iOS 13からアプリは連絡先のメモ欄を読めなくなる

Apple(アップル)は、アプリ開発者がユーザーのデリケートな個人情報をアクセスするおそれのある抜け穴を塞いだ。iOS 13から、ユーザーの連絡先データを要求したアプリは連絡先の「メモ」欄のデータを読めなくなる。

過去何人もわたってセキュリティー専門家は、連絡先にプライベート情報を書き込まないよう警告してきた。保護も暗号化もされていないので盗まれる恐れがあるからだ。

それでも、アドレス帳をパスワードマネージャー代わりにする人は後を絶たない。あるいは、さまざまなプライベート情報をメモ欄に記入する人もいる。

ATMの暗証番号、家のドアを開けるためのコード、金庫のコード、社会保障番号、クレジットカード番号等々。人に聞かれたくない個人情報も入っているかもしれない。

しかし、iOSアプリがユーザーの連絡先を要求すると、名前、住所、メールアドレス、電話番号とともにメモ欄のデータも返ってくる。Appleは今週のWWDCカンファレンスで、今後そういうことはなくなると発表した。

メモフィールドには、ボスの悪口などデリケートな情報が書かれている可能性がある。実際には多くのユーザーのメモ欄にもっとまずいものが入っていることがある。

このプライベートなメモ情報を必要としているアプリはほとんどないので、影響はないはずだとAppleは言った。もしメモ欄を必要とする正当な理由があるという開発者がいれば、例外を要求することができる。

ほとんどのユーザーはこの問題についてよく考えたことがないだろう。連絡先を秘密情報のために使わない賢明な人は、この変更の影響がないので気にする必要がない。

そして事情を知らなかった人たちのためには、Appleが代わってプライベートデータをプライベートなままにしてくれる。

[原文へ]

(翻訳:Nob Takahashi / facebook

Firefoxがユーザーを追跡から護る機能を強化しパスワードマネージャーをデスクトップに導入

もはや誰もが知っているように、Mozillaが再活性化したウェブブラウザーのFirefoxは、プライバシーが最大の差別化要因だ。米国時間6月4日、Firefoxのチームはそのメジャーリリースのひとつとして、広告主などがウェブ上でユーザーを追跡できないようにし、またFacebookにもそれができにくくしたバージョンを発表した。今回チームはさらに、そのパスワードマネージャーのデスクトップバージョンを立ち上げ、またデータ侵害通知サービスFirefox Monitorの一部改良を行った。

Firefox担当の上級副社長であるDave Camp氏が本日のアップデートの理由についてこう述べている。「昨年はいくつかのグローバルなスキャンダルがあって、人びとはますます身の危険を感じるようになっているので、テクノロジー企業もプライバシーの重視を口先では大声で言うようになった。残念なのはそれによって、テクノロジー企業自身の気づきが涵養されなかったことだ。Firefoxではつねに、口先以上のことをしている。本当に人々を護るには、プライバシーを再優先する新しいスタンダードの確立が必要だ」。

サードパーティの追跡者やクッキーがウェブ上でユーザーをつけ回すことを防ぐ「Enhanced Tracking Protection」(強化版追跡保護)のローンチも、Firefoxとしては当然のことだ。Mozillaはかなり前から、追跡(トラッキング)対策について語っていた。以前も同様の機能はあったが、プライベートウィンドウに限られていた。それは役に立ったしMozilla自身のの能力テストにも貢献したと思われるが、完全なものではなかった。しかしこれからは、新しいユーザーはEnhanced Tracking Protectionがデフォルトで有効になり、既存のユーザーは自分で有効にするか、Firefoxの次のマイナーアップデートを待てばいい。

ブラウザーの設定メニューに、これらの新しい機能が新たなコントロールの集まりとして登場する。またURLバーには盾型のアイコンが出るので、それをクリックしてもよい。デフォルトではEnhanced Tracking Protectionにより、Disconnectのリストに基づいてサードパーティの追跡クッキーはすべてブロックされる。ブロックするサイトと、追跡を許すサイトを、分けて設定することもできる。追跡を許さないと見られないサイトもあるからだ。

また、ブラウザーに組み込まれているわけではないが、今回Facebookコンテナエクステンションもアップデートされた。それにより、Facebookの「共有」や「いいね」ボタンをコンテナに入れてデフォルトで無効にできる。Facebookは、ユーザーがロックアウトされたときのための、便利なシャドウプロフィールを作れなくなる。Facebookのユーザーを勝手に作ることもできない。

さらに今日のアップデートで、パスワードマネージャーのLockboxがデスクトップに拡張された。これまではモバイルアプリのみだったが、このたび、そのFirefoxのデスクトップエクステンションがローンチされた。そして、名前がLockwiseになった。単純明快なパスワードマネージャーだが、現時点ではDashlaneや1Password、LastPassなどほど機能豊富ではない。

そして最後のアップデート項目として、Firefox Monitorのダッシュボードが新たに提供された。これは侵害されたデータの中にユーザーのメールアドレスがあったことを警告し、今後の侵害に備えるようアドバイスする。ダッシュボードがあると、どのメールアドレスがモニタされているのか、漏洩した可能性のあるのはどれか、などが目で見てわかるようになる。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

アップルは「非」ソーシャルネットワークになってフェイスブックに対抗

全員と共有することは時代遅れで、いまや少々恐怖さえ感じるものとなった。写真は公開することなく、友人たちに送りたいものだ。タイムラインに永遠に刻まれるような形ではなく、思い出に浸りたいし、また開発者に自分の連絡先情報を手渡してしまうことなく、便利なアプリを使いたい。

だが問題は、広告の視聴回数を稼ぐために、投稿されたコンテンツをなるべく広く拡散し、ユーザーを引きつける必要のあるソーシャルネットにとっては、こうした哲学では収益化が難しいという点だ。だが、もし携帯電話を売りながら、その上でユーザーたちが望む限りのプライバシーを提供しようというなら、収益化は簡単だ。それこそが、米国時間6月3日のWWDCで、AppleがiOSを「非」ソーシャル(asocial)ネットワークに転換する変革を示した理由なのだ。それはFacebookのツールを模倣したソフトウェアでありながら、過剰共有の負担を取り除いてくれるものだ。

最も素晴らしいのは、Appleは、FacebookやGoogleのようなサードパーティのログインオプションを提供するアプリの中で、”Sign In With Apple”(Appleでサインイン)という新しいオプションも提供することを要求するようになるということだ。こうすることでユーザーたちは自分の電子メールアドレスをアプリに対して提供する必要がなくなる。これは、これまでのFacebookのやり方を乱暴なものに見せてしまうようになる、力強い動きだ。

プライバシーは、何年も前からAppleが語ってきた核心的な話題だ。それはiPhoneのセキュアエンクレーブ(セキュリティチップ)やFaceID、メッセージの暗号化、そして追跡からの保護などといった形で実現されてきた。とはいえ、こうした安全保護策は、Appleの製品を「ただ動作するだけ」といった状態から抜け出すように焦点を絞って行われてきた。徐々にAppleは、ユーザー体験中のプライバシーはより少なく共有しながら、より多くの便益が得られるようなものへと変えつつある。iTunes PingやApple Music Connect、およびiMessageなどの例を通して、本格的なソーシャルネットワークを構築する力がないことを証明したAppleにとって、それは賢明な戦略だ。

「Appleは、プライバシーは基本的人権であると考えています。私たちはプライバシーの保護を、あらゆる行動に組み込んでいます」とAppleの上級副社長であるクレイグ・フェデリギ(Craig Federighi)氏は語った。1か月前のFacebook F8カンファレンスで、マーク・ザッカーバーグ(Mark Zuckerberg)氏は「未来はプライベートだ」と宣言したが、ユーザーを保護する製品を発表できていなかったことを明言することで、Facebookが過去も現在もプライベートを守る会社ではなかったことを世の中に示してしまった。Googeが数週間前のI/Oで大量のプライバシー技術を発表したように、AppleもiOS 13のベータリリースで、その主張に対する期待に応えたのだ。

写真のメッセージ共有の推奨:iOS 13で写真やビデオのシェアシート(共有シート)を表示すると、Appleはそのコンテンツを、最もよく共有する相手や、コンテンツの中に現れている相手かどうかを判断して、iMessageやMailを使って共有することを推奨する。数回タップするだけで、多数の親しい友人やお気に入りのグループチャットに、個人的に画像を配信することができる。これによって、FacebookやInstagramを使ったより広い投稿を行う必要がなくなる。

非ソーシャルメディアツール:Instagramは、写真や動画を、フィードに投稿するときにしか編集することができない。その欲張りな要求は、Appleがよりクリエイティブなプロセスを提供できる余地を残している。iOS 13ではビデオの、照明、色、コントラストなどを編集でき、さらに誤って横向きに撮影したクリップを回転させることもできる。これらは皆、InstagramやFacebookでは不可能な操作だ。ソーシャルネットワークの側面を差し控えることで、Appleはユーザーが自由に使用できるツールに集中することができる。

また、新しいPhoto Day機能によって、Appleは毎日異なる写真を自動的に隠したり強調したりして、雑誌スタイルのレイアウトを作成する。これを使うことで、TimeHopやFacebookの「過去のこの日」機能を使うために、すべてのコンテンツをソーシャルメディア上に置くという恥ずかしさを感じる必要なしに、ノスタルジアに浸りビジュアルな日記を作成することができる。

Memoji(ミー文字):これまでAppleは、FaceTimeやビデオメッセージの中で、利用者に似た動くアバターを提供することに興味を持っていた。だが今や、つながりがより深くなる中で、この「仮想的ミニme」たちが、どれほどプライバシーを改善してくれるのかを、彼らは認識し始めている。iOS 13では名前とMemoji(あるいは本当の写真)の共有を、iMessageの中のメッセージスレッドのサムネール上で選べるようになる。このためグループチャットなどに登場するよく知らない新しい友人の友人たちに、実際の顔を晒すことなく、自分自身を識別してもらうことができるようになる。また、Memojiはチャットの中で予め生成されたスタンプとして使用できるようになり、これはSnapchatのBitmojiFacebookのAvatarsと直接競合するようになる。

AirPods Audio Sharing:もし現在聞いている音楽をソーシャルメディアで自慢したり、曲へのリンクを友人に送るのに手間取ったりする代わりに、簡単にそのサウンドを相手のヘッドホンに送り込んで一緒に楽しむことができたらどうだろうか?これこそが、このあと登場するAirPods Audio Sharingが、あなたに罪悪感を感じさせることなく、Bluetoothを介して個人的に音楽を交換することを可能にするやりかただ。

FacebookではなくAppleでサインインしよう

Appleの最も派手な攻撃は、WWDCのスクリーン上で、他のソーシャルネットワークを名指ししたことだ。“Sign In With Facebook”(Facebookでサインイン)や“Sign In With Google” (Googleでサインイン)といった、新しいアプリをアカウントをセットアップすることなく利用させる、人気のある手段のロゴを、ステージ上で強調してみせたのだ。フェデリギ氏は「これは便利なやりかたですが、でも同時にユーザーのプライバシーを犠牲にして成り立っていることでもあるのです。あなたの個人情報は、目に見えないところで共有されているかもしれません。これらのログインはあなたを追跡するために使用することもできます」と注意を促した。

代替案として、Appleは“Sign In With Apple”(Appleでサインイン)を提供する。サードパーティのアプリに登録するための新しいユーザー名とパスワードを作成するように要求する代わりに、Sign In With AppleはFaceIDを利用するのだ。フェデリギ氏はユーザーはメールアドレスをアプリ開発者たちから隠すことを選択することが可能になり、メールを実際のアドレスに転送することができるランダムな代理アドレスをAppleが提供すると語った。これが意味することは、ユーザーはアプリからのスパムメッセージを恒久的にブロックし、開発者が連絡先情報を共有したり販売したりすることを防ぎ、Facebook Custom Audience広告のような、電子メールアドレスを介したマーケティングの対象になることを、回避できるということだ。

この発表は、WWDCでの中で最も大きな歓声を集めた。そしてAppleはそのサインイン機能から、できるだけ多くの競争上の優位性を引き出すことを決心したように見える。とはいえ読者は、開発者たちがその機能を採用するか否かはAppleがコントロールできる範囲を超えているのではないか、そしてこれまでのような実際の電子メールアドレスを提供する方法よりも長い目でみたときに高い価値を与えられることをAppleは証明しなければならないのではないか、と考えるかもしれない。

しかしAppleはステージ上で言及しなかったが、開発者向けニュースサマリーの詳細の中に以下のような記述があった。「Sign In with Appleはこの夏までにベータテスティングが始まります。今年後半に正式に発表される際には、サードパーティサインインを行わせるアプリは皆、このオプションを提供することが求められるようになります」。

書かれた通りだ。Appleは開発者に、そのサインインツールを追加することを強いるつもりだ。また、位置情報の利用許可に関しても、恒久的な許可ではなく、開発者に1回限りのアクセスを提供する新しい位置情報共有許可画面の利用も要求するようになる。しかし現段階では、Appleは正確にどのように行うかは発表していない。それは──たとえプライバシーがAppleのビジネスにとって有害であるとしても──AppleはFacebookやGoogleのオプションと同じくらい、Appleとのサインインを提供することが大切であることを開発者に納得させなければならないことを意味する。確かに開発者たちは、登録時の面倒を最小限に抑えることで、サインアップの数を最大限にしたいと考えている。これこそが、もうこれ以上パスワードを覚えなくてもよい“Sign In With”機能が、人気のある手段となった理由だ。Appleのサインインオプションを追加することは、理論的には役立つはずだ。しかし、開発者たちはまた、利用しなくなってしまったユーザーたちにメッセージを送って目覚めさせたり、対象者や対象者に似た人たちを再び勧誘したり広告を出したり、新規ユーザー獲得の際に既存のユーザーに対しては広告を出さないことで広告費を節約したりするために、電子メールアドレスを取り込むことに頼ってもいるのだ。

もし開発者たちが、(サードパーティサインインオプションの便利さと引き換えに)ユーザーに真の連絡先情報を隠すオプションを与えないFacebookやGoogleによるサインインの情報を、Sign In With Appleの代理メールアドレス機能が侵食してしまうと恐れた場合には、開発者たちはその強制的な要求をわかりにくくしたり、最小限の露出を行うようにあらゆる手を使うだろう。Appleはおそらく開発者たちを他の手段で動機付ける必要があるかもしれない。たとえばもしアプリ開発者が、連絡先情報を失ってユーザー1人あたりの生涯価値を失うことと引き換えに、Appleのログインオプションを優先的に採用してくれるなら、App Storeの中でそのアプリを重点的にプロモーションするといったやりかたが考えられる。何らかの倫理的な要請によって強制されない限り、開発者が、プライバシーの名の下に、彼らがどうしても行わなければならないこと以上に彼らのビジネスを危険にさらすことはほとんどない。

だが正道を歩もうとするAppleが、様々な困難に出会う場所もここだ。それはハードウェアの販売には貢献するかもしれないが、その開発パートナーたちは、今でも私達の注意を引きつけることが重要なのだ。

プライバシーは多くの消費者にとって抽象的な概念であることが多く、Facebookのユーザー数が継続的に成長しているところから判断すると、プライバシーは消費者の意思決定を左右するものではない。それこそが、プライバシー哲学を宣伝するキャンペーンに、ほとんど効果がないように見える理由なのだ。しかし、競合他社よりも客観的に有用でありながら、よりプライバシーにやさしい製品やプラットフォームを構築することで、Appleは自然な市場の力によってユーザーたちが正しい方向へ向かうことを促すことができるだろう(図らずも、そのピカピカの販売店に向かわせることも含めて)。

[原文へ]

(翻訳:sako)

iOS 13では位置情報の利用を「1回だけ」許可できる

アップルは、アプリに対してiPhoneの位置情報の利用を1回だけ許可できるようにする。これまで位置情報の利用には「常に許可」「許可しない」「このAppの使用中のみ許可」の3つの選択肢があった。

「1回だけ」位置情報の利用を許可するのは、小さな変更ではあるが、プライバシーを重視する人々には魅力があるだろうとアップルは述べた。

アップルのソフトウェアエンジニアリング担当上級副社長、Craig Federighi(グレイグ・フェディリギ)氏は米国時間6月3日にWWDCで「アプリに位置情報を1回だけ共有できる。その後、アプリが位置情報を必要とするときにはあらためて利用者に許可を求める。これは初めて登場する設定だ」と話した。

あるアプリを使うにはリアルタイムの位置情報が必要だが、常に自分の居場所の情報を提供したくはない。そういうアプリをダウンロードする人に役立つ機能だ。

さらにアップルは、位置情報を利用するアプリはiPhoneにレポートの形式で情報を記録すると説明した。「だから利用者はアプリが何をしているかを知ることができる」とフェディリギ氏は言う。

アプリは利用者の位置情報を常にGPSから特定しているわけではない。たいていの場合、Wi-Fiネットワークの情報、IPアドレス、さらにはBluetoothのビーコンのデータも利用して位置情報を特定し、広告のターゲットの精度を上げている。位置情報の利用を1回だけ許可する設定について「こうした乱用を封じるものだ」とフェディリギ氏は語った。

きめ細かくなった新しい位置情報の許可の設定は、今秋登場のiOS 13に搭載される予定だ。

画像:Screenshot / TechCrunch

[原文へ]

(翻訳:Kaori Koyama)

Windows 10がパスワードの期限切れポリシーを廃止

5月は記念すべき月だった。健全性と実用主義が不合理な妄想に勝利した。もちろん政治の話をしているのではない。Microsoft(マイクロソフト)がようやく(そう、ようやく!それでもやったことを讃えよう)Windows 10のセキュリティー基本計画のパスワード期限切れポリシーを廃止した。

多くの大企業や組織が(TechCrunchの親会社 Verizonも)、ユーザーにパスワードを定期的に変更するよう求めている。これは、著しく非生産的なポリシーだ。マイクロソフトは、以下のようにコメントしている

最近の科学研究が、パスワード期限切れポリシーを始めとする長年続いているセキュリティー方針に疑問を投げかけ、より効果のある方法を提案した。パスワードが盗まれなければ、期限切れにする必要はない。そしてパスワードが盗まれた証拠があるなら、直ちに行動すべきであり期限が来るまで問題解決を待つことはない。

もし組織が禁止パスワードリストや多段階認証を導入し、パスワードを予想する攻撃や無人ログインの試行などを正しく検出していれば、定期的なパスワード変更は必要ないはずだ。そしてもし、最新のセキュリティー対策が施されていないのなら、パスワードの有効期限にどれほどの効果があるだろうか? 定期的なパスワード変更は過去の遺物であり、非常に効果の薄い対策だ。

そういう組織でパスワードを使っている人は、システム管理者にこのブログ記事を送ることをお勧めする。もちろんはじめは無視されるだろうが、それは大企業のシステム管理者とはそういうものだからであり、情報セキュリティーというものは規則を増やすだけの不合理な「一方向ラチェット」だからであり、我々の恐怖のカルチャーが実際のセキュリティーよりもセキュリティー劇場の方を重んじるからだ。しかし、いずれは世界が動いていることをしぶしぶ認め始めるだろう。

代わりにすべきことは、LastPassや1Passwordのようなパスワードマネージャーを使おう(無料バージョンでも十分有効なので使わない言い訳はできない)。これを使えばパスワードの使い回しを排除あるいは少なくとも最少にできる。2段階認証が用意されている場合は必ず使うこと。Number PortingやとSS7 attackなどの問題を指摘されているSMSの2段階認証でさえ、一段階認証よりずっといい。

そして、コードやデータのリポジトリーを使っている人には、パスワードやAPIキーを保存しないようにお願いする。私はコンサルタント会社のCTOだが、この残念な事象で相談に来るクライアントの数に読者は驚くに違いない。リポジトリーのアクセス管理はあまり厳重ではないので、repoファイルはごく簡単にコピーできるし、置き場所を間違えることもある。そして、ひとたび個人情報を登録してしうと、完全に削除することはおそろしく面倒だ。代わりに、環境変数のように簡単なものを使うだけでもいろいろな意味で大きな前進であり、複数環境にわたって作業するにも便利だ。

完璧なセキュリティーは存在しない。世界水準のセキュリティーは扱いにくい。しかし、適度に強力なセキュリティーは、いくつかの基本ルールを守っていれば十分使いやすい。そのためにはルールを最小限にするのがよいし、意味のないルールは廃止すべきだ。パスワードの有効期限はその1つだ。バイバイ、有効期限。せいせいした。

[原文へ]

(翻訳:Nob Takahashi / facebook

台湾フォックスコンが中国ファーウェイ端末生産ラインの一部を停止

サウス・チャイナ・モーニングポストの報道によると自社製品のデバイスが米国と中国の貿易摩擦の中心にある中国テック企業であるHuawei(ファーウェイ)は新スマホの発注を減らしている。

匿名の情報筋によると、台湾のテック製造メーカーであるFoxconn(フォックスコン)はファーウェイが発注を減らしたのに伴い、いくつかのファーウェイスマホの生産ラインを止めた。フォックスコンはApple(アップル)やXiaomi(シャオミ)を含む主要スマホメーカーのほとんどの製品製造を手がけている。

ドナルド・トランプ米大統領が米国のネットワークを海外のテックから守るために、「国家非常事態」を宣言した後、ファーウェイといくつかの関連会社は米国企業とテックに関する取引が禁止された。

ファーウェイのブラックリスト入りは、同社のスマホがGoogleのOSに頼っていたために端末の製造能力を含め事業のいくつかのラインに大きな影響を与えた。

ロイターの報道によると、Googleは5月にファーウェイとの取引を取りやめた。ファーウェイは昨年デバイス2億台を出荷し、2020年までに世界最大のスマホメーカーになるとの目標を打ち出していた。

米国によるブラックリスト入りの影響が、ファーウェイの中国外でのスマホ事業で現れ始めている、とサウス・チャイナ・モーニングポストの報道は明確に指摘している。

ファーウェイはすでにセキュリティに関して非難を浴びていて、世界の顧客向けにAndroidのアップデートが提供できなければさらに非難を浴びるだろう。

ファーウェイは万が一への備えをしている。同社はすでにAndroidベースの自前のOSを構築し、Google Mobile ServicesなしのAndroidオープンソースバージョンで使うことができる。そして当面はファーウェイの顧客はGoogleのアプリストアにアクセスできる。しかし、ファーウェイがデベロッパーにアプリをファーウェイ専用ストアで売らせることを余儀なくされた場合、中国外の顧客からの反発にあうことはあり得る。

ファーウェイと中国政府は米国の措置への報復を展開している。Huaweiは同社の製品を禁止したのは「違憲」として米国に対し法的措置をとっている。そしてファーウェイは深センにある本部のR&D部門に配置していた米国人従業員を帰国させた。

同社はまた、従業員に対して海外からの訪問者と話すことを制限するよう求め、米国の関係者と技術に関するミーティングを持つことを禁じている。

それでも、発注の減少はファーウェイの拡大(少なくとも同社のスマホ事業)を米国政府が阻止しようとする動きが功を奏していると言えるだろう。

ファーウェイ米国法人の広報はコメントの求めに応じていない。

[原文へ]

(翻訳:Mizoguchi)

マイクロソフトは伝染性BlueKeepバグへのパッチ適用を勧告

マイクロソフトは、今月2度目の勧告を出し、システムをアップデートしてWannaCryに類似した攻撃の再発を防ぐことをユーザーに促した。

同社は米国時間の5月30日に、最近発見された「ワームの侵入を可能にする」Remote Desktop Services for Windowsの脆弱性により、攻撃者は未対策のコンピュータ上でコードを実行できる可能性があることを明らかにした。そのコードとしては、マルウェアやランサムウェアなども含まれる。さらに悪いことに、この脆弱性は同じネットワーク上の他のコンピュータへの感染も許してしまう。これは、2017年に世界中に広がって、何十億ドル(何千億円)もの被害をもたらした「WannaCryマルウェアと同じような方法」によるもの。

これに対するパッチは、5月のはじめ、米国時間の毎月第2火曜日の「Patch Tuesday」と呼ばれる通常の日程ですでにリリースされている。今のところ実際の攻撃の形跡は観測されていないものの、同社は「まだ危険な領域を抜け出したと言えるような状況ではありません」と述べている。

マイクロソフトによれば、この脆弱性を悪用する方法があることは「確実」で、それにより、インターネットに直接接続されている100万台近いコンピュータが危険にさらされることになるという。

ただし、もしエンタープライズのファイアウォールレベルのサーバーが攻撃を受けるようなことになれば、その数ははるかに多くなる可能性がある。サーバーに接続されているすべてのコンピュータに感染が拡がる可能性があるからだ。

「私たちが推奨することはいつも同じです。該当するすべてのシステムを、できるだけ早くアップデートすることを強く勧告します」と、マイクロソフトは述べている。

このバグは、CVE-2019-0708のことで、BlueKeepという名で知られている。Windows XP以降(サーバー用OSを含む)を実行しているコンピュータが影響を受ける「危機的」な脆弱性だ。この脆弱性を利用すれば、システムレベルでコードを実行することができ、データを含めて、そのコンピュータへのフルアクセスが可能となる。さらに悪いことに、リモートから悪用することも可能で、インターネットに接続されていれば、だれでもそのコンピュータを攻撃することができる。

マイクロソフトによれば、Windows 8とWindows 10については、このバグによる脆弱性はないという。しかし、このバグが非常に危険であることを考慮して、マイクロソフトはかなり前にサポート対象外となったWindows XPを含むOSについても、パッチを提供するという稀な対処を実行することにした。

これまでのところ、McAfeeCheck Pointなど、いくつかのセキュリティ会社は、実際に動作する概念実証コードを開発済だとしている。最悪の場合には、コンピュータをシャットダウンすることで、サービスを停止させる機能を持ったものだという。しかし、再び大規模なランサムウェア攻撃を発生させるようなコードの開発に、ハッカーが近づいているのではないかという懸念も拭いきれない。

独立したマルウェア研究者Marcus Hutchins氏は、「この脆弱性の利用方法を解明するのに1時間かかった」とツイートしている。それから4日間かけて、実際に動作するコードを開発したという。しかし「危険」なので、直ちにそのコードを公開するつもりはないそうだ。

常に有効なメッセージは明白だ。手遅れになる前にシステムにパッチを当てること。

この記事は、Hutchins氏の発信の内容を明確にするためにアップデートした。BlueKeepバグを突くコードを開発するのにかかったのは1時間ではなく4日だった。

関連記事:ランサムウェアWannaCryの猛威から2年、まだ100万台以上のコンピュータが危険な状態

画像クレジット:Getty Images

原文へ

(翻訳:Fumihiko Shibata)

脅威インテリジェンスのスタートアップがプライベート・エクイティ会社に戦略的身売り

あなたがもしかして気づいていなくても、セキュリティ企業は今どきのホットな商材だ。米国時間5 月29日は、Palo Alto Networksが2つのセキュリティスタートアップを買った。今週初めには、FireEye(JP)がVerodinを2億5000万ドルで買った。そして本日、プライベート・エクイティ企業であるInsight Partnersが、脅威インテリジェンスのベンダーのRecorded Futureを7億8000万ドルで買ったことを発表した。

Insightが買ったRecorded Futureは、顧客企業が今直面している外部からのサイバー脅威をよく理解するための情報を生成する。今日の世界でそんな企業に、買うだけの価値があることは容易に理解できる。同社は、GlaxoSmithKline(グラクソ・スミスクライン)やMorgan Stanley(モルガン・スタンレー)、The Gap(ギャップ)、 Verizon(ベライゾン)など顧客数400社を誇っている。

当然ながらRecorded Futureにとって今回の身売りは、自分が成長を続けるための方法だ。CEOのChristopher Ahlberg氏は声明でこう述べている。「Insightとの関係が進化して、Recorded Futureは現在と未来のクライアントにもっと良く奉仕できるようになった。当社の技術的ロードマップのすべてのポテンシャルを有効活用できるし、また、当社のソフトウェアが、当社のコミュニティが直面しているもっとも困難でユニークなインテリジェンスのチャレンジに、真のソリューションを提供できるようになったからだ」。

同社は2009年に創業され、Crunchbaseによればこれまでに5800万ドルを調達している。最新のラウンドは2017年の2500万ドルで、それはほかでもないInsight Partnersがリードした。彼らは同社が気に入ったらしくて、会社全体を欲しくなったのだ。

今回の買収は、これまでの投資家、GV(Googleのベンチャー部門)、In-Q-Tel(CIAのベンチャー部門)、IA Ventures、Balderton Capital、Mass Mutual Venturesなどからの投資も買い上げることになり、彼らに大きなリターンを与える。

Palo Alto Networks to acquire container security startup Twistlock for $410M(Palo Alto Networksがコンテナのセキュリティを提供するTwistlockを4億1000万ドルで買収、未訳)

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

愛らしいデザインのセキュリティカメラUlo、監視しながらユーザーとも対話

家庭用のセキュリティカメラって、どれも味気ないよね。なにしろ、監視をするだけの道具だから。でも、ルクセンブルグのMu Designが作ったUloには、奇抜な楽しさがある。この、梟(ふくろう)の形をした監視カメラは、対話能力のある2つの液晶の目があなたの動きを追い、そしてその2つのレンズ、HDカメラとモーションセンサーのカメラは、嘴(くちばし)のところにこっそり隠れている。レンズはマジックミラーになっているけど、けっこう高精細の画像を捉える。

Mu DesignのファウンダーであるVivien Muller氏は今、台北のComputexでUloを展示している。彼曰く、「ペットのように人をハッピーにするセキュリティカメラを作りたかったんだ」。Uloの、大きくて表情豊かな目は、たしかに可愛い。Uloを動かしているのはQualcomm Snapdragon 212シリーズのプロセッサーで、Uloの内部にはマイクロフォンがある。電池は充電できるニッカド電池、microUSBの充電器つきだ。Wi-FiモデルとBluetoothモデルがあり、方向センサーもある。そして8GBのeMMCとmicroSDカードのスロットがある。

Uloは、iOSやAndroidのアプリでコントロールする。ほかのカメラと同じく、動きを検知したら画像をメールで送ったり、指定したデバイスに数分のビデオも送る。

このカメラは現在売り切れで、予約を受け付けている。お値段は199ユーロ、約220ドルだ。

画像クレジット: Mu Design

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

マイクロソフトが大小多様なフォームファクターをサポートする新しいOSを開発中

AMDIntel(インテル)、そしてQualcomm(クアルコム)が重要な発表を行った今週、台北で行われたComputexカンファレンスではMicrosoft(マイクロソフト)、ややおとなしいキーノートを述べた。新製品の発表はなく同社は、同社が目指す現代的なオペレーティングシステムについて軽く触れた。しかも興味深いことに、そのキーノートに関するMicrosoftのブログ記事にはWindowsへの言及がなく、同社が今新しい「超安全な」OSを開発中、という憶測が裏付けられた。

同社の営業担当副社長Nick Parker氏が書いたそのブログ記事によると、現代的なオペレーティングシステムはさまざまなタイプのデバイスに統合できる柔軟性を持った「フォームファクター・アジリティ」(さまざまな形状サイズへの機敏な対応)を可能にするものでなければならない。たしかに昨年同社は、Surface系列の新しい機種をほのめかした。当時は、それはスマートフォンだろうという憶測もあった。いずれにしても、フォームファクターの多様化という伏線は、すでにそのときからある。

Parker氏によると、現代的なOSは、アップデートがユーザーの心と手を煩わせずバックグラウンドで勝手に自動的に行われるものでなければならない。ユーザーは、アップデートのためにいちいち仕事やコンピューターを中断しない。セキュリティはデフォルトで完璧で、マシンのステートとオペレーティングシステムの隔離、そしてアプリケーションとコンピュートの隔離により攻撃を防止する。

現代的なOSはLTE 5Gに常時接続、AIを使ってアプリケーションの効率化を助けるだろう。そしてペン、音声、タッチ、目の動きなど多様な入力を受け付ける。タッチと目の動きが出てくるあたりに、この新しいOSが何らかのモバイル製品に載って登場する、という憶測の根拠がある。例えばそれは、Surface Phone(Surfaceスマートフォン)か? もしくは、軽量デュアルスクリーン(2画面)のラップトップかもしれない。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

ファーウェイが略式判決を申請して禁制の根拠は違憲と主張

米国時間5月29日、ファーウェイ(Huawei)は、同社に対するトランプ政権による全面的な禁制に対抗する訴訟手続を開始した。この中国の通信ハードウェア大手は、輸入停止の根拠とされている国防権限法(National Defense Authorization Act)の条項の合憲性を問う、略式判決の申し立てを申請した。

同社の法務担当最高責任者(Chief Legal Officer、CLO)は、米政府に対してファーウェイが前から主張している一連の論点を列挙した。Song Liuping氏は、用意された声明でこう述べている。「米国の政治家は国家の力を利用して一民間企業を追及している。これは正常ではなく、過去にも例がない」。

ファーウェイはかねてから、モバイルデバイスと5Gのインフラストラクチャを含むネットワーキング機器に関し、同社と中国政府との密接な関係につき、そのセキュリティ上の懸念を米国から問題視されていた。また同社は、イランなどの国に対する米国の制裁に違反したとして非難されている。

両者間の問題はここ数カ月で急激に過熱し、アメリカの企業とファーウェイとのすべての事業関係が禁じられた。同社はスマートフォンに関しては代替プランがあるから困らないと言っているが、しかしGoogleのようなソフトウェア企業やARMのような部品企業との断絶は克服できないだろう。

Song氏の声明は、最近同社が米商務省の輸出禁制リストに載ったことを、やや大げさな語調で非難している。「それは危険な前例を作るものである。米政府は、ファーウェイがセキュリティの脅威であることを示す証拠を何1つ提供していない。銃がないのだから、煙もない。あるのは憶測だけだ」。

この申し立てに対する審理は9月19日に行われる。

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

サイバー侵害対策のCrowdStrikeがIPOで410億円を調達へ

NasdaqでのIPO準備を進めているCrowdStrikeは1800万の株式を1株あたり19〜23ドルで売り出す計画にサインした。中間の価格でいけばCrowdStrikeは3億7800万ドルを調達し、時価総額は40億ドル超となる。

IPO趣意書によると、サイバー侵害を防ぐためのクラウドベースのエンドポイント防御ソフトウェアを開発するCrowdStrikeはこれまでにpre-IPOで株式の30.2%を所有するWarburg Pincus、Accel (20.2%) 、そしてCapitalG (11.1%)からベンチャーキャピタルファンディングで4億8000万ドルを調達している。2018年1月にシリーズEで2億ドルを調達したときの企業価値は33億ドルだった。

カリフォルニア州サニーベール拠点のCrowdStrikeは2週間前にIPO計画の概要を明らかにした。同社はティッカーシンボル“CRWD”で上場する見込みだ。

このサイバーセキュリティーのユニコーンの上場はUberやLyft、Pinterest、PagerDuty、そしてZoomといったベンチャーから投資を受けている企業価値の大きなスタートアップの株式公開に続くものだ。しかし、サイバーセキュリティのIPOとしては今年2番目となる。1番目はイスラエルのTufin Software Technologiesで今年初めに上場した。昨年はZscaler、Carbon Black、そしてTenableが上場した。

McAfeeの経営責任者George Kurtz氏とDmitri Alperovitch氏によって2011年に創業されたCrowdStrikeはサイバー防御業界でめざましく存在感を増しつつある。McAfee、Cylance、Palo Alto Networks、Symantec、Carbon Blackなどと競争を展開している。

幸いにもCrowdStrikeの売上高は急激に伸びていて2017年1月末までの1年間で5300万ドルだったのが、翌年には1億1900万ドルとなり、そして2019年1月末までの1年間では2億5000万ドルだった。今年第1四半期決算(2ー4月)では、売上高は4730万ドルだった前年同期から大幅に増えて9360万〜9570万ドルとなった。

CrowdStrikeはIVP、March Capital Partners、General Atlanticなどからの支援も受けている。

[原文へ]

(翻訳:Mizoguchi)

ファーウェイがFedExとの関係見直し、誤配送を問題視

最近の米国との貿易禁止措置を受けて、Huawei(ファーウェイ)は多くの業務関係を再検討している。Google(グーグル)やARMを含む部品やソフトウェアのプロバイダーがファーウェイとの取引を停止しているが、今回の問題はまったく別の原因によるものだ。

ファーウェイはロイターに対し、FedEx(フェデックス)がいくつかの荷物の配送ルートを誤ったことにより、その関係を見直していると今週伝えた。ファーウェイによれば、荷物の中身はトランプ政権による禁止措置に抵触する特定の技術ではなく書類だと伝えている。

ファーウェイの広報担当者は「フェデックスにより送られた重要な業務書類が目的地に届かず、米国内のフェデックスに送られたり、送られるように要求されたことは、私達の信用を損ねた」と述べた。「この出来事により、我々は物流と書類の配送に関するサポート要件を再検討しなければならない」。

フェデックスは中国のソーシャルメディアにてこの誤配送を謝罪し、「不注意に誤配送」されたことを「後悔している」と表明した。同社はこの出来事は外部からの圧力によるものではないとし、米政府が関与したという疑いに対処したものだと説明した。

ファーウェイが謝罪を受け入れるかどうかは、現時点では不明だ。同社は長らく中国政府との関係を否定して、国際的な監視の目にさらされてきたが、その他の米企業との関係について懐疑的なのは間違いない。

[原文へ]

(翻訳:塚本直樹 Twitter

Amazonに顔認証技術の政府提供禁止を求める案は大差で否決されていた

Amazonが顔認証技術を政府に提供するのを阻止しようとする株主の試みは大きな票差で失敗に終わっていた。同社が当局に提出した文書で明らかになった。

関連記事:Amazon株主が政府への顔認識技術提供の禁止を求める提案を否決

提案が採用されるには50%の賛成票を得る必要があったが、賛成したのは株主の2.4%だった。また、この提案が再び株主に委ねるためには賛成票が5%に達する必要があった。

顔認証技術について独立した人権評価を行うようAmazonに求めた別の提案も同様に却下された。同提案に賛成したのは株主の27.5%だった。

顔認証技術Rekognition偏見があり、また不正確である、としてAmazonは非難を浴びていて、批評家たちはマイノリティに対する人種差別に使用される恐れがあると指摘している。

Rekognitionが空港や公共の場所、そして警察に導入されたのを受け、ACLU(米国自由人権協会)は昨年、この技術について“重大な懸念”を提起した。AmazonはまたRekognitionを国境・税関管理当局にも提供している。

ACLUのような自由を求める市民団体や社会、そして多くの株式や投票権を持つ古参のAmazon社員からのサポートは増していたが、異議を唱えるよう説得するのは難しかったようだ。Amazon創業者で最高責任者のJeff Bezos(ジェフ・ベゾス)氏は同社株の12%を保有している。そして同社の法人株主トップ4社がベゾス氏とほぼ同じ投票権を有する。

[原文へ]

(翻訳:Mizoguchi)

米不動産保険大手から8億8500万件の顧客データが露出

セキュリティ関連の記者であるBrian Krebsからの最新ニュースだ。Fortune 500社の不動産保険大手であるFirst Americanが、同社のウェブサイトのバグのため、およそ8億8500万件の機密記録が露出した。

Krebsの記事によると、同社のウェブサイトは、銀行口座番号、勘定明細、住宅ローンと税の記録、社会保障番号、そして運転免許証の画像をシーケンシャルな形式で保存し露呈していた。そのため、ドキュメントのウェブアドレスを知っている者が簡単にアクセスできるだけでなく、アドレスの中の数字をひと桁変えるだけで他人のドキュメントも見られた。

パスワードなど、他人のドキュメントへのアクセスを防ぐ認証の仕組みはまったくなかった。

Krebsの記事は、いちばん古いドキュメントの番号が「000000075」で、数が大きいほど新しいドキュメントだと言っている。

露出した中で最も古いのは、2003年のドキュメントだそうだ。

彼の記事では「露出したファイルの多くは、住宅などの物件のバイヤーとセラーの間の電信によるトランザクションの記録で、銀行の口座番号などの情報が含まれている」と書かれている。First Americanは米国最大の不動産権原保険のひとつで、2018年の収入が58億ドルだ。

First AmericanのスポークスパーソンMarcus Ginnaty氏が、本誌TechCrunchに次のように述べた:

5月24日にFirst Americanは、そのプロダクションアプリケーションのひとつに顧客データへの無許可アクセスを可能にする設計不良があることを知った。セキュリティとプライバシーおよび守秘性は最高位のプライオリティであり、私共には顧客の情報を保護する義務がある。したがって、弊社は直ちに対策措置を取り、アプリケーションへの外部アクセスを遮断した。私共は現在、これが顧客の情報の安全に及ぼした影響を査定している。私共は外部の科学捜査企業を起用して、弊社顧客データへの実害のある無許可アクセスがなかったことを確認した。

セキュリティ研究家のJohn Wethington氏よると、ウェブサイトを落としてもドキュメントの多くは検索エンジンにキャッシュされている。しかし本誌TechCrunchは、データがまだ読める状態である間は、露出したデータへのリンクを差し控える。

これは住宅ローンのデータ侵害としては、ここ数カ月で最新の事件だ。

TechCrunchは1月の独占記事で、金融や銀行関連の2400あまりのドキュメントが、パブリッククラウドのストレージサーバー上で不注意により露出して、誰でもアクセスできる状態になったと報じた。そのデータには住宅ローンや一般ローンの契約書をはじめ、さまざまな機密情報が含まれていて、個人の財務状況が丸裸になってしまうのだ。

First Americanからの所見によりこの記事をアップデートした。

関連記事: Millions of bank loan and mortgage documents have leaked online(膨大な量の金融関連ドキュメントが漏洩、未訳)

[原文へ]

(翻訳:iwatani、a.k.a. hiwa

Spotifyが一部のアカウントに対し「不審な活動」を理由にパスワードをリセット

音楽配信大手のSpotifyが一部のユーザーに対し、アカウトのパスワードをリセットしたと通知した。対象となったユーザーの数は不明だが、自分が対象となった理由がわからないユーザーがたくさんいるようだ。

ユーザーは「不審な活動が検出されたため」パスワードをリセットしたというメールをSpotifyから受け取ったが、詳しい説明はなかった。

Spotify広報のPeter Collins氏は次のように述べている。「我々のサービスに対する不正な行動を阻止するために日頃からメンテナンスをしている。その一環で最近、予防措置としてパスワードをリセットしたことを一部のユーザーに伝えた。我々はベストプラクティスとして、自分を保護するために複数のサービスで同じ認証情報を使わないことをユーザーに対して強く推奨している」。

つまりSpotifyは、どこかのサイトから漏洩したユーザー名とパスワードを使ったリスト型攻撃があると言っていることになる。

TechCrunchはパスワードリセットのメールを受信した人々に問い合わせをした。複数のウェブサイトで同じパスワードを使っていたという人もいれば、Spotifyだけのパスワードを使っていたという人もいた。Hacker Newsのスレッドには、自分のパスワードはSpotifyだけに使っているものでありリスト型攻撃には疑問があると書き込んだ人が2人いる。

パスワードに脆弱性がある、または容易に推測できると考えられる場合に企業がユーザーのパスワードをリセットすることはめずらしくない。通常、企業はパスワードを平文では保存せず、ハッシュ化している。脆弱なパスワードや流出したパスワードのリストを同じアルゴリズムでスクランブルすれば、企業は自社が保有するデータベース中の脆弱なパスワードを見つけ、予防策としてパスワードリセットのメールを送信する。

NetflixもFacebookSpotifyも、他社のデータ漏洩があった場合にそのデータを入手し、流出したパスワードを自社のデータベースと照合して、事前の対策としてアカウントのパスワードをリセットしたことがある。TechCrunchはSpotifyに対してさらに問い合わせをしたが、返答はなかった。

ChipotleDoorDashOkCupidの顧客はいずれもここ数カ月でアカウントのハッキングがあったと報告している。3社ともデータ漏洩を否定している。

画像: Spencer Platt / Getty Images

[原文へ]

(翻訳:Kaori Koyama)

Amazon株主が政府への顔認識技術提供の禁止を求める提案を否決

Amazonの株主は、顔認識技術を政府に提供しないよう同社に求める2つの提案を否決した。

株主投票の票内訳は現段階では明らかにされていない。票数を記載した書類は今週後半に公になる見込みだ。

1つ目の提案は、Amazonに同社が開発したRekognition技術の警察、法的機関、連邦機関への提供制限を求めたものだった。2つ目の提案では、技術の使用について独立した人権・公民権の調査を求めていた。

提案は、技術が偏見と不正確さを抱えているという非難をうけた動きで、批判の中で評論家たちは問題を抱えた技術がマイノリティに対する人種差別に使われるかもしれないと指摘している。

投票結果は強制力を持たず、Amazonは結果を拒否することができる。

しかし投票は必然的にほぼ失敗するようになっていた。Amazonの創業者で最高経営責任者のJeff Bezos(ジェフ・ベゾス)氏は離婚後に同社の株式の12%、そして元妻の持分の投票権も保有している。Amazonの法人株主トップ4社(Vanguard Group、Blackrock、FMR、State Street)は合わせるとベゾス氏とほぼ同じ投票権を有する。

ACLU(米国自由人権協会)はAmazonがプライバシーの懸念に対応していないと非難し、対策を具体的に示そうと努力したにもかかわらず提案は否決された。

ACLUワシントン支部のShankar Narayan氏は意見として次のように述べた。「顔認識技術について投票が行われる必要があった事実は、Amazonの指導者たちにとって恥ずべきことだ。これは、Amazonの幹部が政府の監視普及に役割を果たすことによる公民権・人権への影響を正しく理解しているのか、株主たちが確信を持てていないことを示している」。

「まだ投票の正確な票数はわからないが、今回の株主の干渉はAmazonにとって顔認識による監視の本当の害を推測するための注意喚起のように作用するはずだ」とNarayan氏は述べた。

ACLUは水曜日にAmazonが拠点を置くシアトルで開かれた株主総会を前に投資家らに呼びかけた。手紙の中でACLUは、政府機関へのAmazonの顔認識技術の提供は「人々を追跡し、そしてコントロールして害するという空前のパワーを政府に与え、政府と個人の力関係のバランスを根底から変える」と述べている。

また手紙には「他の監視テクノロジーの長い歴史が示すように、顔認識は移民や宗教的マイノリティ、有色人種、活動家、そして攻撃されやすいコミュニティを狙いうちにするものであることは疑う余地がない」とも記されている。

ACLUは、投資家と株主はAmazonが誤った判断をするのを防ぐ力を持っていると語っていた。

Amazonはテクノロジーが不正確だとする主張を退け、株主総会前に米証券取引委員会に対し株主の提案を阻止するよう要求した。政府当局は、Amazonのプロダクトに対する疑念が高まる中、投票を阻止しようとするAmazonの動きを止めた。

Amazonの広報Lauren Lynch氏は5月21日、株主総会に先立ち、Amazonはどのようにビジネスを展開するかやプロダクトの使用について管理している行動綱領に沿って事業運営していると語っていた。

水曜日の株主総会を受けて同社に送った電子メールへの返事は、この記事執筆時点で返ってきていない。

[原文へ]

(翻訳:Mizoguchi)

Googleが2005年以来G Suiteのパスワードが平文保存されていたことを公表

Googleは、同社のエンタープライズ顧客の一部システムで、誤ってパスワードが平文で保存されていたことを発表した。

検索の巨人は米国時間5月21日にこの問題を公表したが、正確にどれだけの顧客が影響を受けたのかは語らなかった。「当社のG Suite利用者の一部に対して、パスワードの一部が社内の暗号化システムにハッシュされずに保存されていたことを通知した」とGoogleのエンジニアリング担当副社長Suzanne Frey氏はコメントした。

通常パスワードはハッシュアルゴリズムを利用して暗号化され、人間が読めないようになっている。G Suiteの管理者は、社員ユーザーの新パスワードを手動でアップロード、設定、リカバーすることができる。これは新しい社員が加わったときに利用する機能だ。しかしGoogleは今年4月、2005年に実装したパスワード設定、リカバリーの仕組みに誤りがあり、パスワードを平文で保存していたことを発見した。その後Googleは同機能を削除した。

今回のセキュリティー障害によって消費者向けGmailアカウントが影響を受けることはない、とFrey氏はコメントしている。「なお、問題のパスワードは当社の暗号化されたセキュアシステム基盤内に保存されていた」とFreyは言った。「問題は既に修正されており、該当するパスワードが不正利用された形跡はない」。現在Googleには500万人以上のG Suiteユーザーがいる。

Googleはまた、今月G Suiteの新規ユーザー登録でトラブルシューティングを行っていた際、第2のセキュリティー欠陥を見つけたことも発表した。Googleによると、1月以降にG Suiteのハッシュされていないパスワードの「一部」が内部システムに最大2週間保存されていた。このシステムをアクセスできたのは、一部の権限を持つGoogleスタッフのみであったとGoogleは公表した。

「この問題は修正済みであり、ここでも対象となるパスワードの不正アクセス、不正利用の形跡はなかった」とFrey氏は述べている。Googleは、G Suite管理者にパスワード障害について警告済みであり、パスワードを変更していないアカウントのパスワードは近くリセットすると表明している。

広報担当者は、Googleが今回の問題をデータ保護当局に報告したことを正式に認めた。

この一年間に秘密データを平文で保存したことを認めた会社としてはGoogleが最新になる。Facebookは3月に、FacebookおよびInstagramのパスワード「数億件」を平文で保存していたことを公表した。TwitterGitHubも同様のセキュリティー問題があったことを昨年認めている。

関連記事:

[原文へ]

(翻訳:Nob Takahashi / facebook

Instagramインフルエンサーの何百万もの個人情報がネットに晒される

Instagramの何百万人ものインフルエンサー、著名人、ブランドアカウントの連絡先情報を含む膨大なデータベースがオンラインで公開されているのが発見された。

そのデータベースは、Amazon Web Servicesによってホストされていて、パスワードも付けず誰でも中身を見られる状態で公開されていた。この記事を書いている時点では、データベースには4900万件を超えるレコードがあり、数時間に渡って増加し続けていた。

そのデータをざっと見てみると、各レコードにはインフルエンサーのInstagramアカウントから抜き出した公開データ、つまり履歴、プロフィール画像、フォロワー数、検証状態、国、都市レベルの住所、などが含まれている。しかし、それに加えて非公開の連絡先情報、つまりアカウント所有者の電子メールと電話番号も含まれているのだ。

このデータベースを発見したのは、セキュリティ研究者のAnurag Sen氏だ。彼は、TechCrunchに一報を入れるとともに、データベースの所有者を探し、データを保護しようと務めた。データベースの所有者は、ムンバイに本拠を置くソーシャルメディアマーケティング会社であるChtrboxであることが突き止められた。インフルエンサーを雇って、スポンサー付きのコンテンツを各自のアカウントから投稿させる会社だ。データベース内の各レコードには、個々のインフルエンサーのアカウントの価値を算出した数字も含まれている。フォロワー数、エンゲージメント、リーチ、お気に入りおよび共有の数に基づいて計算したものだ。この数字は、その会社がInstagram上のインフルエンサーや著名人に、広告の投稿に対して支払うべき金額を決める際の指標として使われる。

TechCrunchは、公開されたデータベースの中に、何人もの有名なインフルエンサーが含まれていることを確認した。その中には、著名なフードブロガー、著名人、また他のいろいろなソーシャルメディアのインフルエンサーも含まれていた。

我々は、データベースに情報が含まれていた何人かをランダムにピックアップして連絡を取り、電話番号を確認してもらった。そのうちの2人から返答があり、データベースに載っていた電子メールアドレスと電話番号は、彼らがInstagramアカウントの設定に使っていたものであることを確かめてくれた。いずれの人も、Chtrboxにはまったく関与していなかったとのことだ。

われわれが連絡を取った直後に、Chtrboxはデータベースをオフラインにした。同社の創立者兼CEOのPranay Swarup氏は、これについてのコメントのリクエストには応じず、同社がどうやってInstagramアカウントのプライベートな電子メールアドレスと電話番号を入手したか、といった質問にも答えてはくれなかった。

今回の漏洩は、Instagramがデベロッパー向けAPIのセキュリティ上のバグを認めてから2年も経過してから明らかになったもの。そのバグを利用して、ハッカーは600万のInstagramアカウントから電子メールアドレスと電話番号を入手したのだった。その後、ハッカーはビットコインと引き換えに、それらのデータを売り払っている。

今や10億人以上のユーザーを抱えるInstagramは、そのバグの発覚から数カ月後に、単位時間あたりのAPIの呼び出し回数を絞っている。アプリやデベロッパーが、プラットフォームに対して発行できるリクエストの数を制限するためだ。

Instagramを所有しているFacebookは、この問題について現在調査中だとしている。

「私たちは、ご指摘のあった電子メールや電話番号を含むデータが、Instagramから出たものなのか、あるいは他の情報源からのものなのかを判断するために調査中です」とFacebookは答えた。「私たちは、Chtrboxにも連絡して、そのデータがどこから出たものか、どうしてそれが公開されてしまったのかについて問い合わせています」と、付け加えている。

アップデート:Facebookからのコメントを受けて記事を更新済み。

画像クレジット:Jaap Arrien/Getty Images

原文へ

(翻訳:Fumihiko Shibata)