Samsungスマート TVに潜むプロキシリスク――アプリが勝手にあなたの回線を貸し出す#
ノルウェーのサイバーセキュリティ企業Mnemonicが公表した調査結果により、複数の人気Samsungスマート TVアプリが、ユーザーのインターネット接続を見知らぬ第三者に流用するコードを含んでいることが明らかになった。この報告を受け、Samsungは当該機能を持つアプリのストア登録禁止および削除を発表した。
「住宅プロキシ（Resproxy）」とは何か#
住宅プロキシ（Residential Proxy Network、通称 Resproxy）とは、一般家庭やオフィスのインターネット回線を経由して第三者のウェブトラフィックを中継する仕組みのことだ。外部の利用者から見ると、通信が普通の家庭から発信されているように見えるため、悪意ある行為の隠れ蓑として使われるケースがあり、サイバーセキュリティ業界では近年その悪用が問題視されている。
Resproxy自体は違法ではなく、検閲回避やAI企業によるデータスクレイピング（複数ソースから大量のデータを収集すること）にも活用されている。しかし、サイバーセキュリティ各社は、ハッカーや諜報機関がサイバー攻撃やデータ侵害の際に身元を隠す手段として悪用していると指摘している。通信が一般家庭からのトラフィックに見えるうえ、流れるデータは暗号化されており解読・検査がほぼ不可能なため、対策が難しいとされている。
調査の詳細――Pac-ManゲームにResproxy機能#
MnemonicのオフェンシブセキュリティコンサルタントであるHarrison Sand氏は、SamsungスマートTVのソフトウェアをルート化（内部に深くアクセスできる状態）することで、TVを出入りするすべてのネットワークトラフィックを分析した。
問題のあったアプリの一例として挙げられているのが、Samsungが「Editor’s Choice」として推薦していたPac-Manゲームだ。このアプリには、イスラエル企業Bright Dataが提供するResproxy用コードが含まれていた。Bright Dataは世界中の数百万の住宅ネットワークへのアクセスを提供するプロキシサービスを展開しており、スクレイピング済みデータセットの販売マーケットプレイスも運営している。
Sand氏の調査によると、Pac-ManゲームのResproxコードはアプリを開いた時点で読み込まれるが、ユーザーが同意画面を承諾した時点で初めてバックグラウンドで起動する。重要なのは、アプリを閉じた後もこの機能が動作し続ける点だ。さらにSand氏は「ウェブサーバー上の些細なコード変更だけで、数億台のスマートTVを即座に悪意あるボットネットとして起動させることができる」と警告している。
また、Sand氏がネットワークデータを分析した結果、Bright DataのResproxy経由のトラフィックの多くが、LinkedInプロフィールの大規模スクレイピングやAIトレーニングデータの収集に使われていた様子が確認された。ただし、Sand氏が確認できたのはBright Dataのネットワーク全体のごく一部に過ぎないという。
なぜ審査でも見抜けないのか#
調査が指摘するもう一つの問題は、アプリストアの審査プロセスの構造的欠陥だ。問題のアプリの多くは数行のコードで構成されたシンプルな「外殻」に過ぎず、実際のゲームやコンテンツは外部サーバーから読み込む仕組みになっている。審査の対象となるのはアプリ本体の数行のコードのみで、外部から読み込まれるコンテンツは審査対象外となる。Sand氏はこれを「審査されたものと実際に動くものは必ずしも一致しない」と表現している。
Samsungの対応と業界の動向#
TechCrunchからコメントを求められたSamsungは、プロキシ機能を持つ新規アプリの登録をすでに制限したと表明。さらにResproxy SDKを明示的に禁止するプラットフォーム全体のポリシーを策定中であり、該当アプリの特定と削除作業も進めているとしている。
なお、ソース記事によると、LGも先月同様に、スマートTVアプリにResproxy機能を含むものを禁止する方針を発表している。LGのアプリストアでは、約42%のアプリがスマートTVをプロキシネットワークに組み込む機能を持っていたと報じられている。
まとめ#
ユーザーが意識しないまま、リビングのテレビが第三者のウェブトラフィックの中継点となっているという事実は、スマートTV普及時代の新たなプライバシーリスクとして深刻に受け止めるべきだ。Samsungのアプリ禁止方針は一歩前進ではあるが、既存アプリの削除や今後の審査プロセス強化の実効性については、引き続き注視が必要だろう。
筆者の見解: スマートTVはPCやスマートフォンほどセキュリティ管理が行き届かないデバイスであるにもかかわらず、常時接続かつ家庭内ネットワークの中心にある。今回の問題はSamsungだけにとどまらず、スマートTV全体のアプリエコシステムが抱える構造的な課題を浮き彫りにしていると感じる。メーカー各社の迅速かつ透明性ある対応が求められる。
出典: Samsung bans smart TV apps that share users’ internet connections with strangers
