仮面の下の素顔――ユーザーのセキュリティを本当に気にかけていない4つの企業

インターネットが普及する前は、ある企業を信用できなければ「取引しない」という選択肢がありました。地元の企業であれば、その信頼性を見極めることも比較的容易だったでしょう。

しかし現在では、私たちのデジタルライフは数多くのオンラインアプリやサービスに分散しており、そのすべてが「自分が誰であるか」という個人情報や機密データを収集しています。私たちはそうした企業がセキュリティを重視していると期待していますが、実際にはそうではないケースも少なくありません。

ここでは、ユーザーのセキュリティを本当に気にかけていないと思われる4つの事例を紹介します。

1. Facebook

Facebookの黎明期、多くの人々はこのソーシャルネットワーク上で、自分の考え、アイデア、イベント、写真を気軽に共有していました。同社は驚異的なスピードで利用者を増やし、2018年12月時点で推定23億人ものユーザーを抱えるまでに成長しました。しかしその後明らかになったように、この急成長は私たちユーザーを犠牲にして達成されたものでした。

同社にとって2018年は、プライバシーに関するスキャンダル、規制、批判、セキュリティ上の欠陥にまみれた、まさに最悪の年となりました。

一連の問題の発端となったのが「ケンブリッジ・アナリティカ事件」です。「非公開のはず」だったFacebookのユーザーデータが、世界各地の政治調査団体に提供されていたことが判明しました。同社は2016年の米大統領選挙および英国のEU離脱国民投票への干渉にも深く関与していたとされています。

この暴露以降、世界最大のソーシャルネットワークからはほぼ絶え間なく問題が噴出し続けました。2018年10月には5,000万以上のアカウントがハッキングされたことが発覚。続いて、非公開の写真が外部に露出するバグも見つかりました。さらに同社は、疑わしいVPNアプリを通じて若者からデータを収集するという不道徳な手法を用いていたことも発覚し、批判を浴びた結果、2019年初頭にOnavo VPNアプリの提供を打ち切りました。

こうした一連の悪評の中でも、マーク・ザッカーバーグ氏は「Facebookは世界に良い影響を与えている」と主張し続けました。ところが、その姿勢は社内には浸透していなかったようです。2019年3月には、Facebookが何年にもわたりユーザーのパスワードを平文（暗号化されていない状態）で保存していたことが報じられました。

2. Intel

1968年に創業されたIntelは、シリコンバレー初期の主要テクノロジー企業のひとつです。主力事業はコンピュータープロセッサーですが、年月とともにさまざまな分野へと事業を拡大してきました。

2015年には、Intel NUC（Next Unit of Computing）やIntel Compute Stickといった、一般消費者向けミニPCを複数発表しています。これらの小型コンピューターは省スペース性を重視した設計で、キーボードなどの周辺機器は付属していませんでした。そこで同社は、本体を遠隔操作するためのスマートフォン向けアプリをリリースしたのです。

経験的に、ニッチなアプリは予算削減や開発者の別プロジェクトへの異動などにより、定期的なアップデートが行われなくなりがちです。Android向けの「Intel Remote Keyboard」アプリも例外ではありませんでした。2018年半ば、セキュリティ研究者らがこのアプリに3つの脆弱性を発見したと公表したのです。

うち2つは「高深刻度」、残る1つは「重大（クリティカル）」と評価されました。研究者によれば、これらの脆弱性を悪用すると、攻撃者がキーストローク（入力内容）を注入したり、最悪の場合ユーザーのデバイスを乗っ取ったりすることさえ可能だったといいます。

ところがIntelは、これらの深刻な脆弱性を修正することを約束するどころか、アプリをGoogle Playストアから完全に削除するという対応を選びました。既存ユーザーは「脆弱性を抱えたまま使い続ける」か、「IntelミニPCを手放す」かの二者択一を迫られることになったのです。

3. Amazon

世界最大のオンライン小売業者であるAmazonは、大規模なデータ漏えい事件とはほぼ無縁でした。しかし2018年11月、一部の顧客宛てに、データが誤って公開されたことを知らせるメールが同社から送信されました。

Amazonはこの漏えいの原因をウェブサイトの技術的エラーとしていますが、通知メールはごく簡潔で、具体的な情報はほとんど含まれていませんでした。

「当社のウェブサイトで技術的エラーが発生し、お客様のお名前とメールアドレスが誤って公開されましたことをお知らせいたします。本件はすでに修正済みです。これはお客様側の原因によるものではなく、パスワードの変更やその他の対応を行っていただく必要はございません。」

当然ながら、影響を受けた顧客はこの説明に安心できませんでした。同社はその後の追加情報の提供を拒み、どんなデータが、どのくらいの期間公開されていたのか、顧客は闇の中に置かれたままとなりました。この口をつぐむような対応は、多くの人に「隠していることがあるのではないか」という疑念を抱かせました。

言うまでもなく、この対応がAmazonへの信頼を高めることはありませんでした。

また、Amazonは顔認識技術の使用についても多くの批判を受けてきました。表向きはその使用に反対の立場を示しながら、実際には「Rekognition」という顔認識製品を米国の各法執行機関に販売していたのです。

同製品のマーケティング資料には、法執行機関による使用が最も想定される用途のひとつであること、さらには1枚の画像から最大100人をリアルタイムで識別できることが明記されていました。

4. 「お客様のプライバシーとセキュリティを真剣に考えています」と口にする企業

データ漏えいは、かつてないほど頻繁に発生しています。どれほどセキュリティ意識を高めていても、こうしたハッキングは結局すべての人に影響を及ぼします。近年標的となった企業や業種の多様さを見れば、攻撃者が対象を選ばないことは明らかです。

どんなに防衛策を講じていても、攻撃を完全に防げない場合もあります。そのとき企業が次にとるべき行動は、責任を持ってユーザーに速やかに通知し、状況をどう改善するのかの方針を伝えることです。

メディアに囲まれた現代社会に生きる私たちは、企業のPR文句や、責任回避のための定型句を見抜くことに長けています。「お客様のプライバシーとセキュリティを真剣に考えています」といった文言を目にしたことがあるでしょう。実は、このフレーズこそが「あなたのセキュリティを真剣に考えていない」ことの大きな指標なのです。

この問題はあまりに蔓延しているため、TechCrunchがこの定型句の使用実態について特集を組むほどでした。同メディアがカリフォルニア州司法長官に提出された全285件のデータ漏えい通知を分析したところ、3分の1以上がこのフレーズを使用していたことが判明したのです。

TechCrunchの分析ではさらに、資金力のある多国籍企業の多くが、サイバーセキュリティの改善よりも漏えいに対する罰金の支払いを選ぶ傾向があることも指摘されています。2017年、Equifaxは全世界で2億人に影響を及ぼす巨大なデータ漏えい事故に見舞われました。

同社の対応は混乱を極め、漏えいへの責任はほとんど負わず、影響を受けた大多数の人々に実質的なサポートを提供することはありませんでした。今日に至るまで、Equifaxがセキュリティ対策の不備に対して実質的な制裁を受けることはありません。個人訴訟で最大1万ドルの賠償が認められた例はありますが、それはごく一部にすぎません。

一体、誰を信頼できるのか？

私たちはオンライン上で生活し、インターネットを通じて個人情報や機密情報を開示しています。そして、それを託した企業が私たちを守ってくれると信じがちです。しかし、必ずしもそうとは限りません。データ漏えい事件と、それに対する企業の対応は、私たちのデータがどれほど安全ではないかを浮き彫りにしています。

幸い、自らを守るためにできることはあります。オープンソースのツールを活用してデータを保護することも、そのひとつです。また、主流のソーシャルネットワークへの信頼を失ったなら、データを盗むことのないFacebook代替サービスへ移行するのも、有力な選択肢となるでしょう。