10億人のユーザーを巻き込むマイニング界の大物シェン・ユー：テンセント、百度、シャオミなど8つの入力方式ソフトに深刻な脆弱性

有名な暗号通貨マイニングプールF2Poolの共同設立者であるShen Yu氏は、月曜日（4月29日）にツイッターで警告を発し、最大10億人のユーザーが使用しているクラウドベースの入力メソッドから入力データが流出している可能性を示唆した。同氏は、中国の8つの入力メソッドソフトウェアには深刻な脆弱性が存在し、暗号通貨ウォレットの秘密鍵の流出を防ぐために注意が必要であると強調した。

シェン・ユーは、10億人以上のユーザーが使用しているクラウドベースのピンイン入力方法ソフトウェアが、入力内容を流出させた可能性があると指摘した。もしユーザーが後述する入力方法で財布のニーモニックフレーズやその他の機密情報を入力した場合、ハッカー侵入のリスクを減らすために適切な対策を講じるよう促した。

The Citizen Labの引用によるShen Yuのツイートによると、Baidu、Honor、Huawei、iFlytek、OPPO、Samsung、Tencent、VIVO、Xiaomiを含む9つのソフトウェア提供企業が分析された。このうち8社の入力方式ソフトウェアに深刻な脆弱性があり、ファーウェイだけが免れた。

Sogouの入力方法に見つかった脆弱性を含め、これまでの研究を合わせると、少なくとも10億人のユーザーが影響を受けていると推定される。その理由としては、ユーザーの入力データを大規模に収集する可能性があることなどが挙げられる。

シチズン・ラボは、この脆弱性が広範なユーザー層に影響を与えること、キーボードに入力される情報は非常に機密性が高いこと、これらの脆弱性を発見するのに高度な技術的スキルは必要ないこと、過去にファイブ・アイズ同盟が監視目的で中国のアプリの同様の脆弱性を悪用したことがあること、などの懸念を示した。

ファイブ・アイズは、オーストラリア、カナダ、ニュージーランド、英国、米国で構成され、UKUSA協定に基づく国際的な情報共有グループを形成している。

ソフトウェアプロバイダー9社のアプリケーションを対象に実施したテストでは、ユーザー入力内容のクラウドへのアップロードに関するセキュリティ上の問題がなかったのはファーウェイの製品だけだった。他のソフトウェア・アプリケーションにはそれぞれ少なくとも1つの脆弱性があり、受動的なネットワーク攻撃者がユーザー入力の内容を完全に監視できるようになっていた。

逆に、アップル社のiOSシステムには脆弱性は見られなかった。

能動的なネットワーク盗聴攻撃は、暗号化されたコンテンツを解読するために、メッセージ送信中に少量のデータを変更するなどの信号を送信する必要があり、比較的検出が容易である。

受動的なネットワーク盗聴攻撃は信号を発する必要がなく、送信中にデータを読み取るだけで解読できるため、発見が難しくなる。

脆弱性を検出したシチズン・ラボは、その情報をソフトウェア会社に提出した。しかし、より深刻な脆弱性のいくつかにパッチを当てた企業もあれば、何の修復もしていない企業もあることが分かっている。

セキュリティ意識を高めるため、シチズン・ラボはSogou、QQ、Baidu、iFlytekの入力方法を使用しているユーザーに対し、アプリストアから手動でインストールした場合でも、オペレーティングシステムにプリインストールされている場合でも、入力方法とオペレーティングシステムを最新の状態に保つよう助言した。

同団体はまた、プライバシーを重視するユーザーは、入力方法でクラウド機能を無効にすべきであり、プライバシーを重視するアップルiOSユーザーは、入力方法で「フルアクセス」を有効にすべきではないとも指摘している。