スマートトイは本当に安全か?ドイツの人形販売禁止からCloudPets情報漏洩まで、IoT玩具のセキュリティリスクを徹底解説

クリスマスから数週間後になると、「素晴らしい」と謳われていたつながるおもちゃが、実は重大なセキュリティおよびプライバシーリスクを抱えていることが発覚する——それが毎年恒例の出来事になりつつあります。子どもたちの安全、さらには命さえも危険に晒されかねない状況です。

それにもかかわらず、責任を主体的に受け止めるメーカーはほとんど存在しません。

お子さまが、家庭のWi-Fiネットワークに接続するオンライン玩具を使っていませんか?もしそうであれば、これからお伝えする内容は、あなたにとって非常に重要な問題となるかもしれません。

ドイツ、おしゃべり人形「ケイラ(Cayla)」を販売禁止に

2017年2月、ドイツ当局は人気のおしゃべり人形「ケイラ」の販売禁止を決定しました。当局は保護者に対し、手元にある人形を破棄するよう助言まで出しましたが、その措置を強制する判断には至っていません。

この禁止措置のきっかけとなったのは、世界中で販売されているこの玩具の脆弱性を実証するデモンストレーションでした。

ケイラは一見すると魅力的なアイデアです。Bluetoothとインターネット接続済みのスマートフォン経由でオンラインにアクセスし、音声認識とGoogle検索を活用して子どもの質問に答えてくれるのです。ところがドイツの通信監督当局によれば、子どもと周囲にいる人々との会話が録音され、さらには外部へ転送される恐れもあるといいます。

「企業はこのような玩具を利用し、子どもや保護者をターゲットにした広告配信を行うことも可能です。さらに、メーカーが無線通信を適切に保護していない場合、近くにいる第三者が玩具を通じて会話を盗み聞きすることさえできてしまいます。」

では、本当の問題は何なのでしょうか?質問に答えてくれる玩具は、子どもの学びを促進する素晴らしい道具であるはずです。問題はその実装にあります。端的に言えば、保護されていないBluetooth接続こそが最大の弱点なのです。これは要するにコスト削減の産物であり、安全性の確認という重要な工程を省いてしまった結果だと言えます。

あなたやお子さまはケイラ人形を持っていますか?デバイスを破壊する必要まではないと考えますが、プライバシーへの懸念があるなら、まずは電源を切ることをお勧めします。声や会話を録音する機能を持つ機器は、子どもだけでなく家族全員にとって潜在的なリスクとなり得るからです。

大規模ハッキングで子どもの音声データが流出

昨年のクリスマスに、お子さまやご友人の子どもに「CloudPets(クラウドペッツ)」を購入しませんでしたか?

この玩具は、深刻なデータ漏洩事件の中心にありました。所有者やその友人・家族の声が録音され、無防備な状態のデータベースに保存された末、オンライン上へ流出してしまったのです。

具体的には、約200万件の録音データがハッキングされ、その後ランサム(身代金)要求の対象となりました。原因は、メーカーのSpiral Toysがコスト・時間・手間を削減し、データをMongoDBデータベースに保存したことにあります(そもそも録音すべきだったのかという議論は、ここでは一旦脇に置きます)。

(MongoDBの問題点は、デフォルト設定では安全ではないことです。保存データを守るには、追加のセキュリティ対策が必須となります。)

さらに悪いことに、セキュリティ研究者のトロイ・ハント(Troy Hunt)氏は、このハッキング被害や玩具自体のセキュリティ欠陥——3文字のハッシュ化されていないパスワード、テスト用・ステージング用・本番用のデータとウェブサイトがすべて同一サーバー上に保存されている実態など——を指摘するため、CloudPets側への連絡を複数回試みています。

この痛ましい事件の全貌には、データ返還の見返りとしてのビットコイン要求、研究者や報道機関からの問い合わせを一切拒否する企業対応、そして「わが子のお気に入りの玩具がオンライン上のセキュリティリスクであること」を知らされないままの多くの保護者が含まれています。執筆時点において、CloudPetsとSpiral Toysは保護者に対して何ら問題を告知していません。

録音データの漏洩を問題視するかどうかにかかわらず、この種の問題について誰とも対話しようとしない企業の製品を、使うべきではありません。

過去にも繰り返されてきた同じ問題

残念ながら、この問題は決して新しくありません。スマートホーム産業——つながるおもちゃは、その延長線上にあるといえます——と同様、製品はセキュリティやプライバシーへの配慮をほとんど欠いたまま、場当たり的に作られているように見えます。

デザイナーたちが関心を向けているのは、利益と低い製造コストだけなのです。

2015年には、無線式クアッドコプター(ドローン)が比較的単純なソフトウェアによってハッキングされる事例が明らかになりました。

1年後には、大手児童向け電子機器メーカーのVTechがハッキング被害を受けていただけでなく(約600万件の児童データアカウントが流出)、同社がプライバシーとセキュリティの責任を消費者側に押し付けていたことも判明しました。

こうした事例のたびに、私たちはあなた自身のデータ、そして子どものデータを安全に保つための方法をお伝えしてきました。あわせて、スマートトイメーカーに対してもっと高い水準を求めるべきだと提言してきました。端的に言えば、つながるおもちゃが基本的なセキュリティとプライバシーの要件(安全なデータ転送、パスワード保護)を満たしておらず、メーカーが収集データの安全な保管を保証できないのであれば、その玩具は諦めて別の商品を選ぶべきなのです。

状況は改善しつつある

幸いなことに、主流のスマートホーム市場と同様、状況は少しずつ変わりつつあります。メーカー各社はセキュリティとプライバシーの必要性を認識し、より堅牢な新製品を発表するようになってきました。ただし、旧型のハードウェアやファームウェアを採用した廉価版製品には注意が必要です。メーカーが旧式で安全性の低い在庫を格安で売り払うにつれ、今後数年間はこの部分に問題が残り続けるでしょう。

気になるつながるおもちゃをお持ちですか?それとも、こうしたリスクは存在しないとお考えですか?ぜひコメント欄であなたの意見をお聞かせください。