インストール前に APK が安全か確認する方法

ここでいう「安全」とは

安全な APK とは、開発者が公開したビルドそのもので、改変されていないものです。再パッケージや「改造」された APK は第三者が作り直して再署名したもので、余計なコードが入っている可能性があり、そもそも Play からインストールしたアプリを更新できません。以下の確認で両者を見分けられます。

1. パッケージ名

パッケージ名(たとえば org.telegram.messenger)は Google Play 上で一意です。ダウンロードページに表示された名前と、Play のページの URL に含まれる id=<パッケージ名> を見比べてください。org.telegram.messenger.pro のような似た名前は別のアプリです。

2. 署名証明書

すべての APK は署名されており、開発者の鍵はバージョンをまたいで変わりません。スマホでは App Manager や Package Manager 系のアプリ(オープンソース、F-Droid にあり)がファイルとインストール済みアプリの証明書フィンガープリントを表示します。両者は一致するはずです。パソコンでは Android SDK の apksigner verify --print-certs file.apk が証明書の SHA-256 を出力します。Play からインストール済みのアプリなら、別の鍵で署名されたパッケージは Android が単純に拒否します。これ自体が有効なテストで、「アプリはインストールされていません」で失敗します。

3. 権限

ファイルマネージャーやインストーラーでパッケージを開き、確定前に権限一覧を読むか、Play の「データセーフティ」を確認してください。壁紙アプリが SMS を要求する、ゲームがユーザー補助サービスを要求する、といったものは出所を問わず危険信号です。

4. ハッシュの比較

同じバージョンを 2 か所で配布している場合、ファイルの SHA-256 は一致するはずです。Android では Hash Droid やチェックサム機能付きのファイルマネージャーで計算できます。パソコンでは shasum -a 256 file.apk(macOS、Linux)や certutil -hashfile file.apk SHA256(Windows)を使います。Play プロテクトもインストール時にファイルを検査し、既知のマルウェアをブロックします。

危険信号

• Google Play より高いバージョン番号。
• ファイル名に "unlocked"、"premium"、"mod" が入っている。
• 明確な理由なくユーザー補助やデバイス管理の権限を要求する。
• インストール済みのものと署名が一致しない。

当サイトのファイルは、開発者が Play にアップロードしたパッケージを保管している実績あるミラーから配信されており、当方で作り直したり改変したりはしていません。それでも上記の確認は 1 分もかからないので、行う価値があります。