実際に起きたVaultアプリのデータ漏えい：何が問題だったのか

何が起きたのか

多くの人がダウンロードしていた写真Vaultアプリで最近、バックエンドのデータベースがインターネット上に完全に公開された状態になっていました。読み取るのにパスワードもログインも、いかなる認証も必要ありませんでした。セキュリティ研究者は、約17,000件の写真アルバムのメタデータ、56件のパスワード情報、81件のプライベートメモが誰でも見られる状態になっているのを発見しました。メモの中にはパスワードが記載されていると明示されたものもありました。ファイル名は利用者のメールアドレスに直接紐づいており、単なる抽象的な記録ではなく、特定できる個人のプライベートな情報が、アドレスさえ見つければ誰でもアクセスできる状態でした。

このアプリが具体的にどれかを知らなくても、そこから学べることはあります。この漏えいの原因となったミスはよくあるもので、すでに広く記録されており、Vaultアプリに限らずどんなアプリであっても、本当に守りたいコンテンツを預ける前に理解しておく価値があります。

実際に何が起きていたのか

設定ミスの内容

このアプリはユーザーデータをクラウドデータベースに保存していました。開発者が自前のサーバーを運用しなくて済むよう、外部のバックエンドサービスにストレージを任せる、よくある仕組みです。この便利さには代償があります。データベース自体に、アプリとは別に正しくアクセス制御ルールを設定する必要があるのです。今回はそのルールが完全に開放されたままになっていました。データベースのアドレスさえわかれば、誰でも直接読み取り、報道によっては書き込みまでできる状態で、ログインの手順は一切ありませんでした。

これによって、この漏えいは過去のデータをまとめて流出させる「静的な流出」ではなく、リアルタイムの流出になっていました。データベース自体にアクセスできるため、露出は常に更新され続けていたのです。ユーザーが新たに保存したパスワードやメモは、古いバックアップの中に眠っているのではなく、そのエンドポイントを見ている誰かにすぐさま見える状態でした。これはオンデバイス処理の仕組みと対照的です。デバイスから外に出ないデータは、そもそもサーバーが関与しないため、設定ミスのサーバー経由で漏れることがありません。

一度きりの事故ではなく、繰り返されるパターン

これを一つの小さな開発者による孤立したミスだと考えたくなるかもしれません。しかしそうではありません。同種のミスをアプリ業界全体で調査した研究者は、600本のiOSアプリを含む3,046本のアプリが、2,271件の同様に設定ミスのあるクラウドデータベースにデータを保存していたことを発見しました。これにより113GB以上、1億件を超えるレコードが流出し、そのうち260万件が平文のパスワードでした。その後の別の調査では、約1,900万件の平文パスワードが同じ形で流出していることが判明しています。今回の事件は例外ではなく、アプリストア全体で繰り返し起きている失敗パターンの一つの現れにすぎません。

プライバシーにとって重要な理由

こうした漏えいが見た目以上に深刻な理由は2つあります。まず、流出した平文パスワードは、そのアプリだけの問題では済みません。もし同じパスワードを他のサービスでも使い回していれば、攻撃者はメール、銀行口座、SNSアカウントに対してそのまま試せる有効な認証情報を手に入れたことになります。次に、ファイル名、メールアドレス、タイムスタンプといったメタデータだけでも、中身の内容そのものが流出していなくても、それ自体がプライバシー侵害です。誰がいつそのアプリを使っていたか、場合によってはその内容が何についてのものだったかまで明らかになります。

写真や書類、メモをどんなVaultアプリに預けるとしても、その前に2つの直接的な質問をしてみてください。あなたのコンテンツはそもそもデバイスの外に出るのか。そして出るとすれば、提供元自身もアクセスできない鍵で、外に出る前に暗号化されているのか。この2つの答えが分かれば、その提供元が同じミスを犯した場合に自分がどれほど危険にさらされるかがほぼわかります。詳しくは信頼できるVaultアプリの見分け方と信頼する前に確認すべき7つのチェックを参考にしてください。

Privaraはこの問題にどう対応しているか

Privaraは設計上、この種の失敗が起こり得ません。アカウント作成は不要で、デフォルトでは何もサーバーにアップロードされません。あなたのVaultはデバイスにローカルに保存されるため、そもそも誰かが設定を誤るようなクラウドデータベースがあなたのコンテンツに関して存在しないのです。保存された内容はAES-256による保存時暗号化で保護されており、鍵の扱いはAppleが自社のSecure Enclave向けに設計している方法と同様、侵害される可能性のあるシステム部分には決して露出しません。これは、コンテンツを平文のままデータベースに保存するのとは根本的に異なる設計です。周囲のどこかの層が破られたとしても、そこにあるのは暗号化されたデータであり、実際の写真やパスワードそのものではありません。

そして写真だけの話ではありません。同じAES-256暗号化Vaultが、写真、動画、書類、連絡先のすべてを、PINでしか開かない同じ電卓型の偽装の裏で、一つの場所にまとめて保護します。信頼しているアプリのバックエンドが本当に正しく設定されているかを、痛い目を見てから知りたくないなら、App StoreでPrivaraをダウンロードして、こうした問題が起こらないよう設計された一つのVaultですべてを非公開のままにしてください。

よくある質問

この漏えいはハッキングによるものですか、それとももっと単純な原因ですか？

もっと単純で、ある意味ではさらに厄介な原因です。読み取りに認証が一切必要ない、設定ミスのクラウドデータベースが原因でした。パスワードを解読したり脆弱性を突いたりする必要はなく、データはただそこに置かれていて、アドレスを見つければ誰でもアクセスできる状態でした。

Vaultアプリがデータをローカルに保存しているか、クラウドに保存しているかはどうやって確認できますか？

アプリのプライバシーポリシーや権限を確認し、アカウント作成、同期、サーバーへのバックアップについての記載がないか調べてください。サインアップ不要で完全にオフラインで動作するアプリは、コンテンツがデフォルトでデバイスの外に出ない強い目安になります。

保存時暗号化は本当にこの種の漏えいを防げますか？

正しく実装されていれば、はい。鍵が安全なハードウェアの外に一切出ない形でコンテンツが暗号化されていれば、ストレージ層だけが露出しても中身までは露出しません。攻撃者が手に入れるのは暗号化されたデータであり、あなたの写真やパスワードそのものではありません。

このような漏えいのニュースを読んだら、Vaultアプリの利用をやめるべきですか？

必ずしもそうとは限りませんが、自分が実際に何を信頼しているのかを見直す良い機会です。ローカル保存、アカウント登録不要、そして見た目だけのロック画面ではなく本物の保存時暗号化を備えているかを確認しましょう。