OnePlus、必要以上のユーザーデータを収集していたことが発覚

中国・深圳に拠点を置くスマートフォンメーカー「OnePlus(ワンプラス)」が、ユーザーのデータを密かに収集し、自社サーバーへ送信していたことが発覚しました。他のスマートフォンメーカーも同様のデータ収集を行っているため、それ自体は珍しいことではありません。しかし問題視されたのは、OnePlusが必要以上に大量のユーザーデータを収集していた点であり、これがさらなる疑念や調査のきっかけとなりました。

この事態が明るみに出たのは、セキュリティ研究者のChristopher Moore氏が自身のブログで記事を公開したことがきっかけです。同氏は「SANS Holiday Hack Challenge 2016」に取り組む際、OnePlus 2からのインターネット通信にプロキシを設定する必要がありました。このとき使用したのは、Webアプリケーションの脆弱性診断ツールとして知られる「OWASP ZAP」です。その検証過程で、ドメイン「open.oneplus.net」への不審なリクエストを発見。さらに詳しく調査した結果、OnePlusのサーバーが必要以上の情報を取得しようとしていることに気づいたといいます。

OnePlusが収集していたデータの内容

OnePlusが収集していたデータは、単なるユーザー識別のためのトラッキングにとどまるものではありませんでした。デバイスの将来のアップデートに備える目的でデータを収集すること自体は、ほぼすべてのスマートフォンメーカーが実施している一般的な手法です。しかし、OnePlusが集めていたデータは、バグ修正や分析に必要な範囲をはるかに超えていました。Moore氏によると、収集されていたデータには以下のようなものが含まれていたとのことです。

• デバイスのシリアル番号
• MACアドレス
• 利用中のモバイルネットワーク名
• IMEI番号

さらに、技術的な情報だけでなく、端末をロック・ロック解除したタイミング、アプリを起動・終了したタイミング、画面のオン・オフといった日常的な操作履歴まで送信されていたことも判明しています。

OnePlusの公式見解

公式声明の中でOnePlusは、データを2つの異なるストリームで送信していることを認めました。1つはユーザーの行動傾向に基づいてソフトウェアを改善するためのもので、もう1つはより質の高い販売サポートを提供するためのものだそうです。これらの情報はHTTPS経由でAmazonのサーバーへ安全に送信されるため、機密性は保たれていると同社は説明しています。

また、ユーザーはいつでも「設定」→「詳細設定」→「ユーザーエクスペリエンスプログラムに参加」から、このデータ収集をオプトアウトできるとも述べています。しかしながら、なぜそこまで多くの追加情報が必要なのかについての明確な理由は示されませんでした。この一連の騒動は、中国系スマートフォンメーカーのデータ管理の透明性に対して、改めて疑問符を投げかける結果となっています。