セキュリティ研究者は、インターネット接続型の性具を製造するラブンス社が、ユーザーのプライベートなメールアドレスを漏洩し、アカウントを乗っ取られる可能性のある2つのセキュリティ脆弱性を完全に修正していないと発表しました。
この研究者はBobDaHackerというハンドルネームを使用しており、ラブンス社がこれらの脆弱性を修正するのに14か月を要すると主張した後、月曜日にバグの詳細を公開しました。これは、一部の旧製品のユーザーに不便をかけないためだということです。
ラブンス社は、インターネット接続型の性具メーカーとしては最大手の一つであり、2,000万人以上のユーザーがいるとされています。2023年には、製品にChatGPTを統合した初の性具メーカーの一つとして注目を集めました。しかし、性具をインターネットに接続することによる固有のセキュリティリスクは、デバイスのロックインやデータプライバシーの漏洩など、ユーザーに現実的な危害を及ぼす可能性があるということです。
BobDaHacker氏によれば、ラブンス社のアプリを使用中に他のユーザーのメールアドレスが漏洩していることを発見したということです。アプリ内では他のユーザーのメールアドレスは表示されないものの、ネットワーク解析ツールを使用してアプリのデータの流れを検査することで、他のユーザーと相互作用する際にそのメールアドレスが見えるということです。
ログイン済みのアカウントからネットワークリクエストを改変することで、BobDaHacker氏はラブンス社のユーザー名と登録メールアドレスを関連付けることができ、ラブンス社に登録した顧客が識別可能なメールアドレスを持っている場合、その顧客を暴露する可能性があるとしています。
「これは特に、ユーザー名を公に共有するカムモデルにとって深刻な問題であり、個人のメールが露出することを望んでいないはずです」と、BobDaHacker氏はブログ投稿に書いています。
TechCrunchはこのバグを検証するために、ラブンス社で新しいアカウントを作成し、BobDaHacker氏に登録したメールアドレスを明らかにするよう依頼しましたが、彼らは約1分でそれを行いました。研究者によれば、コンピュータスクリプトを使用してプロセスを自動化することで、1秒未満でユーザーのメールアドレスを取得できるということです。
BobDaHacker氏は、2つ目の脆弱性により、メールアドレスだけでラブンス社のユーザーアカウントを乗っ取ることができると述べています。このバグは、パスワードなしでラブンス社のアカウントにアクセスするための認証トークンを作成することを可能にし、攻撃者が本物のユーザーのようにアカウントを遠隔操作できるようにします。
「カムモデルはこれらのツールを仕事で使っているので、これは大きな問題です。メールアドレスを知っているだけで誰でもアカウントを乗っ取ることができました」と、BobDaHacker氏は述べています。
このバグは、ラブンス社のアカウントまたはデバイスを持つすべての人に影響を及ぼします。
BobDaHacker氏は、性具のセキュリティとプライバシーの向上を目指すプロジェクト「Internet of Dongs」を通じて、3月26日にラブンス社にバグを開示しました。研究者によれば、HackerOneというバグ報奨金サイトを通じて総額3,000ドル（約470,000円）を受け取ったということです。しかし、バグが実際に修正されたかどうかをめぐる数週間のやりとりの後、ラブンス社が脆弱性を修正するのに14か月を要すると要求したため、今週公表に踏み切ったということです。セキュリティ研究者は通常、発見を公表する前にベンダーに3か月未満の修正期間を与えます。同社は、旧製品を使用する顧客にアプリの即時アップグレードを強制する「1か月の迅速な修正」を行わないことを決定したと、同じメールでBobDaHacker氏に伝えたということです。
TechCrunchが確認したメールによれば、研究者は開示前に同社に通知しました。BobDaHacker氏は火曜日のブログ投稿の更新で、このバグは2023年9月に別の研究者によって特定された可能性があるが、修正されずに閉じられたとされています。
ラブンス社はTechCrunchからの公開前のメールに返信しませんでした。公開後、ラブンス社の代表者はアカウント乗っ取りのバグが「完全に対処された」と述べ、メールの漏洩バグは「来週中にすべてのユーザーに配信される予定の更新で修正される」としています。代表者は、バグについて顧客に公に通知することを約束しませんでした。
