プライバシー問題だけじゃない！スマートスピーカーのセキュリティトラブル事例まとめ

　また、スマートスピーカーはビジネスシーンにも進出しています。2017年11月に、Amazonはエンタープライズ向けのスマートスピーカー「Alexa for Business」を発表しました。ビジネス向けの機能が拡充された「Alexa for Business」は、スケジュールの管理、会議室の空き状況の確認や、事務用品の発注などを命令するだけで実行してくれます。働き方改革が進む中、雑務を効率的にこなし、重要な仕事に集中して取り組む環境作りを支援するスマートスピーカーはむしろオフィスでこそ活躍するかもしれませんね。

　まさに次代を担うスマートスピーカーですが、便利な反面、様々なセキュリティ上のリスク、懸念が存在します。例えば、プライバシーに関するリスクです。スピーカーとして日常会話を常時収集可能なスマートスピーカーを悪意ある第三者に乗っ取られた場合、「盗聴器」として個人情報を含む様々な情報の盗み出しに利用される可能性があります。個人所有のスマートスピーカーでも当然注意は必要ですが、オフィスに導入している場合はより一層セキュリティ対策が重要となります。

　今回は、そんなスマートスピーカーに関して実際に起きたセキュリティ上のトラブル事例を紹介していきたいと思います。おそらく、想像している以上に様々な問題が発生していると感じるはずです。 

<Case.1>テレビの音声に反応して誤作動

　スマートスピーカーを家のリビングに設置していたなら、スマートスピーカーの近くにテレビも設置してある、というケースも多いと思います。スマートスピーカーがテレビから流れる音声に反応して誤作動を起こしてしまった事例を、DIGIDAYが紹介しています。

 <テレビCMでGoogle Homeをハック、バーガーキングの奇策：その後の各方面の反応>

　バーガーキングのテレビCMの中で、店員は「（CMの時間である）15秒ではバーガーキングのメニューの一つであるワッパーバーガーの新鮮な材料について説明しきれないな…そうだ、OK, Google！ワッパーバーガーってなに？」と言います。すると、テレビの前のGoogle Homeが反応し、ワッパーバーガーについてのウィキペディアの説明を読み上げてしまったそうです。

　他にも、米アニメ「South Park」の中で、登場人物がアニメの中のAmazon Echoに対し「とある商品をAmazonの買い物リストに追加」や「午前7時にアラームを鳴らす」という命令をしたところ、テレビの前のAmazon Echoが反応し、実際に商品を買い物リストに追加したり、アラートをセットしたりしてしまう事象が発生したそうです。

　ウィキペディアの読み上げやアラームのセットなど、ちょっとした笑い話ともとれますが、ある意味第三者に勝手にスマートスピーカーを操作されているということであり、今後深刻な問題が発生しないとは限りません。

<Case.2>超音波によるスマートスピーカー乗っ取り

 　音声を超音波に変換するパラメトリックスピーカーという機器を用いることで、第三者が周囲に気付かれることなくスマートスピーカーを操作できたとする実験結果を早稲田大学の研究グループが発表しました。

<AIスピーカー乗っ取り　超音波を悪用、早大実験>

<AIスピーカへの攻撃評価に関する研究がメディアに取り上げられました>

　実験では、3.5m離れたスマートスピーカーであれば100%操作でき、最大10m離れていても操作が可能であったようです。実際に攻撃を成立させるためには、攻撃者（パラメトリックスピーカー）とスマートスピーカーの間に障害物がないことや、人間の声から個人を認識する話者認識機能がスマートスピーカーの設定として有効になっていないことなど、いくつか満たすべき条件があることから直ちに脅威となるものではないとしています。しかし、中国の浙江大学の研究グループも同様に超音波によってスマートスピーカーを操作できたことを発表していることから、超音波など人間に聞こえない音声に対する対策は早急に実施すべきではないでしょうか。

<Case.3>脆弱性を悪用したスマートスピーカー乗っ取り

　PCやスマートフォンと同様に、スマートスピーカーに対しても「脆弱性を悪用した攻撃」は成立しうるようです。以下の動画では、「BlueBorne」と呼ばれるBluetoothの脆弱性を悪用することで、第三者がAmazon Echoの乗っ取りに成功していることを確認することができます。

　IoTセキュリティ企業のarmisにより2017年9月に発表された「BlueBorne」はAndroid、iOS、Linux、Windowsなどの主要なOSに存在する脆弱性で、スマートフォンやPCなどのBluetooth搭載デバイスに広範囲に影響を及ぼすものとあって非常に話題となりました。「BlueBorne」脆弱性を悪用されると、第三者によりBluetoothの有効範囲内から任意のコードが実行され、デバイスを不正に操作されたり、情報を窃取されるといった被害が発生しうるようです。armisは脆弱性を発見した時点で各メーカーに報告していたため、9月に発表された時点でほぼ全てのデバイスにおいて脆弱性の対応は完了しているものとされていました。

　しかし、同年11月、armisはGoogle Home、Amazon Echoについても「BlueBorne」脆弱性が存在することを発表しました。前述したとおり、第三者によるAmazon Echoの乗っ取りを成功させています。9月の発表の際と同様に、事前にGoogle、Amazonによって脆弱性は修正されていたため、現時点で実際に「BlueBorne」脆弱性を悪用した攻撃による被害は報告されていないようです。ですが、スマートスピーカーについてもスマートフォンやPCと同様のセキュリティリスクが存在することを意識し、脆弱性やマルウェアなどへの対策を欠かさずに行うことが重要であることを示す事例だと思います。

<Case.4>不具合によりあらゆる音声データをサーバーにアップロード

 　スマートスピーカーは基本的に、音声操作時の命令のみを各社のサーバーにアップロードします。例えばGoogle Home、Amazon Echoは共に利用規約に「命令のみサーバーにアップロードする」旨が記載されています。

<Google Home のデータ セキュリティとプライバシー>

<AlexaおよびAlexa対応端末に関するFAQ>

　しかし、2017年10月に発表されたGoogle Home Miniに、命令以外も含めた全ての音声を録音し、Googleのサーバーにアップロードしてしまう不具合が発見されました。

<Google Home Miniに常時録音してしまうバグ発覚、すでに修正済みで製品版には影響なし>

　Google Home Miniを音声操作する際は、「Ok, Google！」といった起動コマンドを語りかけるか、上部にあるタッチパネルをタッチする必要がありました。しかし、タッチパネルの不具合により、Google Home Miniが常に音声操作を受け付ける状態となっていたため、結果として周囲の会話を全てGoogleのサーバーにアップロードしてしまいました。不具合は一般販売前にメディア向けに配布された一部の端末で発見され、上部のタッチパネル無効化という形で即座に修正されたため、一般販売用の端末ではこの問題は起こりません。

　あくまでGoogleのサーバーへのアップロードであり、第三者に個人情報が漏えいしていたわけではありません。しかし、利用者の許可なくあらゆる会話を収集することはプライバシー上大問題であり、スマートスピーカーを利用する際のプライバシーについてあらためて考えさせられる問題となったことは間違いありません。

まとめ

 　スマートスピーカーに関するセキュリティ上のリスクが顕在化した事例をいくつか紹介しましたが、スマートスピーカーは危険なので使うべきではない、などと述べるつもりはありません。むしろ、様々なデバイスがネットに繋がるIoT時代をリードし、日々の生活をより豊かにしてくれる存在であると考えています。重要なのは、セキュリティ上のリスクがあることを常に意識することと、リスクが顕在化した際には適切な対応(バージョンアップなど)を行う姿勢をもつことではないでしょうか。これはPCやスマートフォンを扱う際と同じことですね。

　最後に、スマートスピーカーに内蔵された人工知能における、ちょっぴり怖い話を紹介します。Amazon Echoが命令もなしに突然笑い出す不具合が発生したと、多くのSNSで報告がありました。

<アマゾンEchoスピーカーが唐突に笑い出す不具合発生。各地でAlexaに怯えるユーザー続出>

　「ハハハ！」と不気味に笑っていますね…。Amazonによると原因はAmazon Echoが命令を「Alexa, laugh」と誤認識してしまうからで、不具合は修正済であるとのことです。しかし、命令なしに突然笑い出すことの原因は不明で、真相は闇の中です。本当にただの不具合なら良いですが、人工知能が何かしらの意図をもっての行動だとしたら…セキュリティ上のリスクよりもよっぽど脅威かもしれませんね。

Secure SketCHへの新規登録（無料）はこちらから！