パスワードを忘れた？ アカウント作成
Close
15326345 story
プライバシ

スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ 55

ストーリー by nagazou
無断 部門より
あるAnonymous Coward 曰く、

スマートホームカメラ「ATOM Cam」を開発・販売するATOM Tech（アトムテック）は6月12日、同社の提供する「ATOM – スマートライフ」アプリ（Android版、iOS版）において、事前の説明と異なる目的で位置情報を利用していたことを謝罪し、位置情報の利用を停止した修正版のアプリを公開した（ATOM Techのニュースリリース）。

発端は5月29日、Googleのソフトウェアエンジニアである河本健氏がAndroid上でのパケットキャプチャにより、同アプリが起動時に端末の緯度・経度をアトムテックのサーバーに送信していることを発見したことに始まる。

同アプリでは事前に「スマートフォンのWi-Fi情報を取得するため」として初期設定時に位置情報の取得の許可を求めていたが、そのために位置情報を送信する必要性を同社に問い質したところ、実は「ユーザーのタイムゾーンを判定するため」という回答があったという。

しかしながら、タイムゾーンを判定する目的であればタイムゾーン取得用の関数を利用したスマートな方法が存在することや、事前の説明を逸脱した位置情報の利用について、同社からの返信が途絶えたため、河本氏が6月11日にこれまでの経緯をツイートしたところ、1,000リツイートを超える炎上状態となっていた。

同社の説明によれば、問題の原因は社内体制の不備にあり、タイムゾーン判別後の位置情報はサーバーに保存しない仕様であったという。また、問題提起を行った河本氏に対しては、こうした報告を無視せずにすぐ対応できるよう連絡ラインを見直すとの回答があったようだ。

情報元へのリンク

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

スマートホームカメラ「ATOM Cam」専用アプリで位置情報の無断送信が判明、批判受け修正へ More

  • 自社開発ではないんだよなぁ (スコア:3, 興味深い)

    by Anonymous Coward on 2021年06月23日 19時01分 (#4056604)

    結局、中国メーカのOEM品なんですよね
    Wyze Cam [wyze.com], WANSVIEW [wansview.com]、Xiaomi Xiaofang とかいろいろあって、firmwareバージョン表記を見ると、なんとなーく開発順序が見えてきて興味深いですね

    ATOM CAM2 : 4.58.0.39
    ATOM CAM ; 4.33.3.24
    Wyze Video Doorbell: 4.25.0.244
    Wyze Cam Outdoor: 4.17.1.123
    Wyze Cam : 4.16.2.7
    Wyze Cam Pan: 4.10.6.241
    Wyze Cam v3: 4.36.2.5
    Wyze Cam v2: 4.9.6.241
    Wyze Cam v1: 3.9.4.32

    SoCはMIPS系コアのIngenic T10/T20/T31Xを使っていて、ATOM CAM/ATOM CAM2はT31X版らしい
    T20版の方は、いろんなhack手法がある
    Xiaomi DaFang Hacks / XiaoFang 1S / Wyzecam V2 / Wyzecam Pan / Other T20 Devices [github.com]
    JCO PM203 Fisheye Ingenic T20 P2P camera hacks [github.com]
    OpenMiko [github.com](custom firmware)

    • Re:自社開発ではないんだよなぁ (スコア:1)

      by Anonymous Coward on 2021年06月23日 20時21分 (#4056642)

      アトムテック株式会社（ATOM tech Inc.）
      https://www.atomtech.co.jp/cor... [atomtech.co.jp]
      の企業メッセージ曰く、
      『日本のスマートホーム製品に革命を起こす』らしいです。

      中華製品が革命起こすってどんな皮肉・風刺なんですかね……

      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward

      ハードウェア・ファームウエア・アプリのすべて国産ってのは稀ですが、すべて海外製ってのも稀なので、下手に言及すると主語デカになっちゃうんですよね。

      元々クラウドファンディング [readyfor.jp]のページでは

      すでに、アメリカ版は2年間で600万台の販売実績がある製品がベースです。
      「海外製品のコピーなだけじゃないの？」と思われるかもしれません。
      外見は同じですが、ファームウエア・アプリは『ATOM Cam』専用の開発チームをつくり、サーバーも日本のAWSを使っています。

      と述べています。

      アプリ開発の主導権が国内にあるので今回の件も炎上翌日には対応できたんだというのが分かりますが、ファームウェアの方は海外のOEM製品とバージョンに連続性があるということは、コア機能の大部分を海外に依存している可能性があるわけですね。

      • Re: (スコア:0)

        by Anonymous Coward

        WANSVIEWの初期設定やってる場面に遭遇したんだけど、ATOM CAMと同じ日本語音声で設定が始まってたし、アプリの見た目もほぼ同じだったので、まぁそんなもんなんだろうと思いましたね

  • スマート家電なぁ (スコア:0)

    by Anonymous Coward on 2021年06月23日 18時16分 (#4056579)

    ネット越しのサービスに依存するやつはこういうのの懸念が払拭出来ないし
    セルフでハードとソフト管理するとハードルが一気に高くなる

    何とかならんもんか

    • Re:スマート家電なぁ (スコア:1)

      by Anonymous Coward on 2021年06月23日 19時39分 (#4056621)

      デフォルトはクラウド連動でもいいけど、クラウドから切断して動くようにしてくれないと、とても購入する気になれない

      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward

        前に買った安カメラ。
        たった半年でサービス終わり。

      • Re:それな (スコア:0)

        by Anonymous Coward

        個人情報だだもれとかあまりかんけーなくて　そもそも製品が使えなくなるのがやなんだよな

    • Re:そんなもんです (スコア:0)

      by Anonymous Coward

      そんなものと割り切ってつかうしかないのでは？

      今回のATOM CAMだって　急に出た話ではなく一般販売に
      なって割と早い段階で出ている話だし

    • Re: (スコア:0)

      by Anonymous Coward

      なので、自分はセキュリティが割としっかりしてるAppleHomekit重視で
      さらにHomekitルーター機能( https://support.apple.com/ja-jp/HT210544 [apple.com] )で、HomekitでつながったIoTがLAN/WANに勝手につながらないよう制御してる。
      まぁこの機能なくても、普通にルーターで指定のローカルIPアドレスをブロックすればいいんだろうけど、管理面倒だよね。

  • そもそもWi-Fi情報を取得する必要性 (スコア:0)

    by Anonymous Coward on 2021年06月23日 18時35分 (#4056592)

    以前のアプリではアルバムを開くと位置情報を取得します。カメラからタイムラプスファイルを取得するためwifiの情報が必要で、wifiの情報を取得するため位置情報の権限が必要です。
    最新版（1.8.2）では問題を修正済みです。

    — ATOM Cam (@ATOM_Cam_ATJ) June 23, 2021 [twitter.com]

    wifiの情報を取得するため位置情報の権限が必要ってのは分かるんだけど、タイムラプスファイルを取得するためwifiの情報が必要ってどういうことなの？ 教えて識者！

    • Re:そもそもWi-Fi情報を取得する必要性 (スコア:1, 参考になる)

      by Anonymous Coward on 2021年06月23日 19時29分 (#4056614)

      初期設定時にカメラをネットワークに接続させるためSSIDとPSKをQRコード化してカメラに撮影させて読み込ませるのに必要（といっても現行バージョンでは自動取得を許可せずSSID/PSKの手動入力も可）なんだけど、カメラのSDカード内に保存されているタイムラプス動画をダウンロードするのに改めてその手順が必要な理由はよくわからないな。

      あー、#ATOMCam [twitter.com] のタイムラプスダウンロードに位置情報が必要なの、SSIDを取るために、っていうところまではわかってたけどクラウドの機能じゃなくてローカル鯖立ててんのか…たしかにIPレンジ判定じゃ別機器って可能性もあるしな…
      タイムラプス動画ダウンロード中は80が開く…まぁローカルだしいいか

      — ひろみつ(honeylab) (@bakueikozo) June 6, 2020 [twitter.com]

      Wi-Fi Directとかで通常のリアルタイム動画とは別経路を開いてるのかも。

      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward

      タイムラプスの生成をスマホアプリでする時に、元動画ソースをクラウドではなく、カメラのmicroSDからWi-Fi経由で直接引っ張ってくる仕様なのでは？
      クラウドの負荷軽減の為にローカルで完結したかったとかで。

    • Re: (スコア:0)

      by Anonymous Coward

      スマホへのファイル転送に WiFi Direct あたりを使ってるってことじゃない？

    • Re: (スコア:0)

      by Anonymous Coward

      ぐぐるやあぽーが毎回バグでしたﾃﾍﾍﾟﾛやってっから
      ああ俺等もやっていいんだってなるよなまぁ

      • Re: (スコア:0)

        by Anonymous Coward

        別件で政府から言いがかりつけられて何百億単位で罰金払わされてるのを、ベンチャーや個人事業でも同じように払える訳がないけどな

    • Re: (スコア:0)

      by Anonymous Coward

      俺は wifi 情報を取得するために位置情報の権限が必要なのも意味わからないのだが。
      いつの間にか Android の仕様がそうなっていたのだけど、wifi掴んで通信するだけなら位置情報なんていらなくね？

      • Re: (スコア:0)

        by Anonymous Coward

        SSIDから今いる場所を特定できるから位置情報なんだよ。

        • Re: (スコア:0)

          by Anonymous Coward

          カメラで写真を撮影する時に
          位置情報を取得します(撮影した写真の風景から位置情報を特定できる(可能性がある)から)
          電話番号を取得します(撮影した人物の顔認識で電話番号DBと結合出来る(可能性がある)から)
          身体活動を取得します(撮影した人物から身長 体重を機械学習で推測出来る(可能性がある)から)

  • カメラの方も何か隠してやってない？ (スコア:0)

    by Anonymous Coward on 2021年06月23日 18時43分 (#4056598)

    社内体制の不備で

  • 競合機種と比較して異様に安かったので (スコア:0)

    by Anonymous Coward on 2021年06月23日 19時00分 (#4056603)

    カタログスペック外の部分に何か罠があると思って手を出さなかったが、やっぱりな。

  • SMB1しか使えないポンコツ (スコア:0)

    by Anonymous Coward on 2021年06月23日 21時41分 (#4056678)

    カメラとしてもSMBへの保存にSMB1しか使えないポンコツだったりする。
    脆弱性で利用が推奨されてないバージョン使うのもなあ･･･（カメラ自身はどうなの、という話は置いておく

    • Re: (スコア:0)

      by Anonymous Coward

      BUFFALO製最新ルーター「すまんなｗ」

  • 天気予報を表示すればいいんだよ！ (スコア:0)

    by Anonymous Coward on 2021年06月23日 22時50分 (#4056719)

    そういえば、そんなＯＳがあったな

  • 業務でそれ発見したのかね？
    個人の趣味で発見したのならなんで「Googleのソフトウェアエンジニア」などと名乗る必要ある？
    業務で発見したのなら会社対会社の正式ルートで問い合わせればいいものをどうもそんな感じはなく個人でやってるように読める
    しかも正義面して。ツィートして炎上させて。マスゴミと同じ。
    これが仕事なの？

    • 随分とクリティカルヒットしたようですね
      お大事に

      シェア
      親コメント
    • Googleには仕事時間の20%を仕事以外に費やすというルールがですね
      // もう存在しないらしいですが
      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward

      君は何者にも成れなさそうだな
      まさにACって感じ

    • Re: (スコア:0)

      by Anonymous Coward

      ネットの発信は全部ACでやれってことですね。わかりみが浅い。

    • Re: (スコア:0)

      by Anonymous Coward

      タレコミ人です。
      タレコミ文に所属を載せるかどうか迷ったのですが、安全側に倒して「Googleのソフトウェアエンジニア」と記載しました。
      これは発言に箔を付けるという意味ではなく、Androidアプリのパーミッションモデルに関してGoogleの従業員は利害関係者だからです。
      米国はステマに厳しいため、個人の趣味であろうが、業務であろうが、利害関係にある製品への言及の際は所属の明記が求められます。

      米国企業ではソーシャルメディアガイドラインで所属の明記を求めるのに対して、日本の組織は隠すことを求めるの本当に不思議。透明性よりも事勿れ主義なんだろうな https://t.co/RnxtaNsvE9 [t.co]

      — Masanori Kusunoki / 楠 正憲 (@masanork) May [twitter.com]

  • 是正策 (スコア:0)

    by Anonymous Coward on 2021年06月24日 6時44分 (#4056796)

    こういう事件を防ぐためにも、
    この手のプロダクトにはリバースエンジニアリング禁止条項が必須ですね（違

    • Re: (スコア:0)

      by Anonymous Coward

      アプリ内を直接解析しなくても、APIモニタやSSL暗号化の前段階をパケットキャプチャできるアプリがあれば、
      どのような通信をしているのかは明らかにできますよ。

      今回のはおそらく後者でやってるはずです。

  • 監視 (スコア:0)

    by Anonymous Coward on 2021年06月24日 7時34分 (#4056803)

    電源とネットワークに接続されたカメラを
    「自腹で」
    「自分で」
    「自宅に」
    設置する。もはや心の病といって良いんじゃ無いかと思いますよ。
    一昔前ならりっぱな盗聴機器です。
    FBのトップは自分のPCにも、マイクとカメラに物理的フタをしてるそうですね。何が違うんでしょう。

    • Re:監視 (スコア:2)

      by kcg (26566) on 2021年06月24日 8時18分 (#4056817) ホームページ 日記

      庭に設置しておいたらたぬきが写ったりして面白いですよ。2500円のわりにきれいに写ります。

      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward

        例えば、ベランダに鳥のうんこが落ちてるけど、鳥の姿を見たことがない
        いつ、どんなのが来てるの？とか疑問を解決するために３千円(microSD込み)というのはお手軽ですよね

  • 逸般人かもしれないけど、普通の人が普通の道具でわかる程度のことを、
    発売元であるATOM tech社がわからないとか、技術力のない会社という印象が強烈に残った

typodupeerror

未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー