アップル最悪のセキュリティブリーチ。ギズモード・ジャパンこのページではJavaScriptを使用しています。JavaScriptをONにしてください。NEWTAGSPECIALAIタグ一覧へTOPPRODUCTアップル最悪のセキュリティブリーチ。iPad所有者11万4000人分のデータ流出アップル最悪のセキュリティブリーチ。14:00satomiアップルにまた災難です。3Gオーナーのデータが大量に流出しました。携帯ネットワーク対応のiPadを買った人全員にスパム商法や悪質なハックを受ける脆弱性があったのだとか...怖いですね。3Gのアーリーアダプターという、世界にも稀な著名人リストが外部に流れた格好です。リストにはニューヨーク・タイムズ・カンパニーCEOジャネット・ロビンソンからABCニュースアンカーのダイアン・ソーヤー、映画業界の実力者ハーヴェイ・ワインスタイン、マイケル・ブルームバーグNY市長まで軍・政・財・メディア界の重鎮が勢ぞろい。果てはホワイトハウスのラーム・エマニュエル大統領首席補佐官の情報まで流出したようですよ。それだけじゃありません。このAT&Tネットワークの脆弱性を攻撃したウェブセキュリティ団体から編集部が入手したデータによると、ユーザー11万4000人の利用アカウントの情報も漏洩したようです。3Gオーナー全員の個人情報が漏れたことも考えられますが。アップル、AT&Tにはコメントを求め、ホワイトハウスのラーム・エマニュエル大統領首席補佐官のオフィスにも電話をかけましたが、まだ返事待ちの段階です。この情報漏えいで露呈した情報は具体的に何かと言うと、契約利用者のメールアドレスとAT&Tのネットワーク上で契約利用者の認証に使う「ICC-ID」というIDです。Identify」の略で、契約利用者が使っているモバイル端末のSIMカードを識別する番号のことですね。AT&Tは最近になってセキュリティホールを塞ぎましたが、被害者には一切知らされていませんでした。携帯のコンフィギュレーションもひとつという段階で漏洩なんて、気が気じゃないですよね。AT&Tの失態のようなので、それじゃなくても既に緊張状態にあるアップルとの関係がさらにややこしくなりそうです。脆弱性はAT&Tのサーバー内ですが、ユーザーは購入時アップルにメールアドレスを提供しないとiPadをアクティベートできないので、アップルにもユーザーのプライバシーを守る責任は発生しますよね...。3GはAT&T独占でロックかかってるので。顧客データを共有する相手に選んだ通信ベンダーにはきちっと目を光らせなきゃいけませんね。Security」を名乗るグループが入手しました。4ちゃん風のネットカルチャーを彷彿とさせるネーミングですが、これは有名なウェブ写真からとった名前なのだそう。前にもFirefoxやSafariブラウザに本物のセキュリティの脆弱性を見つけて注意を促したり、アマゾンコミュニティの評価レーティングシステムに欠陥なるものを見つけて(ゲイ本を一時ランキングから消して)、マスコミの注目を浴びた実績があります。SecurityはAT&Tのサイトにあるスクリプトからデータを入手しました。ネットの誰でもアクセスできるスクリプトです。HTTPリクエストの一部としてICC-IDを提供する際、このスクリプトはそれに付属するメールアドレスも返してくるんですね。これは見たところウェブアプリ内でAJAX風のリスポンスを意図してそうなってるようです。IDを見ながら山勘で用意しました。その中にはガジェット愛好家がFlickrや他のサイトに投稿した写真から拾ったものや、iPad持ってる情報共有して構わない親切な人にiPadの「Setting」開いて教えてもらったものもあります。agent」のヘッダを入れて送るだけで良かったそうですよ。この手のヘッダはユーザーのサイトのブラウザ種別を特定するものです。グループではデータの回収を自動的に行うため、PHPスクリプトも書きました。AT&Tがセキュリティホールを塞ぐ前にそのスクリプトはサードパーティーの人たちに教えたとグループのひとりが僕らに言ってたので、流出した情報が誰の手に落ち、その情報でその人が何をしたのか、確かなところは分かりません。あるメンバーが言うには、11万4000人を上回る数のアカウントがハックされた可能性もあるそうです。SecurityからAT&Tに通知が行ってはじめてホールが塞がれた、という流れになりますね。Securityが入手したデータが本物なことは、11万4000人のリストに名前があがっていた中の2人の人を通して確認しました。IDと合ってるかどうか照合してもらったんです。IDはぴったり一致しました。被害にあったビッグネーム次に11万4067人分のエントリーに細かく目を通す作業に取り掛かったわけですが、あっと驚くビッグネームが出てくる出てくる。3Gって発売になってまだ2ヶ月も経ってないのに、こんなにアーリーアダプターの錚々たるエリートの間に支持を得てたんですね。サービス支部もちらほら。Eldredge大佐の名前ですね。軍部・政府にも人気のiPadメディア・芸能界でほ~と思ったのは、冒頭にも述べましたニューヨーク・タイムズ・カンパニー社主はじめ、ダウ・ジョーンズ、コンデナスト、バイアコム、タイムワーナー、ニュースコーポレーション、HBO、ハーストのトップエグゼキュティブたち。メディアの重鎮もこんなにハイテク業界はグーグル、アマゾン(アマゾン!)、マイクロソフト、AOLほか。(FAA)、連邦通信委員会(FCC)、国立衛生研究所ほか。連邦裁判所の職員も大勢いました。他にもデータが人手に渡った有力者がいるのは間違いないです。一般ユーザーにもこれで「もしかしてAT&Tが自分のiPadのデータをハッカーに漏らすかもしれない」という心配の種が生まれたことになります。VIPかどうかはさておき、少なくともAT&Tは大量のメールアドレスの大事な隠し場所を表に晒していたのです。iPhoneとiPadカスタマーの間ではそれじゃなくてもイメージ悪いのに、利益の出るアップルとの関係がまたまたこじれそうですね。分が悪いのは、本件についてAT&Tは最低2日以上前から知っているのに、カスタマーには被害報告を怠っていること(僕らとセキュリティグループが連絡した契約者の人たちは知らなかった)。アップルに連絡したかどうかも不明です。IDを使ってネットワーク上で端末になりすましたり、トラフィックを傍受できる可能性もあるという部分を心配してましたよ。他のセキュリティの専門家2人に意見を聞いてみたら、その評価通りかどうか、そこまで確証はない様子。ID絡みの脆弱性や悪用のメソッドはない」と言ってました。ICC-IDが表に出てもセキュリティに直接の影響はない」と言ってましたよ。それでAT&Tが無罪放免とはいかないようです。博士曰く;顧客のデータ、具体的にはメールアドレスなんてものが、大手電話通信プロバイダの不注意でリークするなんてゾッとする話だねえ。AT&Tカスタマーもみなそう思ってると思いますよ。米版UPDATE1:ニューヨーク・タイムズが全社員にメールを流し、エンジニアとセキュリティ担当者が問題を調べる間、「iPadで3Gネットワーク接続をオフにする」よう指示しました。米版UPDATE2:AT&Tからメールで謝罪文をいただきました。影響はないと話してます。IDSが表に流れた可能性がある旨、連絡がありました。IDSで抽出できる情報は、その端末に付随するメールアドレスだけです。本件は企業最上層部まで報告を上げ、火曜までに対処済みです。メールアドレスを出す機能はオフにしました。このギャップを発見した個人あるいは団体からAT&Tに連絡は受けておりません。IDSが漏れた恐れのある全カスタマーにその旨ご連絡します。当社はカスタマーのプライバシーを非常に厳粛に受け止めております。問題解消済みとは言え、ご不便をおかけしたお客様には心より謝罪いたします。Tate(原文/satomi)AdvertisementRANKINGDailyWeeklyMonthly超高級カスタムiPhone。12:0025,530こんなにいる。13:009,72540年前の関数電卓が復刻。08:006,023宇宙葬打ち上げ失敗。12:30270,037日本でも公開。12:00177,447ChatGPTを日本語で使う方法。10:46305,619宇宙葬打ち上げ失敗。12:00177,447日本でも公開。19:00無印良品の優秀ポーチ。16:35ROOMIE睡眠や集中したいときに。