大口スポンサーに遠慮？

ネット掲示板などでは「こんな大問題を大口スポンサーのサムスンに遠慮して報じないのはけしからん」といった書き込みも見られた。本当に悪意があるかどうかは別にして、メーカーが「ファームウエアの書き換えといった緊急対応に備え、メンテナンス用の裏口を用意しておく可能性はあり得る」（日本人ハッカー）という。今回の裏口もその類なのだろうか。

ただ、それにしては「裏口にパスワードなどがなく無防備すぎる」と、このハッカーは指摘する。意図的に設けた裏口であれば、自分だけが使えるようになっているのが普通だそうだ。

一方で、報道直後から「単なるバグに過ぎず、意図的とまでは言えない」という見解も海外の技術系メディアなどに流れていた。バグに起因するセキュリティホールであり、悪意ある「裏口」ではないと弁護している。

実際、この開発者が公開した技術資料を見ると、この種の「裏口」に不可欠な乗っ取り用の「ルート権限」を取得できるのは、掲載されている9機種中「ギャラクシーS」1機種のみ。この「ギャラクシーS」というのは、日本では2010年10月に登場した3世代前のモデル。アンドロイドのバージョンも「2.2～2.3」と古く、ユーザーの買い換えも進み、今さら感が漂う。

告発した開発者が自身の技術力を誇示し、「レプリカント」の優位性をアピールするのが目的だった可能性もある。実際、投稿の末尾には、「レプリカント」の安全性を誇示する一文もしっかりと添えられている。オープンソース技術者の多くは、お金儲けより自身の技術力の高さをアピールしたがるものだ。

と言って、これで安心していいのだろうか。前出の日本人ハッカーによると「技術資料では言及されていないが、他の端末でもルート権限は無理でも、システム権限を奪えるのではないか」と指摘する。システム権限で侵入できれば、個人情報はすべて抜けるし、不正なアプリのインストールも可能だ。遠隔操作で極秘裏に音声通話を実行し、その場の会話を盗聴することもできる。

「ルート権限ほどではないが、それなりに危険なことは間違いない」という。つまり、単なるバグとは言っても、危険なセキュリティホールがあることに変わりはない。

本家サムスンは3月16日になって「セキュリティリスクはない」と完全否定した。その後は目立った追加報道もなく沈静化に向かった。ただ、意図的かバグかは別にして、脆弱なセキュリティホールがあったことは事実なのに、「リスクはない」と言い切るサムスンの門前払いには首を傾げるほかない。

一連の騒動は、ギャラクシーのみならず、スマホという便利なツールの限りない危うさを、改めて世界のユーザーに突きつけた。本誌1月号の記事（「サムスン震撼『丸裸』にされたギャラクシー」）が報じたハッキングコンテストのように、ハッカーがその気になれば、他人のスマホから情報を抜き取ることなどたやすくできるのだ。

このとき優勝した日本チームは、サムスン端末のハッキングに成功したのだが、同時に参加した中国のチームは、iPhoneのハッキングに成功している。「モバイルSafari」と呼ばれるブラウザ（閲覧ソフト）の脆弱性を利用し、フェイスブックの個人情報を抜き取ってみせた。アンドロイドやiPhoneに限らず、スマホは危険だらけなのだ。

たとえば、スマホの特徴ともいえるアプリ。グーグルやアップルが運営するアプリのダウンロードサービスでは、「ウイルスや課金方法の仕組みはチェックしていても、セキュリティチェックは行っていない」（アプリ開発者）という。実際、不正なアプリを利用した個人情報の抜き取り事件は頻繁に起きている。

信じるしかないLINE

誰もが利用する有名アプリの中にも、インストール後の起動時に個人情報の抜き取りを行っているものがあるそうだ。たとえば、世界で4億アカウントを突破し、今や世界有数のプラットフォームに成長した無料通話・メールのアプリLINEも、「かなりの情報を抜いている」（日本人ハッカー）という。

彼は、インストール後のアプリ起動時に端末内のデータへどの程度のアクセスを要求してくるのかをプログラムを改造してチェックしている。アプリが何かを要求するたびにポーズがかかり、何を抜こうとしているのかがわかる仕組みだ。

LINEは、個人情報管理に関する国際認証を取得していることをアピールし、安心・安全を訴えるが、個人情報の転売や横流しなど、企業側に悪意があれば国際認証など意味がない。ユーザーはLINEを信じるしかないが、日本の当局内には韓国資本の同社を警戒する目が光っていることも事実。ただ、米国系のアップルやグーグルに対しても同じ危惧がある。

今や個人情報を保管する“プライベートボックス”と化したスマホだけに、それを支配するプラットフォームに丸ごと自分を預ける危うさを痛感させられた今回の騒動だった。