Chrome
コンピューターはカメラからユーザーを見張るだけでなく、会話をこっそり盗み聞きすることもできるようです。そのために必要なのは、対象となるコンピューターにGoogle Chromeがインストールされていること、そしてコンピューターにマイクが付いていること。これだけです。
最近のWebサイトがさまざまなコンピューター周辺機器とやりとりできるというのは、多くの人が知るところ。もちろん、ユーザーの同意が必要になりますが、通常、このプロセスはとても簡単で、「はい」というボタンを1回クリックするだけです。たとえば、ソーシャルネットワークのプロフィールに写真をアップロードする場合、Webサイトが表示したポップアップのリクエストを確認し、コンピューターの内蔵カメラで写真を撮ることを許可するだけ。ユーザーが付与した権限は、Webサイトに悪用されないように、利用後にブラウザーがWebページから取り上げる必要があります。しかし、Webリソースがユーザーの同意を得ずにコンピューター機能の一部をコントロールし続けることが可能だというのです。本当なのでしょうか？
イスラエルのソフトウェア開発者タル・アテル（Tal Ater）氏は、その可能性が十分にあることを証明しました。アテル氏が人気ブラウザーGoogle Chromeのコードの中に発見したぜい弱性は、サイバー犯罪者に悪用されると、普通のコンピューターがユーザーをスパイするのにうってつけのツールに変わってしまう恐れがあります。犯罪者がやらなければならないのは、ユーザーが音声認識機能を利用するように仕向けて、Webサイトが1回だけマイクをオンにするのを許可させることだけです。犯罪者はその瞬間から音声をマイクで録音できるようになり、ページが閉じられた後も録音できる状態が続きます。さらに、録音中はChromeのバーのインジケーターが赤く点滅して、録音中であることがわかるようになっていますが、これが都合良くオフになるため、ユーザーは録音が終わったものと信じ込んでしまうのです。
アテル氏は自分の発見を証明するために4分間の動画を撮影しました。この動画では、音声のテキスト変換機能を使用する感染したWebページをユーザーが開き、閉じた後もブラウザーがバックグラウンドモードで録音を続けている様子がよくわかります。その後、音声データはGoogleのサーバーに送られてテキストに変換され、犯罪者の手に落ちるのです。
さらに悪いことに、音声認識機能のあるWebサイトの大半は、保護されたHTTPS接続を使用していますが、このような場合、Chromeはそのページがマイクの使用を許可されたことを記憶するため、次に開いたときはユーザーに許可を求めません。その上、先述のぜい弱性は、特定の言葉で自動的に録音が開始されるように改造できる可能性もあります。ユーザーをスパイするための既製品ツールというわけです。
非常に興味深いことに、Googleは昨年9月からこのぜい弱性を認識していました。アテル氏は自身の発見を公表する前に、Googleに連絡してこのぜい弱性を知らせていたのです。それから2週間とたたないうちに、バグが修正されてパッチの準備ができたという確認が同社の関係者からアテル氏に送られてきましたが、その4か月後になってもパッチは公開されていません。
最も重要なブラウザーの1つを開発している企業が、なぜこんなおかしな対応をしたのかは、推測することしかできません。当面は、警戒を怠らないようにして、Chromeを利用する際は音声認識機能の使用を控えた方がいいでしょう。最後の手段は、すべてのブックマークと実行中のプロセスとともに、Chromeをオフロードすることです。そうすれば録音が不可能になり、データがサイバー犯罪者に送られることもないでしょう。
