スラド
Apple、AirTag を悪用したストーキングへの対策などを含む安全ガイドを公開 2022年1月29日 15:25

Apple、AirTag を悪用したストーキングへの対策などを含む安全ガイドを公開

2022年1月29日 15:25

Apple が同社製品に関連する個人向けの安全対策をまとめたガイドブック「Personal Safety User Guide」を公開している (Apple のサポート記事、 The Verge の記事、 Mac Rumors の記事、 9to5Mac の記事)。

ガイドブックは現在のところ日本語化されていないが、安全に関する設定の見直しや対策と、Apple 製品に組み込まれた安全やプライバシーを守る機能の使用方法、自分の情報にアクセス可能な人の制御に関する 3 つのチェックリストに大きく分けられており、英語版の PDF で 56 ページにおよぶ盛り沢山の内容だ。

設定の見直しや対策には共有やアカウントの管理、スクリーンショット撮影による不審な活動の記録、不審なコンテンツの削除、他人による AirTag や Find My アクセサリーを使用した追跡の防止などが含まれる。Android アプリを使用した AirTag / Find My アクセサリーの検出方法も紹介されている。

スラド
英国政府の資金によるソーシャルメディアのエンドツーエンド暗号化反対キャンペーン 2022年1月20日 08:04

英国政府の資金によるソーシャルメディアのエンドツーエンド暗号化反対キャンペーン

スラド

著者: nagazou

2022年1月20日 08:04

headless 曰く、

英国政府の資金による No Place to Hide がソーシャルメディアメッセージのエンドツーエンド暗号化に反対するキャンペーンを開始した (キャンペーンサイト、 BetaNews の記事、 The Guardian の記事、動画)。

キャンペーンではエンドツーエンド暗号化に反対するわけではなく、ユーザーのプライバシー保護には賛成だとする一方で、エンドツーエンド暗号化が児童性的捕食者に隠れ場所を与えることを防ぐテクノロジーを開発する必要があると主張する。

そのため、児童性的捕食者が性的な目的で子供に近寄ることや、子供の性的画像の共有や閲覧、捜査当局による検出の回避、といったことを容易にしないテクノロジーが利用可能であることを示さない限り、エンドツーエンド暗号化を実装しないようソーシャルメディア企業に要請している。

すべて読む | セキュリティセクション | 英国 | セキュリティ | 暗号 | 政府 | プライバシ |

スラド
iCloud プライベートリレーを米キャリアがブロックしたとの見方、キャリアと Apple が否定 2022年1月15日 07:02

iCloud プライベートリレーを米キャリアがブロックしたとの見方、キャリアと Apple が否定

スラド

著者: nagazou

2022年1月15日 07:02

headless 曰く、

米国で一部の iPhone ユーザーから iCloud プライベートリレーが機能しなくなったと報告され、キャリアがブロックしたのではないかとの見方が出ていたが、キャリア・Apple ともにこの見方を否定したそうだ (The Verge の記事、 Ars Technica の記事、 Mac Rumors の記事、 9to5Mac の記事)。

iCloud プライベートリレーは本人またはファミリー共有グループの誰かが iCloud+ サブスクリプションに登録している場合に利用可能なプライバシー強化機能で、現在は iOS 15 / iPadOS 15 でベータ版の機能として利用できる。欧州では大手キャリアが連名でプライベートリレーを制限するよう欧州委員会に要請していたことが報じられた直後ということもあり、キャリア側でブロックしたと疑われることになった。

しかし、米 Verizonと米 AT&T はプライベートリレーのブロックを否定。米 T-Mobile はキャリアのフィルタリングサービスを利用している場合はプライベートリレーを有効にできないと説明した。また、iOS 15.2 のバグでアップグレード時に設定がリセットされてオフになったとも説明していたが、その後バグの存在を取り消している。

Apple もアップグレード時の設定リセットを否定したほか、キャリア側でブロックすることもないと明言したとのこと。ただし、米国向け (英語) のサポートドキュメントには、特定のネットワークでプライベートリレーが無効になっている場合の対処方法が追加されている。

フランスのデータ保護当局、cookie 拒否の操作が許可の操作よりも複雑だとして Google と Facebook に制裁金

スラド

著者: headless

2022年1月9日 19:31

フランスのデータ保護当局 CNIL (情報処理および自由に関する国家委員会) は 6 日、Google と YouTube、Facebook の cookie 保存に関するユーザーインターフェイスがフランスのデータ保護法に違反しているとして 12 月 31 日に制裁金を科したことを発表した (ニュースリリース [1]、 [2]、 [3])。

いずれの場合も cookie を一括して許可するボタンが用意されているのに対し、一括して拒否するボタンが用意されていない点が問題視された。これにより、1 クリックですべての cookie を許可できるのに対し、すべての cookie を拒否するには数クリックが必要となる。そのため、拒否する方の操作を故意に複雑にし、許可する方を選ばせようとしていると判断したとのこと。

制裁金額は Google LLC に 9,000 万ユーロ、Google Ireland Limited に 6,000 万ユーロ、Facebook Ireland Limited に 6,000 万ユーロ。各社が cookie により収集したデータから広告で間接的に得る利益に対して適切な金額だという。各社には修正のための猶予が 3 か月間与えられ、それまでに修正を行わない場合は 1 日遅れるごとに 10 万ユーロの制裁金を科すとのことだ。

イタリア当局、アカウントに結び付けて取得した個人情報の利用に関してGoogleとAppleに各1千万ユーロの制裁金

スラド

著者: headless

2021年11月27日 17:28

イタリアの競争・市場保護委員会 (AGCM) は 11 月 26 日、Google と Apple によるユーザーデータの取得と利用が消費者保護法に違反するとして、それぞれ 1 千万ユーロの制裁金を科すと発表した (プレスリリース)。

違反内容は収集するユーザーデータの商用利用に関する十分な情報を提供していないことと、強引なユーザーデータ取得を行っていることだ。制裁金 1 千万ユーロはこれらの違反に対する上限額だという。

Googleはアカウント作成時とサービス利用時に収集したユーザーデータを商用利用することについて、ユーザーが意識して許可するのに必要な情報を提供しておらず、アカウント作成時にはユーザーデータの商用利用を許可するオプションがデフォルトで選択されているとのこと。

一方、Apple は Apple ID 作成時やオンラインストア利用時に収集したユーザーデータがエクスペリエンスとサービス改善に必要だと述べるのみで商用利用に関する情報を提示せず、ユーザーデータの商用利用時にはユーザーの承認を求めるものの、選択肢はサービスを利用するかデータの商用利用を許可するかのいずれかに限られるとのことだ。

スラド
DuckDuckGo、Android アプリのユーザートラッキングをブロックする機能を発表 2021年11月21日 13:58

DuckDuckGo、Android アプリのユーザートラッキングをブロックする機能を発表

スラド

著者: headless

2021年11月21日 13:58

DuckDuckGo は 18 日、Android アプリに組み込まれたユーザートラッキング用のトラッカーをブロックする「App Tracking Protection」機能を発表した (DuckDuckGo News の記事、 Neowin の記事、 Ars Technica の記事、 Ghacks の記事)。

App Tracking Protection は DuckDuckGo Private Browser アプリに新機能として追加されるもので、現在は招待制でベータテストが行われている。機能としてはローカル VPN として動作し、他のアプリのトラフィックを処理する形になる。

ベータテストに参加するには、DuckDuckGo アプリの設定画面で「App Tracking Protection」を開き、ベータ版のウェイトリストに登録すればいい。あとは参加準備が整い次第通知が送られてくる。

DuckDuckGo がテストした人気の無料 Android アプリの 96 % がサードパーティーのトラッカーを含んでおり、87 % が Google に、68 % が Facebook にデータを送信しているという。Apple は iOS 14 でアプリによるユーザートラッキングを許可制にし、多くのユーザーがトラッキングをオプトアウトしているが、大多数のモバイルユーザーが使用する Android には同様の機能がないためApp Tracking Protection の提供を決めたとのことだ。

スイス連邦行政裁判所、電子メールプロバイダーは電気通信法のデータ保持義務付け対象にならないと判断

スラド

著者: headless

2021年10月30日 11:39

ProtonMail によるとスイス連邦行政裁判所が今週、電子メールプロバイダーを電気通信プロバイダーとみなすことはできないとの判断を示したそうだ (ProtonMail のブログ記事、 The Register の記事)。

この裁判はスイス政府が電気通信法を不適切に用いてプライバシーを低下させていると ProtonMail が主張し、昨年 5 月に提起していたものだ。連邦行政裁判所では電子メールプロバイダーを電気通信プロバイダーとはみなせず、結果として電気通信法が義務付けるデータ保存の対象にもならないとの判断を示したとのこと。

スイス連邦最高裁は 4 月に Threema の訴えを認め、インスタントメッセージングサービスが電気通信プロバイダーではないとの判断を示しており、本件と合わせてスイスにおけるプライバシーの勝利であるという。その結果、多くのスイス企業は当局の情報提出命令に対し、特定のユーザー情報提出が免除されるとのこと。

ProtonMail は 9 月、フランスで逮捕された環境活動家の IP アドレスなどの情報を警察に渡していたとして批判を浴び、IP アドレスのログを保存しないとの記述を公式サイトトップページから削除している。今回の判決が確定すれば、IP アドレスの記録を当局が命じることもできなくなるとみられる。

すべて読む | YROセクション | 通信 | YRO | 法廷 | プライバシ |

スラド
国土交通省、小田急線車内傷害事件を受け対策方針。AI活用で不審者検知へ 2021年9月29日 18:05

国土交通省、小田急線車内傷害事件を受け対策方針。AI活用で不審者検知へ

スラド

著者: nagazou

2021年9月29日 18:05

国土交通省は24日、8月に発生した小田急線車内で発生した傷害事件を受けて鉄道事業者と意見交換を行い、今後の対策方針を発表した。それによると、係員や警備員による監視の強化のほか、車内や駅構内の防犯カメラの増設などの対応を行うとしている。防犯カメラの画像運用に関しては、不審者や不審物の検知機能の高度化を謳っており、AIを含む最新技術を活用する方針を示した（国土交通省[PDF]、共同通信）。

先日、JR東日本は重要犯罪の容疑者や挙動不審な人物などの顔を登録し照合していることが話題となった。しかし、その後の専門家などの指摘などにより、9月21日から重大犯罪で服役した出所者を顔認証機能の検知対象とすることを撤回すると発表していた（読売新聞、NHK）。

すべて読む | YROセクション | YRO | 政府 | 交通 | プライバシ |

スラド
日本郵便のインターネット転居届『e転居』、オンラインによる本人確認を導入 2021年9月23日 06:03

日本郵便のインターネット転居届『e転居』、オンラインによる本人確認を導入

スラド

著者: nagazou

2021年9月23日 06:03

日本郵便は17日、同社のインターネット上で転居届を受け付けるサービス「e転居」で、本人確認を導入すると発表した。この本人確認は9月24日より導入される。本人確認に利用される書類は運転免許証、運転経歴証明書、マイナンバーカード、在留カードとなっている（日本郵便リリース[PDF]）。

この本人確認には、スマートフォンなどの各端末の写真撮影機能が必要で、転居申請者の顔写真と本人確認書類を撮影する必要があるようだ。こうした機能がない場合はオンラインでの手続きはできない。これに合わせて、従来の自動音声応答による電話番号認証は廃止されるとしている。こうした本人確認が必要となった背景には、e転居サービスをストーカーに悪用した事例があったためと思われる。

暗号メールサービス ProtonMail、IP アドレスのログを保存しないとの記述を公式サイトトップページから削除

スラド

著者: headless

2021年9月11日 11:39

暗号メールサービス ProtonMail では匿名性の高さをセールスポイントの一つにしており、IP アドレスのログを保存しないと説明していたが、これらの記述が公式サイトトップページから最近削除された (ProtonMail のブログ記事、 6日時点のInternet Archive スナップショット、 The Register の記事、 HackRead の記事)。

ProtonMailは先日、フランスで逮捕されたYouth for Climateの環境活動家のIPアドレスなどの情報を警察に渡していたとして批判を浴びた。

スイスにサーバーを置き、スイスの厳しい個人情報保護法でプライバシーが守られるとする ProtonMail だが、スイス当局が犯罪捜査のために情報提出を命じた場合は異議を申し立てる余地がなく、従うしかないのだという。ProtonMail は外国政府に情報を渡すことはないと説明しているが、この件ではフランス警察がユーロポールを通じてスイス当局に依頼したものだそうだ。

ProtonMail はユーザーの IP アドレスをデフォルトで記録しないが、当局から命じられれば記録して提出する必要がある。そのため ProtonMail は IP アドレスのログを記録しないことを含め、サービス自体の匿名性が高いという記述を削除する一方で、匿名性を重視する場合は ProtonMail と Tor を組み合わせて使用するべきだと述べている。

なお、現在のスイスの法律では電子メールと VPN は異なる扱いになるため、ProtonVPN がユーザーデータの記録を強制されることはないという。また、ProtonMail はその厳しいプライバシーにより、捜査対象が環境活動家であることも知らなかったとのことだ。

スラド
ノルウェー、ロシアとの国境に「ロシア側への放尿禁止」との掲示が出現 2021年8月28日 17:18

ノルウェー、ロシアとの国境に「ロシア側への放尿禁止」との掲示が出現

スラド

著者: headless

2021年8月28日 17:18

ノルウェーでロシアとの国境にロシア側への放尿を禁ずる旨の掲示が出現したそうだ (The Barents Observer の記事、 The Register の記事、 RTÉ の記事、 Euronews の記事)。

ノルウェーの法律では国境で隣接する国やその当局を侮辱するような行為が禁じられており、違法行為が起こらないよう国境警備隊や警察、国境庁が監視している。数年前にはロシアに向けて石を投げた 4 人が拘束されているほか、昨冬は国境を越えてロシア側に手を突き出した女性が 8,000 クローネ (約 10 万円) の罰金を命じられているが、放尿に関してロシア側からの苦情はないそうだ。

掲示が行われたのはグレンセヤコブセルフの東側を流れ、ロシアとの国境を形成するヤコブセルバ川の川岸だ。掲示には英語で「No Peeing Towards Russia」と書かれているが、警察や国境庁では掲示を指示していないといい、実際に誰が掲示をしたのかは不明だ。ただし、国境庁長官は善意の人物が通行人に注意を喚起したものだとして問題視はしていないようだ。

長官は現地が観光客が長いドライブの後で最初に車を止める場所になることが多く、排尿の誘惑にかられる可能性が高いと述べ、監視カメラで撮影されていると注意喚起した。国境でのロシア側での放尿行為が見つかった場合は 3,000 クローネ (約 37,000 円) 以上の罰金が命じられる可能性があるとのことだ。

スラド
Microsoft Power Apps で個人情報を含む計 3,800 万件のレコードが流出、その原因は仕様？ 2021年8月27日 17:05

Microsoft Power Apps で個人情報を含む計 3,800 万件のレコードが流出、その原因は仕様？

スラド

著者: nagazou

2021年8月27日 17:05

headless 曰く、

Microsoft Power Apps ポータルから個人情報を含む計 3,800 万件のレコードが流出した問題について、発見者の UpGuard がそのなりゆきを解説している(UpGuard のブログ記事、 The Verge の記事、 The Register の記事)。

Power Apps は開発者としてのスキルがなくてもビジネスアプリケーションを開発できるローコードアプリ開発ツール。OData (Open Data Protocol) API を使用することでポータルでのレコード公開が可能になるのだが、デフォルト無効の「テーブルのアクセス許可を有効にする」オプションを有効にしなければ匿名かつ認証なしでデータへのアクセスが可能になる。このことは Power Apps のドキュメントにも明記されているが、見過ごされることが多かったようだ。

個人情報が公開状態になっているとして UpGuard が通知したのは (Microsoftを含む) 企業や州政府など合計 47 エンティティにのぼる。UpGuard のアナリストは 5 月 24 日に最初の個人情報が公開状態になっている OData API を発見してオーナーに通知。通知を受けたオーナーは問題を修正した。UpGuard が調査を進めたところ、複数のポータルで OData API を通じた個人情報への匿名アクセスが可能になっていることが判明する。

UpGuard は Microsoft による顧客への通知に期待して MSRC (Microsoft Security Response Center) に脆弱性リポートを送るが、(設定を変更しなければデータが一般公開状態になるのは) 仕様であるとして、問題は解決済みとされてしまう。そのため、UpGuard 自ら各エンティティに通知を送ることになった。Microsoft のポータルで見つかった問題については脆弱性リポートへの返信という形で報告したものの回答はなく、新たな脆弱性リポートを送ったところ、不正利用リポートを送れと言われたそうだ。

Microsoft に脆弱性リポートを送り、あとは任せるという UpGuard の試みは失敗したが、UpGuard が複数のエンティティに最も深刻な複数の問題を報告したのち、Microsoft 側でも顧客の通知を開始したとみられる。また、Microsoft は匿名アクセスが許可されたリストを検出するポータルチェッカーの提供を開始し、新規作成された Power Apps ポータルではテーブルのアクセス許可がデフォルト有効になっている。なお、現在は英語版のドキュメントに OData フィードを有効化した場合はテーブルのアクセス許可を無効にできないとの説明が追加されている。

米国土安全保障省、ランサムウェア攻撃からセンシティブ情報と個人情報を守るためのファクトシートを公開

スラド

著者: nagazou

2021年8月23日 13:02

headless 曰く、

米国土安全保障省 (DHS) の Cybersecurity & Infrastructure Security Agency (CISA) は 19 日、ランサムウェア攻撃からセンシティブ情報と個人情報を守るための対策に関するファクトシートを公開した(CISA のツイート、ファクトシート: PDF、 Softpedia の記事)。

対策は「ランサムウェア攻撃に対する防御」「センシティブ情報と個人情報の保護」「ランサムウェア被害発生時の対応」に大きく分けられている。防御としてはバックアップ作成と維持、サイバー攻撃対応計画の確立、インターネット側からの攻撃の入り口となる脆弱性や誤設定への対策、フィッシングメールのブロックとトレーニング、サイバー衛生の実践といったものが挙げられている。

情報保護としては、どのような情報が保存され、誰がアクセスできるかの把握と物理的セキュリティ・サイバーセキュリティのベストプラクティス適用、サイバー攻撃対応計画にデータ侵害対策を含めることといったものだ。

ランサムウェア被害が発生した場合の対応としては、影響を受けたシステムの特定と隔離、隔離できない場合に限って影響を受けたデバイスの電源を切るなどの被害拡大を防ぐ対策や、情報の収集、影響を受けた人・団体への通知、CISA を含む当局への報告などが挙げられている。なお、CISA ではランサムウェア被害発生時にデータ復元のための身代金を支払うことは推奨していない。

スラド
個人情報の匿名化、信用できる？ 2021年7月25日 19:34

個人情報の匿名化、信用できる？

スラド

著者: headless

2021年7月25日 19:34

匿名化されていたはずのアプリの位置情報で高位聖職者としては不適切な行動が指摘され、米カトリック司教協議会(USCCB)の事務局長が辞任した(USCCB の声明、 The Pillar の記事、 America Magazine の記事、 Ars Technica の記事)。

位置情報はゲイのソーシャルネットワーキングアプリ Grindr が匿名化してデータブローカーに販売したとされるもの。位置情報とユーザー名は結び付けられていないがデバイスごとにユニーク ID が割り振られており、特定のデバイスがデータを送信した場所と日時が確認できるという。

カトリック教会に関するニュースサイト The Pillar がデータを入手して調べたところ、2018 年から 2020 年にかけて特定のデバイスが(元)事務局長の自宅と職場のほか、ゲイバーや個人宅を訪れていることが判明したとのこと。事務局長は 2018 年の聖職者による児童虐待スキャンダルを受けて USCCB とバチカンの調整役を務めており、訪問した各地でもアプリからデータが送信されていたそうだ。

事務局長の行動に違法性はまったくないが、同性愛に反対するカトリック教会の高位聖職者としては、このようなアプリを使用するだけでもスキャンダラスといえる。そのため、事務局長はUSCCBの運営に支障をきたすことがないよう、The Pillarの記事が公開される前に辞任したとのことだ。

すべて読む | YROセクション | IT | プライバシ |

スラド
「Audacity」のプライバシーポリシー変更案、まるでスパイウェアだと非難される 2021年7月8日 17:02

「Audacity」のプライバシーポリシー変更案、まるでスパイウェアだと非難される

スラド

著者: nagazou

2021年7月8日 17:02

オープンソースのオーディオ編集ツール「Audacity」が買収によりプライバシーポリシーが改訂され、その改訂内容からこれではスパイウェアだと非難する声が出ている。Audacityは5月にMuse Groupという多国籍企業に買収され、7月2日にAudacityの公式サイト上にプライバシーポリシーのドラフト案が提示された。その内容によれば、今後のAudacityのリリースバージョンでは個人情報が送信されるようになるという（Audacity デスクトップ版のプライバシーに関するお知らせ、GitHubでの反対コメント、窓の杜、Phone Mania）。

送信されるデータは以下の通りとなっている

OSのバージョン
IPアドレスとそれに基づくユーザーの国情報
OS名
CPU情報
エラーコードとメッセージ
BreakpadMiniDump形式のクラッシュレポート
法執行、訴訟および当局の要求に該当するデータ（存在する場合）

またすべての個人データは、欧州経済領域（EEA）のサーバーに保存されるという。その上でロシア政府や米国の外部弁護士と個人データを共有する場合があるとも記載されており、EUと米国・ロシアの規制当局の要求に応じて必要なユーザーデータを提出する可能性が示唆されている。この改訂が実施された場合、Audacityはスパイウェア化するという意見もあり、すぐにフォークするべきだとする意見も出ている模様。

スラド
スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ 2021年6月23日 18:05

スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ

スラド

著者: nagazou

2021年6月23日 18:05

あるAnonymous Coward 曰く、

スマートホームカメラ「ATOM Cam」を開発・販売するATOM Tech（アトムテック）は6月12日、同社の提供する「ATOM – スマートライフ」アプリ（Android版、iOS版）において、事前の説明と異なる目的で位置情報を利用していたことを謝罪し、位置情報の利用を停止した修正版のアプリを公開した（ATOM Techのニュースリリース）。

発端は5月29日、Googleのソフトウェアエンジニアである河本健氏がAndroid上でのパケットキャプチャにより、同アプリが起動時に端末の緯度・経度をアトムテックのサーバーに送信していることを発見したことに始まる。

同アプリでは事前に「スマートフォンのWi-Fi情報を取得するため」として初期設定時に位置情報の取得の許可を求めていたが、そのために位置情報を送信する必要性を同社に問い質したところ、実は「ユーザーのタイムゾーンを判定するため」という回答があったという。

しかしながら、タイムゾーンを判定する目的であればタイムゾーン取得用の関数を利用したスマートな方法が存在することや、事前の説明を逸脱した位置情報の利用について、同社からの返信が途絶えたため、河本氏が6月11日にこれまでの経緯をツイートしたところ、1,000リツイートを超える炎上状態となっていた。

同社の説明によれば、問題の原因は社内体制の不備にあり、タイムゾーン判別後の位置情報はサーバーに保存しない仕様であったという。また、問題提起を行った河本氏に対しては、こうした報告を無視せずにすぐ対応できるよう連絡ラインを見直すとの回答があったようだ。

情報元へのリンク

スラド
Tesla、Autopilot時のドライバー監視に車内カメラの使用を開始 2021年5月30日 19:23

Tesla、Autopilot時のドライバー監視に車内カメラの使用を開始

スラド

著者: headless

2021年5月30日 19:23

TeslaがModel 3/Yのソフトウェアアップデートで、Autopilot時のドライバー監視に車内カメラの使用を開始したそうだ(Electrekの記事、 The Vergeの記事、 CNBCの記事、 USA TODAYの記事)。

車内カメラによるドライバー監視機能が導入されたのはソフトウェアバージョン2021.4.15.11。リリースノートによれば、バックミラーの下のカメラを用いてAutopilot使用時にドライバーが十分に注意を払っていない状態を検出・警告するという。カメラのデータは共有を有効にしない限り、保存されたり外部に送信されたりすることはないとのこと。

他社の先進運転支援システムではカメラの映像を用いて運転席にドライバーが座っていることを確認する仕組みを備えるが、これまでAutopilotは同様の仕組みを備えておらず、Autopilotが有効な状態でドライバーが助手席や後部座席へ移動することも可能だった。ただし、Teslaは完全自動運転(FSD)ベータテストで十分な注意を払わないオーナーをベータプログラムから除外しており、イーロン・マスク氏はカメラで注意力低下を検出しているのかという質問に「Yes」と答えていた。

英情報コミッショナー事務局、ユーザーの意図に反した追跡を損害と認めなければデータ侵害を取り締まれなくなると示唆

スラド

著者: headless

2021年5月4日 19:18

英情報コミッショナー事務局(ICO)が英最高裁に対し、ユーザーが自分のデータをコントロールできなくなることを「損害」と認めなければデータ侵害を取り締まれなくなると示唆しているそうだ(The Registerの記事[1]、 [2]、 HackReadの記事)。

本件はGoogleがiPhoneのSafariでデフォルト設定のサードパーティcookieブロックを迂回し、ユーザーを追跡していたことについて2017年に提起された代表訴訟に関するものだ。一審では訴えが認められなかったが、二審で逆転したため、Googleが上告していた。ICOは訴訟当事者ではないが、代理人の弁護士が第三者として訴訟に加わっている。

オプトイン方式の日本の集団訴訟とは異なり、英国(イングランドとウェールズ)の代表訴訟は同じ損害を受けたすべての人を原告代表が代表する点で米国のクラスアクション訴訟に近いものだが、代表される全員がまったく同じ利害関係を持つ必要があるという。そのため、Google側はユーザー追跡による損害を受けた人が何人いるか確認しようがなく、訴訟は棄却されるべきだと主張しているとのこと。

しかし、ユーザーの意図に反してWebアクセスを追跡すれば、ユーザーが自分のデータをコントロールできなくなることになる。そのため、ユーザーの意図に反する追跡自体が損害と認められなければ、データ侵害が発生してもデータの悪用による被害が発生しない限り取り締まれなくなる、というのがICOの弁護士の見解のようだ。

スラド
GoogleのFLoC、Chrome以外のメジャーブラウザーはサポートしない雰囲気 2021年4月19日 17:06

GoogleのFLoC、Chrome以外のメジャーブラウザーはサポートしない雰囲気

スラド

著者: nagazou

2021年4月19日 17:06

headless 曰く、

サードパーティcookieを使用せずに関連性の高い広告を表示する仕組みとしてGoogleはFLoC(Federated Learning of Cohorts)を開発しているが、Chrome以外のメジャーブラウザーはChromiumベースのものを含めてサポートしない雰囲気になっている(The Vergeの記事、 Windows Centralの記事)。

FLoCは共通の興味を持つユーザーを大きなグループに分けることで関連性の高い広告を表示しつつ、個別のユーザーを群衆の中に隠すことができると説明されているが、ユーザーの合意なく追跡されることに違いはない。BraveとVivaldiはブログで明確にFLoC無効化を表明しており、Operaは現時点で有効化する計画はないとThe Vergeに回答している。

MicrosoftはThe Vergeに対し、明確にMicrosoft EdgeでFLoCを無効化するとは断言しなかったものの、全体的には反対の雰囲気だ。ただし、ブラウザーベースで個別のユーザー特定を必要としないものや、IDベースでユーザーの合意とファーストパーティの関係によるものなど、関連性の高い広告を表示する仕組みを探っていると述べ、Microsoftが提唱する、プライベートで匿名化されたリクエストにより広告の実効性を維持しつつ透明性を高める「PARKEET」を例に挙げている。

Mozillaは多数提案されているプライバシーを維持する広告表示の仕組みを検討しているが、現時点で実装予定のものはないと回答。The VergeではAppleに直接問い合わせていないとのことだが、WebKitエンジニアのJohn Wilander氏がBraveのFLoCに対する姿勢を紹介したツイートへの質問に答え、(Safariに)実装するとは言っていないと述べている。

監視カメラサービスがハッキングを受ける。企業や病院、警察、刑務所など15万台以上の映像が流出

スラド

著者: nagazou

2021年3月12日 18:01

クラウド型のビル監視・運用ツールを提供しているスタートアップ企業のVerkadaが外部からハッキングされたそうだ。これにより同社の利用者15万台以上のカメラ映像が流出したと報じられている（Bloomberg、ブルームバーグ、Engadget）。

犯行はSuper Administratorの権限を入手する手法で実行されたとされる。被害は電気自動車メーカーのテスラが利用している222台ものカメラのほか、Cloudflareをはじめ病院、警察、刑務所、学校、そしてVerkada自身がオフィス等に設置している監視用ネットワークカメラに関しても映像が流出したとされる。また全顧客の映像記録全てにもアクセスできたそうだ。

病院を含む一部のカメラでは、Verkadaが提供している顔認識技術を使用して、映像でキャプチャされた人物を識別および分類することもできた。Bloombergの記事によれば、Verkadaは不正アクセスを防止するため、すべての内部管理者アカウントを無効にしたとする声明を出しているという。なおVerkadaの公式サイト上には今のところリリース等は出されていない。

この件に関して、被害にあった一社であるCloudflareが自社ブログで、事件の経緯や被害状況について解説する記事を掲載した。Cloudflareは、サンフランシスコ、オースティン、ニューヨーク、ロンドン、シンガポールのオフィスの監視にVerkadaのサービスを使用しているという。同社はVerkadaからハッキングの連絡を受けると、すべての場所のカメラをシャットダウンした。なお先の話題にあった顔認識アプリは同社では使用していないと説明している（Cloudflare、GIGAZINE）。

ノーマルビュー