Windowsのセキュリティ更新プログラムに「広告」が紛れ込む?IE11向け更新KB3139929を実機で検証

ホラー映画のような話に聞こえるかもしれません。しかし、これは数日前にGhacksに掲載された記事の内容そのものです。それによると、Internet Explorer 11向けの最新の累積セキュリティ更新プログラムには、セキュリティ修正以外の変更が多数含まれており、その中にはWindows 7やWindows 8.xユーザーをWindows 10へ誘導するための機能が仕込まれている可能性があるというのです。もし事実であれば、これは前例のない出来事です。

セキュリティ更新プログラムに本質的でない、宣伝要素を含むコンテンツを同梱するのは、テクノロジー業界の怒りを買い、ユーザーの信頼を損ない、大きな混乱を招く確実な方法です。「そんなこと、ほとんどの人は気にしていない」と言われるかもしれませんが、かつてGWX(Windows 10アップグレード通知)削除ガイドをお届けしたように、この噂にもきちんと向き合う必要があります。本当に心配すべき問題なのか、一緒に確認していきましょう。

詳細を確認する

早速、Windows 7マシンで標準のWindows Updateを確認してみました。すると、指摘されていた更新プログラム「KB3139929」が、通常の一覧の中に表示されました。一見すると特別なところはありません。しかしいつものように、「詳細情報」のリンクこそが重要な手がかりになります。

GhacksのMartin氏の記事を繰り返す形になりますが、KB(サポート技術情報)ページには、この更新プログラムが提供するすべての項目が記載されており、その中に複数のセキュリティ以外の修正が含まれています。具体的には、GDR修正「3146449」によって、一部のコンピューターに新しい機能が追加され、Windows 10へのアップグレードに関する通知やアップグレードの開始ができるようになるというのです。つまり、これは噂ではなく事実です。

では、これはどのように現れるのでしょうか。ネット上の噂を辿っていくと、Internet Explorerを使用しているユーザー(まだ使っている人がいるのかはさておき)が、新しいタブページを開いた際にWindows 10へのアップグレード案内を表示される可能性があるようです。新しいタブページには、よく見るスピードダイヤル風のサムネイルなどが並んでいます。ブラウザベンダーがさまざまなものを掲載する、いわば定番の場所です。

更新プログラムの適用とテスト

もちろん、システムイメージのフルバックアップを取ったうえで、更新プロセスを実行しました。動作はかなり遅かったのですが、これは別の問題なので、改めて別の記事で取り上げる予定です。さて、50個程度の更新プログラムがあったのでインストールし、再起動を行いました。その後、再びIE11を起動し、何らかの侵入の痕跡がないかを確認しました。

2台の異なるWindows 7マシンでテストした結果(Windows 8.1での検証はまだ未実施)、IE11の挙動に変化は見られず、新しいものも奇妙なものも一切ありませんでした。広告なし、Windows 10の案内もなしです。

ここまでのテストから得られた結論としては――MicrosoftがどのコンピューターにWindows 10への強引な誘導を行うかを決めるアルゴリズムがどうなっているのか分かりませんが、OSアップグレードを無効化しているシステムでは、この現象は発生しないようだ、ということです。え?OSアップグレードを無効化できるのかって?

救済策

この特定のマシンでは、IE11は実質的に使用されておらず、新しいタブページには何も表示されません。さらに何より重要なのは、このシステムからGWXの痕跡を完全に除去済みであり、しかもWindowsの最新バージョンへのアップグレードを無効化する便利なパッチも適用済みだったという点です。そう、もしWindows 10などのOSアップグレードの案内を二度と表示されたくなければ、以下のパッチが必要です。

・Windows 7の場合:KB3050265
・Windows 8.1の場合:KB3050267

少なくともこれで、簡単な対処法が得られました。今のところは……。

より大きな問題

GWXに関する記事でも説明したように、重要なのはユーザーの選択権です。ユーザーが単なる企業の収益表上の数字ではなく、価値ある存在であるという認識を持てるようにすること。しかし、Martin氏が指摘したように、そこには「信頼」というより大きな問題があります。

もし企業が、セキュリティ関連ではない余計なもの――要するに広告であり、ある意味ではマルウェアと同じ行為です。マルウェアはまさにブラウザを乗っ取りますから――を更新プログラムに同梱できるのであれば、次はWindows 10へのアップグレード強制を何が阻止するのでしょうか。次に受け取る更新プログラムが、新しいバージョンのシステムへの移行を強制するものであるかもしれないのです。

こうした事態を許してはいけません。「セキュリティが危ない」という煽りに怯える必要もありません。いざとなれば、あなたが主導権を握る立場です。あなたはお金を払った顧客であり、自分のシステムで何が起こるかを決めるのは、他の誰でもなくあなた自身です。

セキュリティの問題は、EMETのような健全なツールを使えば常に軽減できます。Internet Explorerを使わないという選択も常に可能です。アンインストールもできますが、ブラウザはWindowsの深部に組み込まれているため、おすすめはしません。より簡単な方法は、ブラウザの実行ファイルのアクセス許可を変更して実行できないようにするか、「.old」など適当な名前にリネームしてしまうことです。方法はいくらでもあります。

更新プログラムを剥がしたりアンインストールしたりして、ブラウザが脆弱になったように見えるのは美しい話ではないかもしれません。しかし実際には、安全なブラウジングを心がけ、常識的な判断(私が考える正しい意味での常識ですが)を持って行動すれば、問題ありません。単にInternet Explorerを使わないだけで十分です。

圧力や不安をあおる扇動に屈しないでください。この話を静かに葬らせてはいけません。ユーザーとして、株主として、一人の人間として、意見を表明しましょう。あなたは自分のお金を稼ぎ、オペレーティングシステムにお金を払ったのです。売られたときの形のまま、余計な押し付けなしに使うことはあなたの正当な権利です。誰かが「あなたのためになる」と思い込んでいる、青く塗り固められた新世界への勧誘は、実際には企業の収益を増やすだけです。それは受け入れられません。そして株主として、私自身も近いうちに意見を表明しようと思っています。

落ち着いて、大した問題なのか?

最後に、「競合他社も同じことをしているのではないか、特にモバイル分野では」と言う方もいるでしょう。しかしそれは本質的に関係ありません。「みんなが馬鹿げたことをしているなら、Microsoftがやってもいいだろう」と言っているのと同じだからです。二つの過ちは、一つの正にはなりません。

さらに言えば、Microsoftはセキュリティ関連の更新とそれ以外を明確に分けて提供するという評判を築いてきました。それこそが決定的に重要な点です。信頼です。セキュリティ更新プログラムとして提供される以上、それはセキュリティ更新プログラムでなければなりません。それだけの、シンプルな話です。「Windowsプロモーションパッチ」と呼ぼうが「神からの贈り物」と呼ぼうが構いませんが、安っぽい手口は使わないでください。

こうした種類の更新プログラムを提供すること自体は全く問題ありません。ただし、それは別個の「推奨更新」として提供されるべきものです。セキュリティ更新としてではなく。そして最後に選択肢の問題があります。ユーザーが、企業品質のKBパッチに頼らなくても、こうしたものを延期・拒否・無効化できるようにすべきです。それだけのことです。

まとめ

私はこの件で終わりにするつもりはありません。今後もさらなるテストと検証を続け、実際にこの挙動を目撃することがあれば、GWXのときと同じように、これをブロックし無力化する賢い斬新な方法を考えていきます。忘れないでください。該当パッチでOSアップグレードを無効化することが、現時点で最善の対策です。これ一本で関連するものすべてが無効化されます。素晴らしいことです。

アップグレードを延期しない場合、この新しい迷惑行為をどう管理するかという問題が残ります。将来のあらゆる更新についてはどうでしょうか。どこまで信頼を置き、それを日々のWindows運用の必要性とどう両立させるのか。必要なコストを払ってでもMicrosoftを見捨てろと言っているわけではありません。それは無意味です。仕事で必要なら、疑問なくそのツールを使えばいいのです。Microsoftが望むからといって、自分の状況を悪化させる必要はありません。賢く計画し、冷静に行動し、最も有利なタイミングで反撃すればいいのです。

現時点では、信頼できない企業、あるいはもう信頼できない企業の製品を使うことを意味するかもしれません。これは非常に難しい状況です。良い提案はまだ持っていません。銀の弾丸もありません。今のところは、戦術的に対応するしかありません。小さな一歩から始めましょう。すべての更新プログラムを入念に確認し、適用を先送りし、場合によってはインストールしないという判断も下し、システムとセキュリティを管理する代替手段を考えましょう。簡単ではありませんが、あなたの日々は必ず来ます。ユーザー集団に対して一斉に暴言を吐くような企業は、必ず報いを受けます。決して諦めないこと。決して降伏しないこと。今後の更新情報にご期待ください。

それではまた。