格安スマートグラスに潜むセキュリティの重大な欠陥

スマートグラスをめぐるプライバシー上の懸念に加え、研究者たちは一部の安価なブランド製品にセキュリティ対策がほとんど施されていないことを発見しました。

ABCオーストラリアの報道によると、NSB CyberとAbstract Shieldの研究者らがA$60とA$110(約US$42とUS$78)という安価な2機種のスマートグラスをテストしたところ、グラス本体、専用アプリ、関連ウェブサイトにまたがって12件を超える欠陥が見つかったといいます。

研究者らが発見した主な問題は、Bluetoothペアリングのセキュリティが脆弱であることでした。グラスの電源が入っていて所有者のスマートフォンと接続されていない状態であれば、パスワードや有効なペアリング確認を一切求められることなく、攻撃者が先に接続できてしまうのです。

報告によると、接続に成功した攻撃者はグラスを操作して写真や録画を取得したり、既存のメディアデータをコピーしたり、グラスとスマートフォン間でやり取りされるデータを傍受したりすることが可能だったといいます。さらに、別のデバイスを被害者のグラスになりすまさせ、所有者のモバイルアプリに接続させることもできたとされています。

テストではまた、Bluetoothで確認可能なデバイス識別子と、アプリのウェブサイトに存在する脆弱性を組み合わせることで、ユーザーのメールアドレスと生年月日を取得できる可能性があることも判明しました。

この調査ではもう一つのプライバシー問題も明らかになりました。ABCの報道によれば、内蔵AIに送信された音声やテキスト、さらに画像は、まず深圳にあるサーバーに送信され、機能によってはそこからさらに別の場所へ転送される可能性があるといいます。データがその後どのように利用されたかについては、今回のテストでは確認されていません。

サーバーの所在地に加え、特定の質問に対するAIの回答内容などから、研究者らはこのチャットボット機能が少なくとも部分的に中国の主権AIモデルに依拠しているとの結論に至りました。今回のテストに関わった技術規制の専門家であるキンバリー・ウェザラル教授は、プライバシーポリシーで中国という所在地を明示していない点がオーストラリアのプライバシー原則(Australian Privacy Principles)に違反する可能性があると指摘しています。

今回のテストの実施時期にも注目すべき点があります。オーストラリアのスマートデバイスセキュリティ基準は、2026年3月4日以降に製造されたほとんどの消費者向けスマートデバイスに適用されます。この基準では、共通のデフォルトパスワードを設定しないことや、脆弱性を報告する手段の提供、セキュリティアップデートの最低保証期間に関する情報提供などが義務付けられています。ただし、この日付より前に製造されたデバイスは適用対象外となります。

ABCの取材に応じた専門家らは、今回の製品はオーストラリアのプライバシー法に違反しているほか、サイバーセキュリティ法(Cyber Security Act)の複数条項にも抵触する可能性が高いと述べています。ただし、新しいスマートデバイス基準が適用されるかどうかはグラスの製造時期に一部左右されるうえ、この規則が実際の法執行事例で検証された例はまだありません。

ウェザラル教授は次のように述べています。

「規則ではパスワードは固有のものでなければならないとされています。ですが、そもそもパスワードを適用していた形跡すら見当たりません。基準があまりに低すぎて、技術的にはこの規則にすら違反していないことになるのかもしれません。それがかえって驚きです」

対策

私たちはスマートグラスについて、高価なものであれ安価なものであれ、あまり肯定的な立場ではありません。ですが、もしすでに所有している場合は、以下の点に注意してください。

• 明確な物理的ペアリング手順、アカウント認証、公開された脆弱性報告の連絡手段、明記されたアップデート対応期間のいずれかを欠く安価なカメラ付きグラスは、ペアリングや使用を避けること
• 機密性の高い内容にAI機能やクラウド機能を使わないこと、専用アプリの不要な権限を削除すること、ファームウェアとアプリのアップデートを確認すること、メーカーが修正内容を文書で示せない場合は製品の返品を検討すること
• 人を撮影する前には必ず許可を得ること、また撮影に関して何が許され何が許されないかを地域の法律で確認すること

脅威を報じるだけでなく、取り除くために。

サイバーセキュリティのリスクを見出しの中だけの話で終わらせてはいけません。 今すぐMalwarebytesをダウンロードして、お使いのデバイスを脅威から守りましょう。