X



【IME】入力した情報を勝手に送信 「キーロガー」スマホ向けキーボードアプリにご用心
■ このスレッドは過去ログ倉庫に格納されています
0001サーバル ★2019/07/02(火) 17:00:35.62ID:kFDMUknk9
キーワードロガーとして機能するオメガ社のキーボードSDKとその採用アプリ
2019/06/25 13:07
アドテク企業・オメガ株式会社のカスタムキーボード/キーボードSDKを採用するアプリ(ANYTYPE、moppyキーボード、USAVICHキーボード、瞬間日記、PUSH!、PicoSweet)の通信内容をパケットキャプチャにより解析・考察する。

結論としては、予め指定された特定のキーワードを入力した事実がオメガ社のサーバに随時送信されていた。キーロガーならぬキーワードロガーとでも呼ぶべきものだろう。これにより、オメガ社はユーザーの使用アプリ名称と入力内容の一部または全部(個人情報、機密情報、機微情報を含む)を知得できる状態にあった。

経緯

発端は高木浩光氏へのタレコミである。

所構わず営業を仕掛けるだけならば行儀の悪い企業によくある話だが、このときAmazon S3で公開されていたオメガ社のオメガキーボード説明資料が注目を集める。

この資料によれば、オメガ社が開発するキーボードSDKを自社アプリに組み込めば、ユーザーの入力内容や使用アプリ情報を収集できるという。こうした機能は一般に「キーロガー」と呼ばれ、ユーザーの同意なく実行されればスパイウェアであることから、スマートフォン利用者らに不安が広がった。

同様の懸念は過去に百度の「Baidu IME」「Simeji」で現実のものとなっており、キーボードアプリへの信頼を揺るがす一大事に発展している。

早速有志によってオメガ社のプレスリリースから提携先の特定が進められ、そのうちの一つ「moppyキーボード」で文字コードらしきもの(詳細は後述)が送信されていることが確認される。

だが、文字コードにしてはいささか奇妙である。実際にmitmproxyでオメガキーボードの通信内容をパケットキャプチャした結果、幾つかの事実が判明した。

送信されているのは「キーワード」

オメガキーボード採用アプリは起動時に約9万行のキーワードリストをオメガ社のサーバ(https://a.omega-adnetwork.com/api/keyword_list)からJSON形式で取得しており、これには広告入札キーワードと思われる文字列とそれに対応するキーワードIDが列挙されていた。

通信内容と照合した結果、アプリから送信されていたのは文字コードではなくこのキーワードIDであることが判明した。キーワードIDが分かるということは、キーワードを逆引きすることもできるので、キーワードを送信していることと同義である。

文字入力確定の度に、形態素解析か何かで文字列をキーワード単位に分解。キーワードリストと照合して、合致するものがあれば、そのキーワードIDのリストをオメガ社のサーバに送信。合致するものがなければ、何も送信せず、汎用広告を取得、キーボード上部に表示するというロジックのようだ。

(続きはソース)
https://note.mu/note_s/n/ndd140e8208fa
0002名無しさん@1周年2019/07/02(火) 17:01:20.42ID:Ct3GD9C60
>スマホ向けキーボードアプリ

何それ?
0003名無しさん@1周年2019/07/02(火) 17:01:42.46ID:f6OtKllM0
Shimeji
0005名無しさん@1周年2019/07/02(火) 17:02:16.95ID:aYOJh6K50
>>2
スマホ向けのATOKとかGoogle日本語入力とかあるじゃん
0006名無しさん@1周年2019/07/02(火) 17:02:59.07ID:TY/O4ayD0
バカはSimejiを使い続ける
危険性については別にいいや〜だとさ
0007名無しさん@1周年2019/07/02(火) 17:03:22.11ID:aYOJh6K50
>>4
オメガ社に送信
0008名無しさん@1周年2019/07/02(火) 17:04:11.18ID:znRvWJnx0
>>1
どこへ
0009名無しさん@1周年2019/07/02(火) 17:04:51.25ID:oBaRzA980
よくそんな怪しいキーボードアプリ入れられるな
まあ俺も片手キーボード入れてるけど
0010名無しさん@1周年2019/07/02(火) 17:04:56.53ID:RgthLSeU0
今まで頑張りましたがもう少し利用してみませんか?(´・ω・`)
今までお世話になりました私の良くないところをどうぞご指摘下さい(´;ω;`)
0013名無しさん@1周年2019/07/02(火) 17:05:38.03ID:iWnys0qz0
またしめじか
0016名無しさん@1周年2019/07/02(火) 17:06:10.64ID:udfeY0+10
iOSみたいにOSレベルで
キーボードの権限指定できるようにすれば良かったのに
0018名無しさん@1周年2019/07/02(火) 17:07:23.60ID:hhfMXY4O0
>>5
これでいいよな
0019名無しさん@1周年2019/07/02(火) 17:08:23.89ID:8mSdu5i90
あまりオイラの性癖があちらこちらに知られるのは、好ましくないな。
少なくてもGoogle、Apple、マイクロソフト辺りは、オイラの性癖を把握してると思うがW
0020名無しさん@1周年2019/07/02(火) 17:08:30.71ID:aYOJh6K50
>>13
Shimejiは単体アプリじゃん?
これはSDKだからもっと悪質
0021名無しさん@1周年2019/07/02(火) 17:08:38.48ID:WZj73mpm0
やはりアンドロイドはAtok
0022名無しさん@1周年2019/07/02(火) 17:09:47.73ID:/DeqlvvK0
またGoogleか
0023名無しさん@1周年2019/07/02(火) 17:11:01.00ID:gVNkI7nT0
つかキーロガーじゃないの存在しないだろ・・・
0024名無しさん@1周年2019/07/02(火) 17:11:40.86ID:tWg9Q2wD0
マイクロソフトもグーグルもアップルもみんな変換内容送信してるじゃん
0025名無しさん@1周年2019/07/02(火) 17:12:52.95ID:RgthLSeU0
だってこれだもん(´・ω・`)
>オメガ株式会社では、独自に収集した膨大な量のビッグデータを人工知能で解析し、
>個々のユーザーに合わせて欲しいときに欲しい広告が配信できる世界初の広告配信技術を開発しております。
0026名無しさん@1周年2019/07/02(火) 17:14:55.05ID:5cX3oleo0
やはりPCでもスマホ/タブレットでも
機能に多少不満はあるものの、標準FEPを使うのが無難てことか

もっとも標準のやつもユーザ辞書データを収集しているっぽいから
安心できないけど
0028名無しさん@1周年2019/07/02(火) 17:22:33.37ID:g/2pUPoG0
Lineやってる子供とか、シメジを使っているけど大丈夫かね。
0029名無しさん@1周年2019/07/02(火) 17:22:42.82ID:ABiPR79o0
>>3
スマホで決済とかしなければこれがいい。
0030名無しさん@1周年2019/07/02(火) 17:26:09.39ID:U0cr2Rti0
>>29
あとどこにもログインしないのってのも
0033名無しさん@1周年2019/07/02(火) 17:32:02.23ID:SzFJAkaT0
ちなみにオメガ社のロゴを見るとauto。
かなり初期の段階から朝日新聞の投資を受けている。
0034名無しさん@1周年2019/07/02(火) 17:32:35.43ID:7Y1PnHfS0
最近またSimeji使う人が増えてきた
0035名無しさん@1周年2019/07/02(火) 17:32:58.68ID:uAC+rHZC0
泥機使っているから、グーグルに全部持って行かれるのは覚悟してる
極力スマホでカード情報入れないようにしてるけど
シメジとか使っている連中、その辺怖くないのかな
0036名無しさん@1周年2019/07/02(火) 17:34:21.66ID:cu3GW3W40
webのクレカ番号入力欄って、毎回IMEが立ち上がるような設定になってるけどなんで?
0039名無しさん@1周年2019/07/02(火) 17:36:44.26ID:PFuNQgpn0
atokとgoogleime以外使う必要ってどこにあるんだろう
0041名無しさん@1周年2019/07/02(火) 17:43:36.05ID:9w8eS9MN0
>>40
中韓に抜かれるよりマシだわ
0042名無しさん@1周年2019/07/02(火) 17:45:53.32ID:iWnys0qz0
>>37
何に悪用しようって?
0043名無しさん@1周年2019/07/02(火) 17:47:39.28ID:j4H64YqL0
アプリやウェブサイトを開いた時に表示される専用のキーボードもヤバイって話かな^d^
0044名無しさん@1周年2019/07/02(火) 17:48:10.56ID:S6h9KtL30
>>39
ATOKもGoogleも改悪がなあ
不満だけど仕方なく使ってるから他のアプリに移りたくなるのもわかる
0045名無しさん@1周年2019/07/02(火) 17:48:13.78ID:SsClLMuNO
>>1
スマホのセキュリティはザルかw
0046名無しさん@1周年2019/07/02(火) 17:49:07.49ID:ELqEC9XW0
Gmailもメールを盗み見るのをやめろよ!
0047名無しさん@1周年2019/07/02(火) 17:50:37.29ID:pb5gAmV00
BaiduやSimeji使ってる情弱、未だにいるもんなーw
0048名無しさん@1周年2019/07/02(火) 17:51:13.55ID:cXHeK/YK0
>>41
だと安心してこのキーロガーのSDは使えるねw
中韓ではない日本の新興企業だし。
0049名無しさん@1周年2019/07/02(火) 17:52:46.49ID:OUYx9Rmz0
Google自体が全て送信してるわけだが…


なにいってんだ?この馬鹿記者…
0050名無しさん@1周年2019/07/02(火) 17:55:32.48ID:rLqsbs100
しめじ最低だな
0051名無しさん@1周年2019/07/02(火) 17:55:55.34ID:wFVeo0zI0
フルアクセスを許可しなきゃパスワード入力の時は標準キーボードになるでしょ?知らんけど
0052名無しさん@1周年2019/07/02(火) 17:56:27.31ID:qfr0BViA0
BaiduやShimejiの話になると五毛党は「アメリカや日本もやってる!」とか言うけど誰がやってるかの話をしてんだよ
お前も中国人なら共産党の発言監視ファームウェアが入ってるスマホはもう仕方ないと受け入れてるだろ?
だけどそれが共産党じゃなくてCIAや防衛省だったらどうよ?絶対そんな敵性スパイスマホ使いたく無いだろ
銃を持って歩く兵士だって自国兵士なら自分を守る人たちだが対立国の兵士が来たら死の恐怖だよな
再度言うがキーロガーだから駄目なんじゃなくて利害対立国だから駄目なんだよ
0053名無しさん@1周年2019/07/02(火) 17:59:03.01ID:4ixG4ma+0
iOS版もダメのか
キー入力するたびにhttps GET通信するアプリがなんで審査通るんだ
0054名無しさん@1周年2019/07/02(火) 18:00:29.57ID:v5CJjOiB0
怖、、、 キーイベント取得して送信するのか? ダメじゃん これ ウィルスの極致
でも、その手があったかw 俺も作ってみようかなw
0055名無しさん@1周年2019/07/02(火) 18:08:25.46ID:gvlOmGxD0
送信元がわかるから利用者の個人情報に紐付けして
住所氏名趣味趣向交友関係、GPSのデータとあわせれば行動範囲やパターン、職場等も特定可能
そういうデータを一挙に集めればどこにどういう人間が存在するかがわかる
ABC兵器を使うに都合の良い場所が簡単に割り出せる
そういう事にも使える、例えではあるが
たかが取るに足らない個人情報、されど個々があつまる集団情報
0056名無しさん@1周年2019/07/02(火) 18:11:10.87ID:eTKNCYd00
>>37
Macで全部パスワード打って、キーチェイン共有すれば
大抵はパスワード打たないですむ
0057名無しさん@1周年2019/07/02(火) 18:30:27.60ID:XGlmTDVb0
>>38
・「01 ラーメン」とか「02 カレー」とかキーワードの入力をこっそりチェックする
・打ったら「この人01(ラーメン)って打ちましたよ〜」と教える
・「そうかじゃあ美味そうなラーメンの広告を表示しよう」と利用される
0059名無しさん@1周年2019/07/02(火) 18:30:33.00ID:FPxlJx7z0
>>1
Simejiキター
0060名無しさん@1周年2019/07/02(火) 18:31:01.90ID:IeFyA/PJ0
危険なのは個人情報抜かれるだけじゃなくて
連絡先から被害が拡がったり
成りすましであちこちに被害が出る事

自分は気にしないでは済まない
そんな奴とは関係を絶った方が賢明
0061名無しさん@1周年2019/07/02(火) 18:32:06.95ID:q44hirWz0
Winodows10ではキーボードから入力した文字全て
送信されてるんじゃなかったっけなー
0063名無しさん@1周年2019/07/02(火) 18:37:13.40ID:xY7M5wq90
>>6
別にクレカも無ければ貯金も無いから無敵だわ
0064名無しさん@1周年2019/07/02(火) 18:38:26.51ID:IRWlWRJ60
>>1
GooglePlay公開チェックってザルなんだな
0065名無しさん@1周年2019/07/02(火) 18:40:31.68ID:kdC3KD030
Googleピンイン入力がやたらと権限要求してくるのがイラつく 
でも他にマトモなピンイン入力ソフト知らんし
0066名無しさん@1周年2019/07/02(火) 18:41:39.14ID:MRirBoCU0
真の情報泥棒は
日本にいたw
0067名無しさん@1周年2019/07/02(火) 18:44:32.33ID:V4ofWGEP0
グーグルもアップルもマイクロソフトもアマゾンも

みんなメールの中身や位置情報

会話まで全部収集してんのに

アホだろw
0068名無しさん@1周年2019/07/02(火) 18:47:46.81ID:aYOJh6K50
>>64
Simejiが通過してるAppleも人の事言えん
0069名無しさん@1周年2019/07/02(火) 18:48:20.03ID:qfr0BViA0
>>67
お前に言ってんだよお前に→>>52
0072名無しさん@1周年2019/07/02(火) 18:54:54.56ID:P6l4cUIg0
まさか中華アプリのシメジ使ってる奴はこのスレにいないよな
0073名無しさん@1周年2019/07/02(火) 18:56:32.68ID:6Cfuzc6x0
Windows10のIMEは、10年前くらいにほかのPCでよく使ってた単語も
一般変換しやがるから怖い
0074名無しさん@1周年2019/07/02(火) 18:57:37.44ID:eNcxQRW50
アベガー!官邸にキーワードを送信
0075名無しさん@1周年2019/07/02(火) 18:59:30.13ID:4ojYq+W90
予測変換とか自動変換ソフトやアプリに頼って文字入力を邪魔くさがるから情報が筒抜けになるんだ
予測変換アプリ使わずに、スマホに元もとついてる機能で文字入力するのがセキュリティ対策として一番
0076名無しさん@1周年2019/07/02(火) 19:02:25.70ID:tFXsKNAU0
俺の性癖盗み見て楽しいのかな?
0077名無しさん@1周年2019/07/02(火) 19:28:41.48ID:FCt76pTV0
>>3
おれはSimeji使ってたときメインのメールアカウントを乗っ取られた

あれだけは駄目だ
0078名無しさん@1周年2019/07/02(火) 19:35:41.13ID:BwYRZPZ+0
マジかよオメガ最低だな。やっぱカシオかシチズンだな
0079名無しさん@1周年2019/07/02(火) 19:37:20.08ID:dMEk08rb0
マンコとかオッパイがメッチャ送信されるわ
0082名無しさん@1周年2019/07/02(火) 19:44:52.40ID:GrTdX76X0
>>48
日本の新興企業なら信用ならないね。
なぜなら日本人がやってるとは、限らないからw
0084名無しさん@1周年2019/07/02(火) 19:49:06.70ID:maBYnoxT0
PCに最初からIMEが入ってたんだけど
どうやってはずせばええんや
0085名無しさん@1周年2019/07/02(火) 19:49:49.47ID:iWnys0qz0
>>84
外してどうするんや
0086名無しさん@1周年2019/07/02(火) 19:51:26.54ID:quccb3kH0
google日本語入力は、インストール時に情報収集しますって警告だしてるから
勝手にってわけではないよね
0087名無しさん@1周年2019/07/02(火) 19:52:53.71ID:iWnys0qz0
>>86
どんどん阿呆になっていくのを見ると大した情報集めてないんだろうな、と思う
0088名無しさん@1周年2019/07/02(火) 19:53:15.02ID:maBYnoxT0
>>85
もう伝書鳩でやり取りする
0090名無しさん@1周年2019/07/02(火) 19:58:24.79ID:iWnys0qz0
>>88
外すまでもないな
電源落として窓から投げ捨てろ
0092名無しさん@1周年2019/07/02(火) 20:06:23.37ID:bkIKRjBl0
>>29
そもそもSimejiなんて使うな
0093名無しさん@1周年2019/07/02(火) 20:07:23.62ID:4EhNzqTv0
LINEも同じようなもんだろ
通信を傍受することに罰則がない朝鮮サーバに送られるんだから
0094名無しさん@1周年2019/07/02(火) 20:37:30.38ID:NAww6xCB0
おめこ社に見えた。
0095名無しさん@1周年2019/07/02(火) 21:28:00.98ID:GNubgkLp0
iwnn.imeてのもめちゃくちゃ怪しい
baiduとからんでる
0096名無しさん@1周年2019/07/02(火) 21:28:21.50ID:8Uh/qfPJ0
最低だな、まいん
0097名無しさん@1周年2019/07/02(火) 21:31:35.18ID:7IPkh4zP0
>>7
時計屋か
0098名無しさん@1周年2019/07/02(火) 21:38:04.60ID:EHCQyXHK0
顔面ログイン端末は裏で何されてるかわかってない奴多い
0099名無しさん@1周年2019/07/02(火) 21:43:19.40ID:4+da7Mjd0
去年レノボのノートパソコン使ってる親戚が
パソコンがおかしいから直してって持ってきたのにBaidu IMEが入ってたな
これ削除したら治ったww
0100名無しさん@1周年2019/07/02(火) 21:57:31.27ID:0YH0Eey40
>>57
それでか。
2ちゃんやってるとエロ広告が表示されるのは。
■ このスレッドは過去ログ倉庫に格納されています

ニューススポーツなんでも実況