インターネット接続型セックストイを製造するラブンスは、ユーザーのプライベートなメールアドレスを露出させ、攻撃者が任意のユーザーアカウントをリモートで乗っ取ることを可能にする2つのセキュリティの脆弱性を修正したと発表しました。
同社は問題が「完全に解決された」としながらも、CEOのダン・リウ氏はこの開示を受けて法的措置を検討しているとしています。
ラブンスの声明によれば、同社は誤った報告に対して法的措置を検討しているということです。TechCrunchからの質問に対して、同社はメディア報道やセキュリティ研究者の開示を指しているのかどうか明確には答えていません。
今週、セキュリティ研究者「BobDaHacker」と名乗る人物が、今年初めにラブンスに2つのセキュリティ問題を報告したと公表しました。研究者は、ラブンスが脆弱性を完全に解決するのに14か月かかると主張したため、ユーザーにアプリの更新を促す「早急な1か月の修正」を適用する代わりに、彼らの発見を公開しました。
ラブンスは声明で、修正によりユーザーはアプリを更新する必要があり、すべての機能を再開する前に更新が必要であるとしています。
リウ氏は、メールアドレスやアカウント情報を含むユーザーデータが侵害されたり不正使用されたりした証拠はないと主張しています。しかし、TechCrunchや他の報道機関が新しいアカウントを設定し、研究者に関連するメールアドレスを特定させることでメール開示のバグを確認したことから、この結論に至った経緯は不明です。
TechCrunchは、ユーザーデータの侵害があったかどうかを判断するための技術的手段、例えばログなどについてラブンスに質問しましたが、広報担当者は回答しませんでした。
米国では、恥ずかしいセキュリティインシデントの開示を阻止するために法的要求や脅しに頼る組織があることは珍しくありませんが、このような報告を禁止する規則や制限はほとんどありません。
今年初め、米国の独立ジャーナリストが、英国の民間医療大手HCRGへのランサムウェア攻撃を正確に報じたことで、英国の裁判所命令からの法的脅威を拒否しました。2023年には、フロリダ州ヒルズボロ郡の郡役員が、裁判所の記録システムにおけるセキュリティの欠陥を特定し、非公開で開示したセキュリティ研究者に対して、州のコンピュータハッキング法に基づく刑事告発を脅かしました。
