ぬいぐるみから個人情報や写真、音声など大量のデータ流出 [594632409]

対話型ぬいぐるみから大量のデータ流出、専門家が警告

2017.03.01 Wed posted at 10:50 JST

http://www.cnn.co.jp/storage/2017/03/01/bfa328432ff0503456454d26aad90954/stuffed-toys-leak-money.jpg

対話型のぬいぐるみで遊ぶため登録したデータが大量に流出＝Cloudpets/CNN Money

サンフランシスコ（ＣＮＮＭｏｎｅｙ）親子で声を録音してメッセージをやり取りできる対話型のぬいぐるみから、
子どもの個人情報や写真、音声など大量のデータが一時的に流出していたことが１日までに分かった。

問題のおもちゃは米クラウドペッツが２０１５年に発売した。クマや犬、猫、ウサギのぬいぐるみで、携帯機器のアプリに接続すれば録音メッセージをやり取りして再生することができる。

購入時にクラウドペッツのアカウントを作る必要があり、子どもの名前やメールアドレス、写真を登録する。これらのデータは全てクラウド上に保存される。

セキュリティー専門家のトロイ・ハント氏がまとめた報告によると、そのデータベースのセキュリティー設定にミスがあり、認証なしでアクセスできるようになっていたため、
２２０万件の録音データを含む８２万件のアカウント情報が流出していたことが分かった。

この状態は例えば、ロック解除コードなしでスマートフォンを使っているようなものだったと、ハント氏は説明する。

データベースは、インターネットに接続した機器からの流出データが見つかる検索エンジン「ＳＨＯＤＡＮ」で検出される状態になっていた。
ハント氏によれば、何者かがこれを悪用してデータを削除し、クラウドペッツに「身代金」として仮想通貨の「ビットコイン」を要求したという。

同社はバックアップを使ってデータを修復したとみられ、データベースはすでに非公開の設定になっている。
だがぬいぐるみの持ち主たちはこの件について知らされず、パスワードもそのまま使っているという。
クラウドペッツとメーカーのスパイラル・トイズの本社があるカリフォルニア州の州法では、顧客情報がネット上に流出した場合、企業は顧客に通知することが義務付けられている。

ネットに接続するおもちゃにセキュリティー上の問題が生じたのは、これが初めてではない。
ハント氏は知育玩具ブランド、ブイテックの製品でも数百万人に上る親子のデータ流出を見つけた。
ドイツ当局は最近、おしゃべり人形が盗聴に使われる可能性を指摘し、この商品を持っている家庭に廃棄を呼び掛けた。

ハント氏はぬいぐるみの持ち主らにパスワードの変更を呼び掛けている。
こういう問題では発売元に連絡するようアドバイスすることも多いというが、クラウドペッツは顧客や同氏からの問い合わせに応じていない。

http://www.cnn.co.jp/tech/35097351.html?ref=rss