スマートスピーカーなどに搭載されているスマートアシスタントには、プライヴァシーに関する問題はつきものだ。しかし、大部分のユーザーにとっては安全性が十分に確保されていると考えられている。
こうしたなか、アマゾンの音声アシスタント「Alexa」の脆弱性についての新たな研究によって、スマートアシスタントが蓄積しているユーザーデータについてユーザー自身が意識し、保存するデータの量を最小限に抑えることの重要性が明らかになった。
セキュリティ企業のチェック・ポイント・ソフトウェア・テクノロジーズが8月13日に公表した調査結果によると、Alexaのウェブサーヴィスに脆弱性が存在し、ハッカーがこれを利用して標的とする人物の音声履歴（つまりAlexaとのやりとりの録音データ）をすべて盗み出していた可能性があることが判明した。すでにアマゾンはこの欠陥を修正している。
だが、ユーザーの自宅の住所のほか、Alexaに追加した「スキル」やアプリなどのプロフィール情報も、この脆弱性によって流出していた可能性がある。攻撃者は既存のスキルを削除して悪意あるスキルをインストールし、最初の攻撃後にさらにデータを抜き出すことも可能だった。
「ヴァーチャルアシスタントは話しかければ答えてくれるシステムであり、悪意ある利用のされ方や不安な点にはなかなか考えが及びません」と、チェック・ポイントで製品の脆弱性に関する調査部門を統括するオデッド・ヴァヌヌは言う。「しかし、わたしたちはAlexaのインフラ構成に一連の脆弱性を発見しました。最終的に悪意ある攻撃者がユーザーに関する情報を集め、新たなスキルのインストールまで可能になるような脆弱性です」
脆弱性のあるサブドメインへと巧みに誘導
この脆弱性を悪用する攻撃者は、まず悪意あるリンクをクリックするように仕向ける必要がある。よくある攻撃の手口だ。ところが、アマゾンやAlexaの特定のサブドメインには根本的な欠陥が存在していた。このため攻撃者は、本物らしく見える通常のアマゾンのリンクを作成し、アマゾンのインフラの無防備な部分に被害者を誘い込むことが可能だった。
例えば、「track.amazon.com」（アマゾンの荷物追跡に使用されるページでAlexaには関係ないが、脆弱性が潜んでいる）にユーザーを巧妙に導くことで、攻撃者はコードを埋め込むことができた。そのコードを使ってAlexaのインフラに移動し、攻撃対象のCookie（クッキー）とともに、荷物追跡ページから「skillsstore.amazon.com/app/secure/your-skills-page」に対して特別な要求を送ることができる。
この時点でプラットフォームは攻撃者を正規のユーザーであると誤認する。そしてハッカーは、攻撃対象のすべての音声履歴やインストール済みスキルのリスト、その他のアカウント詳細にアクセスできる。ユーザーが設定済みのスキルをアンインストールすることも可能なほか、もしハッカーが「Alexaスキルストア」に悪意あるスキルをすでに埋め込んでいる場合は、対象のAlexaアカウントにそれをインストールしたりもできる状態にあった。
手の込んだ攻撃
チェック・ポイントもアマゾンも、Amazonのストアにあるすべてのスキルに審査および監視が実施されており、有害な挙動をする可能性のあるものが紛れ込まないようにしていると説明している。したがって、攻撃者がそもそも悪意あるスキルをストアに埋め込んでいたと結論づけることはできない。
チェック・ポイントはまた、ハッカーが攻撃を通じて銀行の取引履歴にアクセスできた可能性についても指摘している。だがアマゾンはこれに異を唱え、その手の情報はAlexaの内部で編集されると説明している。
「当社のデヴァイスの安全性は最優先事項であり、潜在的な問題を報告してくれるチェック・ポイントのような独立した調査機関の仕事には感謝しています」と、アマゾンの広報担当者は『WIRED』US版にコメントしている。「当社はこの問題を把握したあと、すぐに修正いたしました。システムの強化をさらに進めており、今回の脆弱性が顧客に対して使われたり、顧客情報が流出したりということはなかったと認識しています」
チェック・ポイントのヴァヌヌは、彼や同僚が発見した今回の攻撃は気づきにくいものだと指摘している。このためアマゾンのプラットフォームの規模を考えると、同社が自力で気づかなかったのも無理はないと語る。だが今回の発見は、ユーザーに対してさまざまなウェブアカウントに保存しているデータについて考えさせ、できる限り保存するデータを少なくしておくべきだということを思い出させる貴重なものだ。
「今回は、ドアが開けっ放しで『さあ、入りなよ！』と言っているような事例ではありませんでした」とヴァヌヌは言う。「手の込んだ攻撃でしたが、アマゾンが真剣に受け止めてくれたことをうれしく思っています。世界に2億台あるAlexaに悪影響が及ぶ可能性があったわけですから」
履歴は定期的に消去を
わたしたちには、アマゾンの広大なウェブサーヴィスのひとつに欠陥があるかどうかをコントロールする術はない。だが、自分のAlexaアカウントのデータを最小限にとどめることはできる。
ユーザーの音声の断片（スニペット）を聴き取るために一部で“人力”に頼っていたというグレーゾーンの行為が批判されたあと、アマゾンはユーザーが音声履歴を削除しやすくする措置をとった。履歴は定期的に消去することが重要だ。そうしないと、アマゾンは録音データをいつまでもため込むことになる。
Alexaの履歴を確認して削除するには、スマートフォンの「Amazon Alexa」アプリを立ち上げ、「設定」にある「アカウントの設定」から「履歴」を選べばいい。ただし、この画面ではデータの消去は1件ずつしかできない。
まとめて削除するには、Amazonのサイトでアカウント設定にある「コンテンツと端末の管理」から、「プライバシー設定」にある「Alexaプライバシー」を選ぶ。そこにある「音声履歴の確認」から期間を選ぶと、「録音をすべて削除」が可能になる。
また、「音声での削除を有効にする」をオンにしておけば、呼びかけるだけで履歴を消せるようになる。「アレクサ、いまわたしが言ったことを削除して」「アレクサ、わたしが今日言ったことを全部削除して」といった具合だ。
※『WIRED』によるAlexaの関連記事はこちら。
RELATED ARTICLES
INFORMATION
限定イヴェントにも参加できるWIRED日本版「メンバーシップ」会員募集中！
次の10年を見通すためのインサイト（洞察）が詰まった選りすぐりのロングリード（長編）を、週替わりのテーマに合わせてお届けする会員サーヴィス「WIRED SZ メンバーシップ」。限定イヴェントへの参加も可能な刺激に満ちたサーヴィスは、2週間の無料トライアルを実施中！
"に" - Google ニュース
August 16, 2020 at 07:00AM
https://ift.tt/31ZGbPz
Alexaの音声履歴がハッカーに筒抜けに？ セキュリティ企業の調査で見えてきたこと - WIRED.jp
"に" - Google ニュース
https://ift.tt/2q0a0jR
Shoes Man Tutorial
Pos News Update
Meme Update
Korean Entertainment News
Japan News Update
Bagikan Berita Ini
0 Response to "Alexaの音声履歴がハッカーに筒抜けに？ セキュリティ企業の調査で見えてきたこと - WIRED.jp"
Post a Comment