Innovative Tech

中国語のスマホ標準キーボードアプリでキー入力が盗まれる脆弱性　攻撃対象は“10億人規模”と試算

公開 2024年05月09日 08時01分

著者

山下裕毅

[ITmedia]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

Innovative Tech：

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

X：＠shiropen2

　カナダのトロント大学にある研究機関「Citizen Lab」は、中国で広く利用されているキーボードアプリに関する最新の調査報告を公開した。報告書によると、中国の主要なクラウドベースのスマホキーボードアプリに脆弱性が認められたという。この脆弱性が悪用されると、ユーザーが入力した内容（キーストローク）が盗まれる可能性があるとしている。

中国語のスマホ標準キーボードアプリでキー入力が盗まれる脆弱性

　今回問題になったのは、中国語の入力方式として主流のピンイン（ローマ字入力）に対応したキーボードアプリだ。これらのアプリの多くは、入力した文字列をクラウドサーバに送信し、変換候補を取得する「クラウドベースの予測変換機能」を備えている。

　しかし今回の調査により、この通信が十分な暗号化なしに行われており、悪意ある第三者によって盗まれる危険性があることが判明した。

　中国のベンダー9社（Baidu、Honor、Huawei、iFlytek、OPPO、Samsung、Tencent、Vivo、Xiaomi）のクラウドベースのAndroid、iOS、Windows向けのピンイン入力アプリを分析し、ユーザーのキーストロークの送信における脆弱性を調査。その結果、Huawei以外の8社のキーボードアプリにこの脆弱性が見つかった。

　特に、中国のスマートフォン市場の50％近くを占めているHonor、OPPO、Xiaomiの端末が搭載する標準のキーボードにも脆弱性が見つかったため、この脆弱性の影響を受けるユーザーは約10億人に上ると推定される。

　Citizen Labは、脆弱性が発見された8社のベンダーに対し、問題を報告。ほとんどのベンダーから返答があり、真摯に問題に取り組み、報告された脆弱性を修正する対応が取られたが、一部のキーボードアプリでは脆弱性がまだ残っている可能性があるという。

報告書から引用

この連載新着通知をメールで受け取る

印刷する

SpecialPR

Innovative Tech

2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説している。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。

連載新着通知を受け取る

この連載の記事をもっと見る