携帯電話機から個人データが盗み出される可能性を確認―専門家からは驚きの一方、いつ起きてもおかしくなかったとの声も聞く。NTTドコモの携帯電話機SO503i(ソニー製)は、情報の安全性に欠陥が見つかり、販売停止と四十二万台の無償交換に至った。データ流出の実害は起きていないが、問題が専門家から指摘されても販売は続けられていた。利用者への危険性告知などを含め、今後に残す教訓はあまりに大きい。 (IT取材班・笠島達也)
●驚くべき迅速さ
「利用者の安全が損なわれる可能性が確認されたため、すぐに告知とサービスの一部停止を決めた。当然のことをしたまでです」。約三十四万人に「リモートメール」というサービスを提供しているネットビレッジ社(東京)の飯田祥一社長は、国際電話を通じてこともなげに語った。
十日、同社は取材班からの問い合わせを受け、米国出張中の飯田社長や技術スタッフと即座に連絡を取り、メールアドレスやパスワードなどの個人データが読み出される危険性を確認した。同端末の利用者向けの「リモートチェッカー」サービスを一時停止、端末にバグ(ソフトウエアの欠陥)があっても第三者に読まれないように保存データの暗号化を行うことも決めた。ホームページ告知を含む全対応は、連絡を受けて六時間半で完了した。米国は明け方の四時半になっていた。
●4月に問題報告
NTTドコモは翌十一日、情報の安全上の欠陥「セキュリティーホール」を認め、無償交換などの対応を発表した。今回の欠陥はiアプリ開発者らのメーリングリスト「JavaHz」で四月三日に報告され、十日にデータ読み出しが確認されていた。
ドコモは六日、端末に組み込まれているJava(ジャバ)基本システムにバグがあるとの通報を受けていた。ゲームや銀行振り込みなど高度な機能を実現したiアプリだが、同端末でバージョンアップという操作を行うと、保存されているiアプリデータが重複を起こし、保護の仕切りが取り払われることがある。同社は「特定の操作でシステムが不安定になる」ことを認め、同月十八日から制作者向けホームページで注意を呼びかけていた。
これに対して専門家からは「ハッカー(悪意のある第三者)にとってみれば、データ読み出しの手口を明かしているようなもの。それより利用者へ危険性と回避方法を知らせるべきだ」と疑問の声が出ていた。
取材班から検証の問い合わせを受けた独立行政法人「産業技術総合研究所」情報処理研究部門の高木浩光主任研究員は「ドコモはiアプリのデータは保護され読み出せないと保証しているので、開発者も個人データを暗号化していない。この安全の前提が破られたセキュリティーホールだった」と指摘する。
●10万項目の検査
「三、四年前のノートパソコンよりも高性能のハード、複雑なソフトの固まり」(NEC)である最新携帯端末。ドコモによると検査は十万項目に上るという。ある開発者は「バグは半ば必然」と打ち明ける。
しかし、情報処理振興事業協会セキュリティセンター長の小林正彦氏は「情報家電は、パソコンのようにバグを前提とすべきではない。その一方でセキュリティーに関する欠陥が見つかった場合の対応はルール化しておく必要がある」と話す。さらに「組み込みソフトの欠陥により情報の安全性が大きく損なわれた場合、製造物責任法(PL法)に問われる可能性もある」(内閣府国民生活局消費者企画課)との指摘もある。
情報セキュリティー問題に詳しい岩手県立大学ソフトウェア情報学部の山根信二助手は「ネットに接続する端末には悪意のある第三者を想定した安全性が必要。全端末が被害加害の対象になりうるという点で、告知や対応は時間との勝負でもある。この点ドコモの対応には反省点が多い」と話す。
●「次世代」の糧に
携帯電話機のデータ流出を初めて確認したプログラマー杉本健一さん(26)は「ドコモとの取引関係などに遠慮して欠陥が報告されないことも多い。たとえば第三者機関を通じて通報できるようになればいいのだが」と話している。
ドコモの503iシリーズでは、やはり内蔵ソフトウエアのバグで、今年二月に松下通信工業製の「P503i」二十三万台が無償交換となっている。一連のトラブルは次世代携帯サービス(FOMA)の「糧」になり得るのか、「事件」は全利用者や関係者に多くの教訓を提示し続けている。
SO503i問題の経過
2001年4月10日 プログラマーの杉本健一さんがセキュリティーホール(データ読み出し)を報告
同18日 NTTドコモが開発者向けに「システムが不安定になる恐れ」との注意を呼びかけ
同23日 取材に対しドコモがデータ読み出しの可能性を否定、再質問。総務省は「問題を確認できない」と回答
同25日 ドコモからデータの読み出しを否定する再回答
5月2日 ドコモ中央・ゲートウェイビジネス部責任者(開発部門)が、データの読み出しの可能性を否定。 産業技術総合研究所が読み出しを確認したとの報告
同10日 総務省は「携帯電話でのデータ流出は過去報告例がない」と回答。「リモートメール」のネットビレ ッジ社が危険性を確認、告知と対応を実施
同11日 ドコモがセキュリティーホールの存在を認め、SO503iの販売停止と42万台の無償交換を発表
▼Java(ジャバ)
パソコンだけではなく各種の家電製品でも同じソフトウエアを実行できるよう配慮されたプログラム言語。米サン・マイクロシステムズ社が提唱。携帯電話機ではNTTドコモ
503iシリーズに初めて搭載され、iアプリなど高度なサービスを可能とした。次世代携帯サービスでもJava端末が主流になるといわれる。
▼セキュリティーホール
本来備わっている情報の安全性が損なわれ、個人データの流出などを招くソフトウエアの致命的欠陥。従来サーバやパソコンのソフトで報告されてきたが、今後携帯電話機など情報家電でも増える可能性が高い。