聞いたことがあるなら止めてください: FacebookとTwitterのプロフィールが怪しいコードによって静かに吸い上げられています

ツイッターとフェイスブックは月曜日、一部のサードパーティ製アプリがユーザーのアカウントから大量の個人情報を許可なく密かに収集していたと主張した。

反ソーシャルネットワークは、データ窃盗の原因は、サードパーティ製のiOSおよびAndroidアプリが広告を表示するために使用する「悪質な」ソフトウェア開発キット（SDK）2つにあると主張している。ユーザーがこれらのアプリのいずれかを使用していずれかのサービスにログインすると、組み込まれたSDKがユーザーのプロフィールに密かにアクセスし、密かに情報を収集できる可能性があると主張されている。

Twitterの場合、問題となっているSDKはマーケティング会社のoneAudienceによって構築および保守されており、不特定のAndroidアプリを通じてユーザー名、メールアドレス、ツイートを収集していたとされている。

Twitter社は事件発表の中で、「このSDKがAndroidを使用している少なくとも一部のTwitterアカウント所有者の個人データにアクセスするために使用されたという証拠はあるが、この悪意のあるSDKのiOSバージョンがiOS版Twitterを使用している人々を標的にしていたという証拠はない」と述べた。

悪質なSDKについてGoogleとAppleに報告し、必要に応じてさらなる措置を講じることができるようにしました。また、他の業界パートナーにもこの問題について通知しました。

一方、Facebookは、同様の活動のため2つのSDKをシャットダウンせざるを得なかったと述べている。oneAudience SDKとマーケティング会社MobiBurnのSDKはどちらも、サードパーティのアプリで使用された際に、名前、性別、電子メールアドレスなどのプロフィール情報を収集していたことが判明したという。

Facebookの広報担当者はThe Registerに対し、「セキュリティ研究者から最近、One AudienceとMobiburnという2つの悪質な行為者が、人気アプリストアで入手可能な多数のアプリで悪質なソフトウェア開発キット（SDK）を使用するために開発者に金銭を支払っていたという報告を受けました」と語った。

調査の結果、プラットフォームポリシーに違反したとして、これらのアプリをプラットフォームから削除し、One AudienceとMobiburnに対しては使用停止命令書を発行しました。これらのアプリに氏名、メールアドレス、性別などのプロフィール情報へのアクセスを許可した後に情報が共有された可能性が高いと考えられる方々には、今後通知する予定です。ソーシャルメディアアカウントへのアクセスを許可するサードパーティ製アプリを選択する際には、慎重になるようお願いいたします。

oneAudienceの広報担当者はコメントを控えた。一方、MobiBurnはこの件に関して公式声明を発表した。

「MobiBurnはFacebookからデータを収集、共有、または収益化することはありません」と同社は述べている。「MobiBurnは主に、サードパーティのデータ収益化企業が開発したSDKの集合体であるバンドルを通じて、データ事業における仲介役として機能します。MobiBurnは、モバイルアプリケーション開発者が収集したデータにアクセスすることも、そのようなデータを処理または保存することもありません。MobiBurnは、モバイルアプリケーション開発者をデータ収益化企業に紹介することで、そのプロセスを円滑に進めるだけです。しかしながら、MobiBurnはサードパーティに関する当社の調査が完了するまで、すべての活動を停止しました。」

現時点では、こうした個人情報漏洩はソーシャルネットワーキングサイトのユーザーにとって目新しいものではありません。ネットユーザーの個人情報やプロフィール情報の漏洩は、ほぼすべての主要ネットワークで長年にわたり記録されており、世界中の政府から、個人データを適切に保護できなかったとして、幹部が非難されています。

この最新の事件は、かつてデータ窃盗事件の中でも最大規模のものであった、2016年にケンブリッジ・アナリティカの政治マーケティング戦略家がFacebook情報を収集した事件を想起させます。この事件では、数千万件ものユーザープロフィールから個人情報が抜き出され、高度にターゲットを絞った選挙広告の掲載に利用されました。®