実験：スマートウォッチは持ち主の行動を簡単にスパイできるのか

スマートウォッチは、持ち主の行動をこっそり監視できるのでしょうか。確かにそうしたことは可能であり、すでに多くの方法が知られています。今回取り上げるのはまた別の手口、スマートウォッチに内蔵されているモーションセンサーを利用する方法です。スマートフォンにインストールされているスパイアプリが、スマートウォッチに内蔵のモーションセンサー（具体的には加速度計とジャイロスコープ）のデータをリモートサーバーに送信。そのデータをつなぎ合わせることで、スマートウォッチを着用した人の行動（歩く、座る、キーボード入力する）を把握することが可能なのです。

この脅威の影響する範囲はどれほどか、実際にどのようなデータが抜き出され得るのか。Kaspersky Labで調査してみました。

実験：スマートウォッチの動きでパスワードは分かるのか

実験では、Androidのスマートウォッチを用意し、加速度計データの処理と転送だけを行うアプリを作成し、このデータから得られた情報を分析しました。詳しいレポートはこちらからご覧いただけます（英語記事）。

このデータから、スマートウォッチを着用した人が歩いているのか座っているのか、実際に分かります。さらに深く掘り下げると、外を歩いている、地下鉄を乗り換えている、といったことも把握できます。なぜかというと、行動によって加速度計のパターンが微妙に異なるためで、フィットネストラッカーはこのパターンの違いから、たとえばウォーキングしているのかサイクリングしているのかを認識しています。

コンピューターに何か入力している、という行動も簡単に認識できます。ただし、何を入力しているか突き止めるのは、そう簡単にいきません。タイピングの仕方は人によって違います。10本の指を全部使って入力する人もいれば、1本指や2本指だけで打鍵する人もいますし、その中間の人もいます。基本的に、同じフレーズであっても、入力する人が異なると加速度計の信号には大きな違いが現れます。しかし、同じ人が1つのパスワードを続けて何度か入力した場合に生成された信号をグラフ化すると、非常によく似た形が現れます。

したがって、特定の個人の入力パターンを認識できるようにニューラルネットワークをトレーニングすれば、何を入力したかまで分かるようになるかもしれません。ということは、あなたのタイピングの癖をニューラルネットワークが学習したならば、あなたが腕に着けているスマートウォッチの加速度計のデータを分析して、手の動きからパスワードを割り出せる可能性があるということです。

とはいえ、そこまでできるようになるには、かなり長期間にわたって対象者を追跡し、ニューラルネットワークをトレーニングする必要があります。スマートウォッチに現在搭載されているプロセッサーにはニューラルネットワークを直接動かすほどのパワーはないため、データをサーバーへ送信しなければなりません。

スパイ行為を企む人間にとっては不都合な話です。加速度計のデータをたびたびアップロードすると、インターネットトラフィックをかなり消費しますし、バッテリーの保ちが悪くなります（当社の実験では6時間でした）。トラフィックの増加もバッテリーの消耗も分かりやすい異常の兆候ですから、スマートウォッチの持ち主は、何かがおかしいと気付きます。しかし、たとえば標的とする人物が会社に着いてパスワードを入力すると思われる時間にのみデータが送信されるようにするなど、対象とするデータを限定すれば、そうした負荷を最低限に抑えるのは難しいことではありません。

まとめましょう。スマートウォッチを利用して入力内容を突き止めることは可能です。ただし、簡単ではありません。正確に見破るには、テキストの繰り返し入力が鍵になります。私たちの実験では、コンピューターのパスワードを見破る精度は96%、ATMの暗証番号の場合は87%でした。

最悪の事態というわけではない

しかし、サイバー犯罪者側からすると、加速度計からデータを手に入れただけでは不十分です。データを利用するには、コンピューターまたはクレジットカードにアクセスする必要があります。カード番号やセキュリティコードを突き止める作業は、さらに難易度の高いタスクです。

なぜ難しいか。スマートウォッチを着けた人が会社に戻ってきたとき、最初に入力するのは、まず間違いなく、コンピューターをロック解除するためのパスワードです。ということは、加速度計のグラフが示すのは、まずは歩行、次にキーボード入力です。この短時間のうちに取得されたデータからでも、パスワードを復元することは可能です。

しかし、クレジットカード番号についてはどうでしょうか。席に着くなりカード番号を入力する人はいないでしょうし、入力した後すぐに席を離れる人もいないでしょう。それに、そもそもカード番号を短時間に連続して入力することなどあるでしょうか。

スマートウォッチからデータ入力情報を盗むには、行動が予測可能である、その行動の後にデータ入力が複数回行われる、という条件を満たす必要があります。余談ですが、複数のサービスで同じパスワードを使い回してはいけない理由の1つは、ここにあります。

心配すべきなのはどういう人か

今回の調査では、スマートウォッチのモーションセンサーから取得したデータを利用し、スマートウォッチ着用者の動作、習慣、一部の入力内容（たとえばコンピューターのパスワード）などの情報が得られることが分かりました。

サイバー犯罪者にこういった情報を渡すデータ詐取マルウェアは、単純な方法でスマートウォッチに感染させることができます。おしゃれな時計の文字盤やフィットネストラッカーのようなアプリを作って、加速度計のデータを読み取る機能を忍び込ませ、Google Playで公開すればいいのです。見た目上は悪質な動きをしないため、このようなアプリは、理論上、マルウェアをふるい落とすための審査を通過してしまうと考えられます。

自分が誰かにスパイされている可能性を気にしたほうがいいのでしょうか？そうしたことをする強い動機を持つ人に心当たりがないのなら、あまり心配しなくてよいでしょう。一般的なサイバー犯罪者は、こういったスパイ行為から大した利益を得られませんし、普通は簡単にカモになりそうな人を狙うものです。

しかし、あなたのコンピューターのパスワードや通勤経路を知りたがっている人にとって、スマートウォッチは有効な追跡ツールです。もしもそんな人に心当たりがあるのであれば、以下の対策をお勧めします。

• スマートウォッチの通信量が過剰ではないか、またバッテリーの減りが早過ぎないかに注意しましょう。
• アプリに不必要な権限を与えないでください。アカウント情報や位置情報を取得しようとするアプリには、特に注意しましょう。こうした情報がなければ、攻撃者としては目的とするスマートウォッチに感染したのか判断しにくくなります。
• スマートフォンにセキュリティ製品をインストールして、スパイ行為を始める前にスパイウェアを検知できるようにしてください。