スラド
WhatsApp ユーザーのものとされる5億件近い電話番号データが売りに出される 2022年11月27日 13:30

WhatsApp ユーザーのものとされる5億件近い電話番号データが売りに出される

2022年11月27日 13:30

WhatsApp ユーザーのものとされる世界 84 か国、計 4 億 8,700 万件の電話番号データが売りに出されているそうだ (Cybernews の記事、 Neowin の記事)。

電話番号データの販売情報は、ある人物が 11 月 16 日によく知られたハッキングコミュニティに投稿したものだという。件数の最も多いのはエジプト (約 4,482 万件) で、イタリア (約 3,568 万件) と米国 (約 3,232 万件) が続く。数は少ないものの日本の電話番号も約 43 万件含まれている。

この人物は Cybernews に対し、米国のデータセットが 7,000 ドル、英国 (約 1,152 万件) が 2,500 ドル、ドイツ (約 605 万件) が 2,000 ドルだと説明したそうだ。Cybernews は英国 1,097 件分、米国 817 件分のサンプル提供を受け、確かに WhatsApp ユーザーのものであることを確認したとのこと。販売者は入手法について説明しなかったが、Cybernews はスクレイピングによるものだと考えているようだ。

作業に必要ないファイルにアクセスする電子機器修理サービスの担当者、依頼者が女性の場合に特に多いという調査結果

スラド

著者: headless

2022年11月26日 11:39

カナダ・グェルフ大学の研究グループが電子機器修理サービスプロバイダーによる個人ファイルの扱いを調べたところ、修理担当者が作業に必要ない個人ファイルにしばしばアクセスしており、修理依頼者が女性の場合は特に多いことが判明したそうだ (U of G News の記事、 Ars Technia の記事、 PCMag の記事、論文アブストラクト)。

研究グループの調べによると、カナダで利用可能な電子機器修理サービスプロバイダーでは規模の大小にかかわらず、デバイスに顧客が保存した個人データを保護するプライバシーポリシーが用意されていないという。また、Windows 10 のプリインストールされた新品のノート PC を 6 台を購入し、オーディオドライバーを無効化して実際に修理を依頼する実験も行っている

実験では 3 台ずつ男性と女性の所有者という設定で個人ファイルやインターネットサービスのアカウント、ブラウザーの閲覧履歴などのほか、男女にかかわらず露出度の高い女性の写真 (非ヌード) を格納し、これに合わせた性別の実験者が合計 16 の修理サービスプロバイダー (全国規模 4、地域規模 4、地元業者 8) に修理を依頼。Windows のステップ記録ツールと監査ポリシーを用いて修理担当者の操作内容を記録している。なお、実験にあたっては修理担当者のプライバシーにも配慮したとのこと。

このうち 2 件のサービスプロバイダー (地域 1、地元 1) では実験者の目の前で修理を終わらせており、別の地元修理業者 2 件では記録したデータが取り出せなかったという。残り 12 件のうち、4 件で修理担当者が「ドキュメント」フォルダーにアクセスしており、5 件で「ピクチャ」フォルダと露出度の高い女性の写真にアクセスしたそうだ。

こういった個人ファイルへのアクセスは修理依頼者が女性の場合に多く、男性の場合はそれぞれ 1 件にとどまる。一方、ブラウザーの閲覧履歴に修理担当者がアクセスしたのは 2 件で、修理依頼者はいずれも男性だった。このほか、2 件では修理担当者が顧客のデータをコピーしており、5 件ではアクセスしたファイルの履歴などを消去したという。

このような状況を消費者も不安に感じているようだ。112 名を対象に実施したアンケート調査では、故障したデバイスを修理しなかった人の 33 % (スマートフォン/タブレット: 79 人中 26 人、PC: 70 人中 23 人)がプライバシーを理由に挙げているとのことだ。

スラド
AppleがiOSデバイスから収集する解析データ、iCloudアカウントを特定可能な識別子が見つかる 2022年11月23日 15:26

AppleがiOSデバイスから収集する解析データ、iCloudアカウントを特定可能な識別子が見つかる

スラド

著者: headless

2022年11月23日 15:26

Apple が iOS デバイスから収集する解析データに「dsId」という識別子が含まれると Mysk が報告している (9to5Mac の記事、 The Verge の記事、 Mac Rumors の記事、 Mysk のツイート)。

Mysk は iOS の App Store アプリが個人を特定可能な情報を含めてアプリ内のユーザーアクティビティを Apple に送信していると報告しており、米国ではこれを受けたクラスアクション訴訟も提起されている。

Apple は iOS デバイス解析のサポート記事で収集された情報によって個人が特定されることはないと説明し、同じ iCloud アカウントを使用する複数のデバイスで解析情報の送信に同意するとデバイス間で一部の使用データを関連付けることもあるが、個人を特定しない形式で行われるとも説明している。

しかし、Mysk によれば dsId は「Directory Services Identifier」を意味し、iCloud アカウントを識別可能なユニーク ID だという。実際に iCloud の設定データに「dsPrsID」として同じ値が含まれるとのこと。Mysk はユーザーの設定にかかわらず送信される解析データの量が変わらないことも確認しており、App Store とプライバシーに関するサポート記事にも収集自体の無効化ができるとは書かれていない。そのため、Apple はユーザーに直接結びつけられた詳細な解析データを App Store から常に収集することになる。

スラド
インボイス制度の事業者の実名公表、国税庁が見直しへ 2022年9月27日 14:02

インボイス制度の事業者の実名公表、国税庁が見直しへ

スラド

著者: nagazou

2022年9月27日 14:02

以前、消費税の「インボイス制度」に登録するとペンネームなどを利用する個人事業者の本名が流出する可能性が指摘された話題を取り上げたが、朝日新聞によると国税庁が公表方法を見直す方針を決めたという。これまでは国税庁のウェブサイトから名前の一覧約20万件を誰でもダウンロードできる状況になっていた。これが22日夜に一時的に停止されたそうだ。国税庁によると、ダウンロードを一時的に停止し、このファイルの中で公表する情報の中身を見直すという（朝日新聞、INTERNET Watch）。

スラド
Brave、プライバシーに配慮した翻訳機能が利用可能になっていた 2022年9月25日 17:58

Brave、プライバシーに配慮した翻訳機能が利用可能になっていた

スラド

著者: headless

2022年9月25日 17:58

何も表示されないので気付かなかったが、Brave では 9 月初めにリリースされたバージョン 1.43.88 で翻訳機能「Brave Translate」が利用可能になっていた (Ghacks の記事、リリースノート)。

これまで Brave で外国語のページを表示すると、Google 翻訳拡張機能のインストールが提案されていた。Brave Translate では Vivaldiと同様に自前でホストする Lingvanex のサーバーを用いて翻訳を実行するため、プライバシーに配慮した翻訳が可能になるという。

ただし、Vivaldi と比較してプロンプトはシンプルで、言語変更などにはメニューからの操作が必要になる。対応言語も 15 程度と少なく、選択部分の翻訳にも対応しない。Lingvanex の使用については特に表示されないが、日本語への翻訳で Vivaldi と同じ文字が文字化けする。

機能的にはまだまだ不十分で Google 翻訳拡張機能と併用したいところだが、拡張機能が有効になっていると Brave Translate は使用できなくなるようだ。翻訳ツールの表示が指定された言語のページでプロンプトが表示されなくなるだけでなく、ページのコンテキストメニューにも翻訳のオプションが表示されなくなる。機能が有効になってから 3 週間も気付かずにいたのはこれが原因のようだ。

スラド
Chrome / Edge の高度なスペルチェック機能、パスワードをサーバーに送信する可能性 2022年9月22日 08:02

Chrome / Edge の高度なスペルチェック機能、パスワードをサーバーに送信する可能性

スラド

著者: nagazou

2022年9月22日 08:02

headless 曰く、

Google Chrome や Microsoft Edge の高度なスペルチェック機能を利用すると、ウェブサイトによっては個人を特定可能な情報 (PII) が Google や Microsoft に送られるほか、パスワードが送られてしまうこともあると報告されている (otto のブログ記事、 BleepingComputer の記事、 BetaNews の記事、 Ghacks の記事)。

Chromeの高度なスペルチェック機能は設定画面の「言語」でスペルチェックを有効にし、「拡張スペルチェック」を選択すれば利用できる。Edgeの方は拡張機能「Microsoft エディター」をインストールし、設定画面の「言語」に追加される文書作成支援機能の使用を有効にして「Microsoft エディター」を選択すればいい。ただし、環境によっては拡張機能をインストールしていなくても設定画面に表示されることがあるようだ。

Chrome ヘルプでは拡張スペルチェック有効時に入力したテキストが Google に送信されると明記されており、意図したとおりの動作ではある。ただし、ウェブページ側で制限しなければログイン画面やサインアップ画面に入力した PII なども送信されてしまう。また、パスワード入力フィールドで入力済みパスワードを表示する機能を使用すると、パスワードが送信されるという。

高度なスペルチェック機能を利用しつつ問題を避けるには、送信されたくない情報を含むフィールドに「spellcheck = "false"」属性を付加すればいいとのことだ。

スラド
ビデオ会議で眼鏡に映り込んだ画面から漏洩する情報に関する研究 2022年9月19日 17:38

ビデオ会議で眼鏡に映り込んだ画面から漏洩する情報に関する研究

スラド

著者: headless

2022年9月19日 17:38

ビデオ会議中、眼鏡に映り込んだ画面から漏洩する情報について、米ミシガン大学と中国浙江大学の研究グループが研究成果を発表している (論文アブストラクト、 The Register の記事)。

Amazon Mechanical Turk のワーカーと OCR モデルにより研究室環境で用意した 720p のウェブカメラ映像を処理する実験では、画面上での表示サイズが高さ 10 mm のテキストを 75 % の正確さで復元できたという。そのため、ビデオ会議参加者が大きなフォントを用いるウェブサイトを画面に表示している場合、十分にテキスト読み取りが可能とみられる。また、テキストではなくグラフィカルなコンテンツから Alexa トップ 100 ウェブサイトを当てる実験では、94 % の正確さでサイトを推定できたとのこと。

このような情報は上司による部下の監視から、ビジネスの交渉に重要な情報の読み取りにまで用いられる可能性があり、将来的により高解像度な 4K などのウェブカメラが普及すればその危険性はさらに高まる。研究グループでは対策として、照明の位置変更などで眼鏡の反射を低減する物理的な方法や、映像の眼鏡部分にぼかしをかけるソフトウェア的な方法を提案している。眼鏡にぼかしをかけるフィルターのプロトタイプは GitHub で公開されている。

スラド
電子メールユーザーを追跡から守る DuckDuckGo Email Protection 2022年8月30日 08:03

電子メールユーザーを追跡から守る DuckDuckGo Email Protection

スラド

著者: nagazou

2022年8月30日 08:03

headless 曰く、

DuckDuckGo は 25 日、電子メールユーザーを追跡から守る DuckDuckGo Email Protection のベータ版からウェイトリストによる制限を外し、誰でも試すことが可能になったと発表した (Spread Privacy の記事、 Ars Technica の記事、 BetaNews の記事、 On MSFT の記事)。

DuckDuckGo Email Protection は @duck.com ドメインの電子メールアドレス (Duck アドレス) を使用するメール転送サービスで、Duck アドレスに届いたメッセージはトラッカーを除去したうえで指定アドレスに転送される。転送先から直接 Duck アドレスを使用して返信することも可能だ。個人用アドレスのほか、ランダムに生成されるユニークなアドレスを使用することもできる。電子メールアドレスの入力を求められるたびに新たに生成したユニークなアドレスを使用することで追跡をさらに防ぐことができ、スパムが届き始めたら無効化すればいい。

利用には DuckDuckGo ブラウザーか、DuckDuckGo 拡張機能をインストールした対応ブラウザーが必要だ。DuckDuckGo ブラウザーの場合は設定画面から「Email Protection」を選べば新規アカウントが作成できる。一方、拡張機能の設定画面では既存アカウントを設定することしかできず、新規アカウントを作成するには https://duckduckgo.com/email で設定する必要がある。

スラド
Samsung、修理中のスマートフォンからの個人情報漏洩を防ぐ「修理モード」を発表 2022年7月31日 17:38

Samsung、修理中のスマートフォンからの個人情報漏洩を防ぐ「修理モード」を発表

スラド

著者: headless

2022年7月31日 17:38

Samsung は 7 月 28 日、修理に出した Galaxy スマートフォンからの個人情報漏洩を防ぐという「修理モード」を発表した (Ars Technica の記事、 SamMobile の記事、ニュースリリース)。

修理モードは Galaxy スマートフォンの設定アプリで、バッテリーとデバイスのケアメニューから有効にできるという。修理モード有効化後、デバイスを再起動すると写真やメッセージ、アカウント情報といった個人のデータにアクセスできなくなり、プリインストール以外のアプリは利用できなくなる。修理モードの解除には指紋やパターン入力などによる認証が必要となり、修理モード中の設定変更は破棄されるようだ。当初、修理モードは Galaxy S21 シリーズにソフトウェアアップデートを通じて提供され、他のモデルにもその後提供予定だという。ただし、現時点で本件に関するニュースリリースは韓国版サイトにのみ掲載されており、他の地域でも提供されるのかどうかは不明だ。

スラド
米アリゾナ州、警察官の活動を至近距離でビデオ撮影すると違法になる州法が成立 2022年7月13日 17:07

米アリゾナ州、警察官の活動を至近距離でビデオ撮影すると違法になる州法が成立

スラド

著者: nagazou

2022年7月13日 17:07

headless 曰く、

米アリゾナ州で警察官の活動を至近距離でビデオ撮影すると違法になる州法が成立した (法案情報、法案 HB2319 最終版、 Ars Technica の記事)。

この州法では法執行活動が行われていると知りながら 8 フィート以内からビデオ撮影する行為が違法となる。ただし、法執行活動が私有地内の囲われた空間で行われている場合であって、その場所に入ることを認められている人が 8 フィート (約 2.4 m) 以内からビデオ撮影することは認められる。また、容疑者など法執行活動の対象となっている本人や、検問で止められた車の中にいる人がビデオ撮影することも認められる。これらの例外は警察官が公務執行妨害や危険行為だと判断した場合は適用されない。違反した場合は 3 級軽罪となり、最高 500 ドルの罰金または最高 30 日間の実刑、最高 1 年間の保護観察処分を受ける可能性がある。

提案者のアリゾナ州下院議員ジョン・カバナー氏が USA TODAY に寄稿した Op-Ed によれば、敵意を持って警察官に付きまとい、危険な近距離でビデオ撮影しようとするグループが存在するのだという。カバナー氏に提案を依頼したトゥーソン市の警官らによると、1 ～ 2 フィートの至近距離で撮影されることもあるそうだ。

一方、ACLU Arizona は法案が (言論の自由や請願権を定めた) 合衆国憲法修正第 1 条に違反すると以前から反対していた。法案の成立を受けて、警察の悪事に対抗する最も効果的なツールを使用しようとする市民を委縮させ、警察官に違法行為の責任を負わせることがより難しくなるなどと改めて批判している。

すべて読む | YROセクション | 犯罪 | YRO | 政治 | アメリカ合衆国 | プライバシ |

スラド
中国で10億人規模の個人情報が流出 2022年7月6日 13:03

中国で10億人規模の個人情報が流出

スラド

著者: nagazou

2022年7月6日 13:03

中国で公安当局が管理する10億人分の個人情報が流出したようだ。6月30日にハッカー向けWebページ「Breach Forums」に「上海国家警察データベースから中国国民10億人の情報が漏れた」と書き込んだことで発覚。その上で全データを2700万円で売るとしていた。（Bloomberg、日経新聞、iPhone Mania、時事ドットコム）。

このデータには中国人10億人の氏名や住所、出生地、身分証と携帯電話の番号、過去の犯罪歴が含まれる。販売対象のデータ容量は23TBほどあるという。サンプルとして公開された75万件のデータには、窃盗や家庭内暴力など、1995~2019年に警察が把握した事件の内容が含まれていた。報道機関により本物と確認されたものもあった模様。警察データベースという事もあり、警察に通報した人の名前や時間、通報された人と具体的な事件の内容もデータには詳しく記録されているという。またタレコミの元となっているソースによると、犯人はAlibabaのプライベートクラウドから情報が漏洩したと説明しているようだ（Zeyi Yang氏のツイート）。

スラド
尼崎全市民の個人情報USBメモリが流出。設定されたパスワードの桁数を会見で公表→発見される 2022年6月24日 12:01

尼崎全市民の個人情報USBメモリが流出。設定されたパスワードの桁数を会見で公表→発見される

スラド

著者: nagazou

2022年6月24日 12:01

6月23日、兵庫県尼崎市は全市民の住民基本台帳などのデータが入ったUSBメモリを紛失したと発表した。USBメモリの中には住民基本台帳に記載されてる情報のほか、生活保護や児童手当を受けている世帯の口座情報なども保存されていたとされる。発表ではUSBのファイルはパスワードをかけて暗号化処理されていたことから、23日11時時点では漏えいは確認されていないとされている（神戸新聞NEXT、NHK、日経新聞、TBS NEWS DIG）。

ところが尼崎市による記者会見の際、USBメモリに設定されたパスワードの桁数に関して職員がバラしてしまうという大失敗を犯している。ネット上ではその公開された桁数を元に、地名や日付を組み合わせてパスワードを推測する行為などもおこなわれていたようだ（ITmedia）。

この騒動に合わせて、「尼崎のUSB」なるものがメルカリに出品されていたことも報じられている。おそらくイタズラだと思われるが商品の説明では、

先日から尼崎で使用しているUSBメモリです。パスワードを書けたまま忘れてしまい、中を開くことができないのでお譲りします。諸事情により、中のデータはそのままで出品いたしますので、新しく使用したい場合は、お手数ですがそちらで初期化の手順を踏んでください。

といった内容が書かれていた。価格は尼崎市の人口に合わせて45万2600円に設定されていた。なおこの出品は現在削除されているとのこと（FNNプライムオンライン[動画]）。この出品物に関しては、尼崎側が偽物であると判定したとのこと。なお紛失した従業員は当日、居酒屋で酒を飲み泥酔、午後10時半に店を出ると、午前3時ごろまで路上に寝ていたことが新たに報じられている（FNNプライムオンライン）。

追記：尼崎市は24日、紛失したとされていた市はUSBメモリーが発見されたと発表した。市は委託業者から電話連絡があり、鞄とともに発見されたとしている。発見された経緯などについては不明（読売テレビニュース、Yahoo!ニュース）。

スラド
「新・破産者マップ」が出現 2022年6月22日 12:00

「新・破産者マップ」が出現

スラド

著者: nagazou

2022年6月22日 12:00

以前も物議を醸した破産者マップがまた復活したようだ。このときのマップは批判を浴びて閉鎖。しかし2022年3月に復活し、個人情報保護委員会がサイトの停止命令を出し、こちらも5月下旬に検索結果から削除されていた（ITmedia、弁護士ドットコム、まぐまぐ）。

ITmediaの記事によれば、6月20日に存在が確認された「新・破産者マップ」では、2009年から2018年までの破産者の氏名と住所を掲載。地図上に載った破産者の情報を削除したい場合は6万円分のビットコインを、ピンごと削除する場合は同じく12万円のビットコインを支払えというものとなっているとのこと。新・破産者マップ側の主張によると、サイトの運営は海外でおこなわれており、現地の法律が適用されるなどと主張している模様。

この件に関して、個人情報保護委員会は21日、ITmediaの取材に対して、「海外を拠点にしているとの情報もあるため、事実確認の調査の上で適切な対処をしたい」と方針を示している（ITmedia）。

すべて読む | YROセクション | 犯罪 | プライバシ |

スラド
英政府、cookie 保存をオプトアウト化する計画 2022年6月19日 19:27

英政府、cookie 保存をオプトアウト化する計画

スラド

著者: headless

2022年6月19日 19:27

英デジタル・文化・メディア・スポーツ省は 17 日、cookie 保存のオプトアウト化を含む EU 離脱後の新しいデータ保護法案 Data Reform Bill の概要を公表した (ニュースリリース、 The Guardian の記事、 The Register の記事、 BetaNews の記事)。

現在のオプトイン方式では新しいサイトへアクセスするたびに cookie の保存許可を求める画面が表示され、ユーザーの操作が必要になる。オプトアウト化することで確認画面の表示が減り、ユーザーの負担も減るとのこと。方法としてはブラウザー側の設定で cookie を保存するかどうか決めるといったものを想定しているようだ。

このほか、データ保護に関する企業の負担減や、ユーザーの承認なくマーケティング目的で連絡した場合の罰金増 (GDPR の 35 倍以上)、情報コミッショナー事務局 (ICO) の近代化、科学研究目的でのユーザー情報収集の容易化、国際的データ移動の容易化が挙げられている。

cookie のオプトアウト化に対しては、ユーザーをスパイすることがデフォルトになるなどといった批判も出ているが、ブラウザー側の設定でオプトアウトできるなら問題ない気もする。スラドの皆さんのご意見はいかがだろうか。

すべて読む | YROセクション | 英国 | YRO | 政治 | 政府 | プライバシ |

スラド
米国でAirTagを悪用した殺人事件 2022年6月17日 16:11

米国でAirTagを悪用した殺人事件

スラド

著者: nagazou

2022年6月17日 16:11

AirTagを悪用した殺人事件が発生してしまったようだ。事件は6月3日、米インディアナ州のパブの駐車場で起きた（IndyStar、GIGAZINE）。

パブの外で被害者となった男性が容疑者の乗った車に複数回はねられて死亡。自称恋人を名乗る26歳女性が容疑者として逮捕されている。供述書によると、彼女は被害者の浮気を疑っており、その行動するためにApple AirTagとGPSを使用して追跡していた。別の女性とバーで被害者を見つけたことから衝動的に犯行に及んだようだ。

浮気相手として事件当時に男性と一緒にいた女性は証言で、被害者が容疑者から『あなたの居場所を知っている』というメールが送られ続けていたと話していたという。すでにこうしたAirTagを用いたストーキング行為は米国内でも多発しており、こうした行為を取り締まる法案も米国オハイオ州では提出されているという。

nemui4 曰く、

予想通りというか、なんというか、ご愁傷様です。

Google、フォトアプリのフェイスグルーピング機能をめぐり米イリノイ州のユーザーに1億ドルの和解金

スラド

著者: nagazou

2022年6月9日 08:04

headless 曰く、

Googleフォトのフェイスグルーピング機能をめぐり米イリノイ州で提起されたクラスアクション訴訟で、Google が 1 億ドルを支払うことに合意したそうだ (訴訟特設サイト、 The Verge の記事、 9to5Google の記事、 Gizmodo の記事)。

イリノイ州では生体識別情報のプライバシー保護を定める法律 Biometric Information Privacy Act により、生体識別情報を収集する場合は保持期間等を定めるポリシーの公開や、対象者への事前の告知などが必要になる。フェイスグルーピング機能は写真に写っている顔を検出して同一人物のものである顔を含む写真をグループ化するというものだが、法律の規定に従っていなかったため、州内のユーザーが州裁判所にクラスアクション訴訟を提起していた(PDF)。

クラスメンバーとなるのは 2015 年 5 月 1 日から2022 年 4 月 25 日までの間に顔が写った写真が Google フォトに保存されていたことがあるイリノイ州の住人だ。該当者は訴訟サイトで 9 月 24 日までに請求フォームを送信すれば和解金を受け取ることができる。和解金額は請求者数によって変動するが、およそ 200 ドルから 400 ドル程度になると見込まれている(PDF)。

なお、Google フォトヘルプには最近「フェイスグルーピングの保持ポリシー」が追加されており、英語版が追加されたのがクラス対象期間最終日の 4 月 25 日のようだ。

スラド
ExpressVPN、インド国内の物理 VPN サーバー撤去へ 2022年6月6日 17:03

ExpressVPN、インド国内の物理 VPN サーバー撤去へ

スラド

著者: nagazou

2022年6月6日 17:03

headless 曰く、

ExpressVPN は 2 日、インド政府が VPN プロバイダーにユーザーデータ保持を義務付けたことを受け、インド国内の VPN サーバーを撤去すると発表した (ExpressVPN のブログ記事、 HackRead の記事、 The Register の記事、 Neowin の記事)。

VPN ユーザーデータの保持義務付けは 4 月に CERT-In が発表した指令に含まれており、発効する 6 月 27 日以降はユーザーの実名や住所、電話番号、割り当てた IP アドレス、利用パターンなどを最低 5 年間保持する必要がある。この指令はサイバー犯罪を防ぐためのものであるが、ユーザーのオンラインアクティビティをプライベートに保つという VPN の目的とは両立しないことや、当局による悪用の可能性もあることからインドからの物理的な VPN サーバー撤去を決めたとのこと。

なお、ExpressVPN はインドの IP アドレスで VPN サービスを利用可能な「バーチャル」インドサーバーをシンガポールと英国に設置しており、インドの IP アドレスが必要なユーザーは「India (via Singapore)」または「India (via UK)」を選択することでこれまでと変わらず利用できるとのことだ。

すべて読む | ITセクション | 犯罪 | YRO | 政治 | インターネット | 政府 | プライバシ |

スラド
岩手・釜石市で市民約３万人分全員の個人情報が漏えい 2022年5月30日 15:12

岩手・釜石市で市民約３万人分全員の個人情報が漏えい

スラド

著者: nagazou

2022年5月30日 15:12

岩手県釜石市で市民3万人全員の個人情報が漏えいしていたことが報じられている。職員2人が氏名や住所などの個人情報のデータを自宅のパソコンにメールで送るなどして持ち出していたという。野田武則市長がおこなった会見によれば、2人は共謀して2015年から今年4月までの間に氏名や住所、生年月日などが記載された住民基本台帳や業務上作成した表計算ソフトのデータを自宅PCなどに送るなどしていたという（IBC NEWS、NHK、岩手めんこいテレビ）。

これにより、住民基本台帳に記載されたおよそ3万2000人の個人情報、600人分のマイナンバー、世帯番号や収入が記載されたおよそ2万人分のデータが流出した。市はこの職員2人を26日付けで懲戒免職処分、2人を刑事告訴したと発表している。2人は「はっきりした理由はない。外部には漏らしていない」と話しているとしている。

すべて読む | セキュリティセクション | 犯罪 | YRO | 政府 | 情報漏洩 | プライバシ |

スラド
DuckDuckGo、Microsoft へのトラッキング許可発覚を受けてアプリの説明を更新 2022年5月29日 13:45

DuckDuckGo、Microsoft へのトラッキング許可発覚を受けてアプリの説明を更新

スラド

著者: headless

2022年5月29日 13:45

DuckDuckGo のブラウザーアプリ DuckDuckGo Privacy Browser がサードパーティサイトで Microsoft の追跡を許可していると指摘されたことを受け、Apple の App Store と Google Play ストアでアプリの説明を更新している (BetaNews の記事、 The Register の記事、 BleepingComputer の記事)。

この問題について DuckDuckGo CEO の Gabriel Weinberg 氏は、問題の機能 (サードパーティーの隠しトラッカーを検出してブロックするTracker Radar) は他の多くのブラウザーが対応しない一歩進んだ保護を提供するものだとしたうえで、Bing 検索の契約により検索とは無関係な DuckDuckGo サイト外で Microsoft の隠しトラッカーは読み込みを完全にはブロックできないと説明する。

アプリの説明には新たにサードパーティー cookie のブロックに関する記述が追加され、Tracker Radar の説明にはブロックするトラッカーがトラッキングスクリプトであると明記された。さらに、トラッキングスクリプトをブロックできないことがある理由として、検出が困難な新しいスクリプトの登場や、ブロックによりページの利用に問題が生ずる場合、Microsoft との契約上の制約により禁じられている場合を挙げている。

Weinberg 氏は制約を減らすか、なくすべく Microsoft と交渉しているとも述べているが、Microsoft との契約による制約は事前にわかっていたことであり、隠していたと受け取られても仕方のないところだろう。なお、日本語版の説明は現在のところ App Store・Google Play ともに未更新だ。

スラド
メンタルヘルスアプリのプライバシーやセキュリティ、多くが不十分との調査結果 2022年5月4日 17:25

メンタルヘルスアプリのプライバシーやセキュリティ、多くが不十分との調査結果

スラド

著者: headless

2022年5月4日 17:25

5 月のメンタルヘルス月間にちなみ、Mozilla がメンタルヘルスアプリやお祈り・瞑想アプリ計 32 本のプライバシーとセキュリティについて調査結果を公表している (Mozilla Foundation のブログ記事、 The Verge の記事、 SlashGear の記事、 Ghacks の記事)。

アプリ 1 本あたり最低 8 時間行ったという調査の結果、ユーザーデータの管理に強い懸念が持たれる「*Privacy Not Included」警告ラベルが付けられたアプリが 32 本中 28 本におよび、Mozilla の最低セキュリティ基準を満たさないアプリも 25 本あったそうだ。評価は Mozilla によるものと、ユーザーの投票によるものとの 2 種類。警告ラベルは Mozilla の評価のみによると思われるが、その評価基準は非常にわかりにくい。

たとえば子供向けアプリ「Breathe, Think, Do with Sesame」は個人情報の必要なアクティビティが少なく、ターゲティング広告にも使用しないと明言しているが、警告ラベルの対象だ。評価の内容をみるとプライバシーポリシーが 2013 年から更新されていないことと、マイクの使用許可が含まれるためアプリの脆弱性により子供のプライバシーが侵害される可能性があることことが懸念点として挙げられている。

具体的にプライバシーポリシーの内容に問題があるわけでも、脆弱性が見つかっているわけではないが、Mozilla の問い合わせに回答がなかった点で警告ラベルの対象になった雰囲気だ。お祈り・瞑想アプリ「Glorify」には当初警告ラベルが付けられていたが、問い合わせへの回答があったので警告ラベルを外したと説明されている。

また、Mozilla の評価アイコンは「👍」「👎」「✋」というもので、👍と👎の意図は明確だが、✋の意図ははっきりしない。✋が付けられているのは瞑想アプリ「Headspace」のみ。このアプリは警告ラベルの対象になっていないものの、Glorify とともに合格点ではないらしい。なお、✋は人差し指から小指までを曲げ、親指で右側を差すハンドジェスチャーの可能性もある。

一方、Mozilla は合格点のアプリとして「PTSD Coach」と「Wysa」を挙げているが、これらのアプリはプライバシー・セキュリティともに問題が見つかっていないため、問い合わせへの回答があったかどうかにも言及がない。

ノーマルビュー