアカウントは他サービスのリセット入口になるため優先します。
高権限で長期間動いた可能性があれば、クリーン画像から再構築します。復旧時に同じクラウドバックアップから不正プロファイルを戻さないよう内容を選びます。
収集されたデータとして対応する
どのセンサー・ファイル・アカウントへアクセスでき、いつ外部通信したかを評価します。仕事用データ、個人情報、決済情報があれば、組織のプライバシー・法務・セキュリティ窓口へ連絡します。
スパイウェア対応ではプログラムの削除だけでなく、「観察できた情報」「既に送られた情報」「その情報から再び入れるアカウント」を切り分けて無効化します。
spywareの定義とprivacy riskの確認資料：NIST CSRC Glossary「Spyware」、NIST SP 800-83 Rev. 1