2022.3.29

フィットネストラッカーがもたらすプライバシーリスクとは

この記事をシェア

ウェアラブル機器には注意するべきだろうか？スマートウォッチやフィットネストラッカーがもたらすセキュリティやプライバシーのリスクについて知っておくべきことを解説する。

この記事は、ESET社が運営するマルウェアやセキュリティに関する情報サイト「Welivesecurity」の記事を翻訳したものである。

スマートウォッチやフィットネストラッカー、そのほかのウェアラブル機器は急速に普及し、携帯電話やタブレットと同じくらい、よく知られるようになった。これらのインターネットに接続されたガジェットは、時刻を知らせるだけではない。健康状態のチェック、電子メールの受信、スマートホームの制御、さらには、店舗での支払いも可能となった。いわゆるモノのインターネット（IoT）の延長線上にあり、より健康的で便利な生活をもたらすものだ。米国ではスマートフォン（以下、スマホ）の利用時間が約6時間に達すると言われているが、こうした時間の削減も期待されている。

ウェアラブル機器の市場は、今後数年にわたり年率12.5%で成長していく見込みであり、2028年には1,180億ドル（13兆6,000億円相当）を超えるとの予測がある。しかし、ウェアラブル機器が日常生活に浸透するということは、より多くのデータを収集し、より多くのシステムに接続されることが増えるということだ。考えられるセキュリティやプライバシーのリスクについて、前もって理解しておくことが重要となる。

ウェアラブル機器が抱えるセキュリティとプライバシーの懸念

攻撃者は、ウェアラブル機器や関連するアプリ、ソフトウェアの構成要素に対する攻撃を収益化とする方法を複数持っている。彼らは、データやパスワードを傍受して不正に操作したり、紛失や盗難に遭ったデバイスのロックを解除したりすることが可能だ。また、個人情報が密かに第三者へ提供されるプライバシー上の懸念もある。以下に詳細を説明する。

データの窃取と不正操作

最新のスマートウォッチには、電子メールやメッセージといったスマホアプリと同期できる機種がある。こうした機能により、認証されていないユーザーによって個人情報が傍受されるリスクが生じる。同様に、これらの多くのデータが最終的にどこに保存されるかという懸念もある。データが事業者によって適切に管理されていなければ、サイバー犯罪者の標的となってしまうからだ。特定の個人情報や資産に関する情報を取り引きする闇市場は活況を呈している。

位置情報を悪用した犯罪

多くのウェアラブル機器が収集するデータの中には位置情報が含まれる。これらの情報を悪用すると、標的とされた人が日中に行動している範囲を正確に把握できてしまう。そして、ウェアラブル機器の持ち主を物理的に襲ったり、留守中に自動車や住居に侵入したりすることが可能になる。

これらの機器を身につけている子供の安全に関し、より大きな懸念がある。許可されていない第三者によって子供の位置情報が追跡されている恐れがあるからだ。

位置情報の共有は危険？悪用されないための設定ポイントを解説

サードパーティ事業者（データ提供を受ける事業者）

ユーザーが警戒しなければならないのは、セキュリティリスクだけに限らない。ウェアラブル機器が収集するデータは、広告主にとって大きな価値があるものだと言える。2018年に施行された法令（GDPR）により、EUでは厳しく規制されているものの、これらのデータを活発に取り引きしている市場がある。ヘルスケア機器のメーカーから保険会社へ販売されたデータが生み出す売上は、2023年までに8億5,500万ドル（991億円相当）に達するとの調査がある。

サードパーティ事業者は、ウェアラブル機器の所有者に関する広告プロフィールを作成し、販売する場合があるかもしれない。このデータが複数の企業で共有されている場合、情報漏えいの大きなリスクとなり得る。

スマートホームの制御

ウェアラブル機器の中には、スマートホームのデバイスを制御するために使われるものがある。玄関の開錠が設定できるものさえある。ウェアラブル機器の紛失や盗難に遭い、盗難対策の設定が有効化されていなければ、重大なセキュリティリスクとなる。

ウェアラブル機器に関わるサービスに不足している要素は？

身につけているデバイスは、ウェアラブル機器サービスを構成する要素のうちの一部に過ぎない。実際は多くの要素が含まれている。デバイスのファームウェアから、接続に用いるプロトコル、アプリやバックエンドにあるクラウド上のサーバーまで考慮する必要がある。事業者がセキュリティやプライバシーに適切な対策を施していなければ、これらすべてが攻撃の標的となり得る。以下に、いくつかの要素を紹介する。

Bluetooth

Bluetooth Low Energy (BLE)は、一般的にウェアラブル機器とスマホを接続するのに用いられる。しかし、ここ数年、このプロトコルに多くの脆弱性が見つかってきた。これらの脆弱性により、接近した攻撃者が機器を破壊したり、情報を傍受したり、データを改ざんしたりできる可能性がある。

デバイス

開発段階の不備により、デバイス内にあるソフトウェアが脆弱性を有する場合がある。どんなに優れたスマートウォッチでも、結局は人間の手によって作られたものであり、プログラミングの不具合が含まれるケースがある。この場合、外部からの攻撃による個人情報の漏えいやデータ損失などの被害につながる可能性もある。

それとは別に、強度の弱い認証や暗号手法を用いている場合、乗っ取りや盗聴の恐れがある。また、公共の場でウェアラブル機器に表示された重要なメッセージやデータを閲覧している場合、肩越しから盗み見られる可能性にも注意を払うべきだ。

アプリケーション

ウェアラブル機器に同期されたスマホアプリも攻撃の対象となり得る。この場合も、プログラミングの不備が原因で脆弱性が生じ、ユーザーのデータやデバイスに不正アクセスされる恐れがある。データに無頓着なユーザー自身やアプリにより、もたらされるリスクも考えられる。また、偽の詐欺アプリを意図せずダウンロードしてしまい、個人情報を入力してしまう可能性もある。

バックエンドサーバー

位置情報やそのほかの詳細情報を含むデバイスのデータが、事業者のクラウドシステムに保存されている場合がある。これらは攻撃者にとって大きな収益を得られる機会となり、魅力的な標的となる。この点については、セキュリティに定評のある事業者を選ぶ以外にどうすることもできない。

残念ながら、先述のようなシナリオの多くは現実に起きている。数年前、セキュリティ研究者が子供用スマートウォッチに位置情報や個人情報が漏えいしてしまう脆弱性を発見した。それ以前の別の調査では、多くの事業者により、子供に関する個人情報が暗号化されていない状態で中国のサーバーに送信されていることが明らかとなった。

こうした懸念は今もなお継続して存在している。ある研究では、ガジェットが不正に操作され、ユーザーに身体的な苦痛を与える可能性さえあることが指摘されている。別の調査では、高齢者や子供を見守るためのデバイスから、攻撃者がパスワードを変更したり、電話をかけたり、テキストメッセージを送信したり、さらにはカメラにアクセスしたりする可能性が示唆されている。