ほぼすべてのガジェットや家電製品がインターネットに接続できるからといって、必ずしもそうすべきというわけではありません。これらの「スマート」デバイスは、インターネットの障害によって使えなくなる可能性があり、また、多くのデバイスはセキュリティが脆弱で、簡単にハッキングされる可能性があります。
そして、セキュリティ研究者が最近発見したように、ある人気の大人のおもちゃに重大なセキュリティ上の欠陥があった場合、何万人ものユーザーにとって壊滅的な結果を招く可能性がありました。
英国に拠点を置くセキュリティ会社ペンテストパートナーズは、「世界初のアプリ制御貞操帯」と謳われるインターネット接続型貞操帯「Qiui Cellmate」の欠陥により、誰でも遠隔操作でユーザーのペニスを永久にロックできる可能性があると述べた。
Cellmate貞操帯は、信頼できるパートナーがモバイルアプリを使ってBluetooth経由で遠隔操作で貞操帯の施錠・解錠を行える仕組みです。このアプリはAPIを使って貞操帯と通信しますが、このAPIはパスワードなしで公開されていたため、誰でもユーザーのデバイスを完全に制御できる状態でした。
このチャンバーは使用者のペニスの下にある金属リングでロックするように設計されているため、使用者を解放するには強力なボルトカッターやアングルグラインダーの介入が必要になるかもしれないと研究者らは述べている。
アダルトセクスティングサイトが数千人のモデルのパスポートと運転免許証を公開
テッククランチイベント
サンフランシスコ | 2025年10月27日～29日
ペンテスト・パートナーズの研究者、アレックス・ロマス氏はブログ記事で、攻撃者は「全員をロックインまたはロックアウト」する能力を非常に迅速に備えていると述べた。「緊急時の無効化機能もないため、ロックインされてしまったら脱出する方法はない」と同氏は記している。
安全でない API により、ユーザーのアプリからプライベート メッセージや正確な位置情報にアクセスすることもできました。
TechCrunchがこの脆弱性を初めて知ったのは6月でした。研究者たちは、欠陥のあるAPIについて中国に拠点を置くQiuiに連絡を取りました。脆弱なAPIをオフラインにすると、デバイスを使用しているすべてのユーザーがロックアウトされる可能性がありました。開発者は新規ユーザー向けに新しいAPIを公開しましたが、既存ユーザー向けにはセキュリティ保護されていないAPIを残しました。
QiuiのCEO、ジェイク・グオ氏はTechCrunchに対し、修正プログラムは8月にリリースされる予定だと述べていたが、期限は過ぎてしまった。「私たちは地下室のチームです」とグオ氏は語った。ユーザーへのリスクを説明したフォローアップメールでは、「修正すれば、さらに問題が生まれます」とグオ氏は述べた。
結局、Qiui は脆弱な API を修正するために自らに課した 3 つの期限を守れなかったと Lomas 氏は語った。
ペンテスト・パートナーズが別の研究者から別のセキュリティ問題について聞いた後、公開を決断しました。その研究者もQiuiからの回答を得るのが困難でした。「このことが、公開するという私たちの決断をさらに強固なものにしました。明らかに、他の人々はこれらの問題を私たちとは無関係に発見する可能性が高いため、公益性の観点から問題であると認識しました」とロマス氏は記しています。
脆弱性のあるAPIが悪意を持って悪用されたかどうかは不明です。アプリのユーザーレビューには、デバイスがロックされたままになるバグがあるとの苦情がいくつかありました。
多くのスマートホームデバイスメーカーは、ユーザーのデータを政府に提供するかどうかをまだ明言していない。
「3日後にアプリが完全に動かなくなり、もう手が回らない！」とあるユーザーは言いました。別のユーザーは「アプリの信頼性が低いせいで、装着時に既に2回も動かなくなってしまった」と語っています。
「1ヶ月ほど使えましたが、ほとんどはめ込まれそうになりました。幸いにも、勝手にロックが解除されて脱出できました。この器具のせいでひどい傷が残り、回復に1ヶ月近くかかりました」と別のレビューには書かれていました。
Qiuiは、インターネットに接続しないデバイスには本来存在しないセキュリティ問題を抱えるセックストイの長いリストに加わりました。2016年には、Bluetooth接続の「パンティバスター」にバグがあり、誰でもインターネット経由でセックストイを遠隔操作できると研究者らが指摘しました。2017年には、スマートセックストイメーカーが、ユーザーの「非常に個人的で機密性の高いデータ」を収集・記録したとして訴えられ、和解しました。
安全なセックスを実践してください。スマートデバイスは使用しないでください。
関連記事:
- アダルトセクスティングサイトが数千人のモデルのパスポートと運転免許証を公開
- Plenty of Fishアプリがユーザーの隠された名前と郵便番号を漏洩していた
- 「カムガール」サイトのネットワークが何百万人ものユーザーとセックスワーカーを危険にさらした
- Tinderの新しい個人セキュリティ機能は、敵対的な国のLGBTQ+ユーザーを保護することができます
- 多くのスマートホームデバイスメーカーは、ユーザーのデータを政府に提供するかどうかをまだ明言していない。
- グループデートアプリ「3Fun」が150万人のユーザーの機密データを公開
ザック・ウィテカーはTechCrunchのセキュリティエディターです。彼はまた、毎週のサイバーセキュリティニュースレター「今週のセキュリティ」の執筆者でもあります。
Signalのzackwhittaker.1337宛ての暗号化メッセージで連絡を取ることができます。また、メールで連絡を取るか、確認したい場合は[email protected]までご連絡ください。
バイオを見る
