【IME】入力した情報を勝手に送信 「キーロガー」スマホ向けキーボードアプリにご用心
■ このスレッドは過去ログ倉庫に格納されています
キーワードロガーとして機能するオメガ社のキーボードSDKとその採用アプリ
2019/06/25 13:07
アドテク企業・オメガ株式会社のカスタムキーボード/キーボードSDKを採用するアプリ（ANYTYPE、moppyキーボード、USAVICHキーボード、瞬間日記、PUSH!、PicoSweet）の通信内容をパケットキャプチャにより解析・考察する。
結論としては、予め指定された特定のキーワードを入力した事実がオメガ社のサーバに随時送信されていた。キーロガーならぬキーワードロガーとでも呼ぶべきものだろう。これにより、オメガ社はユーザーの使用アプリ名称と入力内容の一部または全部（個人情報、機密情報、機微情報を含む）を知得できる状態にあった。
経緯
発端は高木浩光氏へのタレコミである。
所構わず営業を仕掛けるだけならば行儀の悪い企業によくある話だが、このときAmazon S3で公開されていたオメガ社のオメガキーボード説明資料が注目を集める。
この資料によれば、オメガ社が開発するキーボードSDKを自社アプリに組み込めば、ユーザーの入力内容や使用アプリ情報を収集できるという。こうした機能は一般に「キーロガー」と呼ばれ、ユーザーの同意なく実行されればスパイウェアであることから、スマートフォン利用者らに不安が広がった。
同様の懸念は過去に百度の「Baidu IME」「Simeji」で現実のものとなっており、キーボードアプリへの信頼を揺るがす一大事に発展している。
早速有志によってオメガ社のプレスリリースから提携先の特定が進められ、そのうちの一つ「moppyキーボード」で文字コードらしきもの（詳細は後述）が送信されていることが確認される。
だが、文字コードにしてはいささか奇妙である。実際にmitmproxyでオメガキーボードの通信内容をパケットキャプチャした結果、幾つかの事実が判明した。
送信されているのは「キーワード」
オメガキーボード採用アプリは起動時に約9万行のキーワードリストをオメガ社のサーバ(https://a.omega-adnetwork.com/api/keyword_list)からJSON形式で取得しており、これには広告入札キーワードと思われる文字列とそれに対応するキーワードIDが列挙されていた。
通信内容と照合した結果、アプリから送信されていたのは文字コードではなくこのキーワードIDであることが判明した。キーワードIDが分かるということは、キーワードを逆引きすることもできるので、キーワードを送信していることと同義である。
文字入力確定の度に、形態素解析か何かで文字列をキーワード単位に分解。キーワードリストと照合して、合致するものがあれば、そのキーワードIDのリストをオメガ社のサーバに送信。合致するものがなければ、何も送信せず、汎用広告を取得、キーボード上部に表示するというロジックのようだ。
(続きはソース)
https://note.mu/note_s/n/ndd140e8208fa >>2
スマホ向けのATOKとかGoogle日本語入力とかあるじゃん バカはSimejiを使い続ける
危険性については別にいいや〜だとさ よくそんな怪しいキーボードアプリ入れられるな
まあ俺も片手キーボード入れてるけど 今まで頑張りましたがもう少し利用してみませんか？(´･ω･`)
今までお世話になりました私の良くないところをどうぞご指摘下さい(´；ω；`) iOSみたいにOSレベルで
キーボードの権限指定できるようにすれば良かったのに あまりオイラの性癖があちらこちらに知られるのは、好ましくないな。
少なくてもGoogle、Apple、マイクロソフト辺りは、オイラの性癖を把握してると思うがＷ >>13
Shimejiは単体アプリじゃん？
これはSDKだからもっと悪質 マイクロソフトもグーグルもアップルもみんな変換内容送信してるじゃん だってこれだもん(´･ω･`)
>オメガ株式会社では、独自に収集した膨大な量のビッグデータを人工知能で解析し、
>個々のユーザーに合わせて欲しいときに欲しい広告が配信できる世界初の広告配信技術を開発しております。 やはりPCでもスマホ／タブレットでも
機能に多少不満はあるものの、標準FEPを使うのが無難てことか
もっとも標準のやつもユーザ辞書データを収集しているっぽいから
安心できないけど Lineやってる子供とか、シメジを使っているけど大丈夫かね。 ちなみにオメガ社のロゴを見るとauto。
かなり初期の段階から朝日新聞の投資を受けている。 泥機使っているから、グーグルに全部持って行かれるのは覚悟してる
極力スマホでカード情報入れないようにしてるけど
シメジとか使っている連中、その辺怖くないのかな webのクレカ番号入力欄って、毎回IMEが立ち上がるような設定になってるけどなんで？ atokとgoogleime以外使う必要ってどこにあるんだろう アプリやウェブサイトを開いた時に表示される専用のキーボードもヤバイって話かな＾ｄ＾ >>39
ATOKもGoogleも改悪がなあ
不満だけど仕方なく使ってるから他のアプリに移りたくなるのもわかる BaiduやSimeji使ってる情弱、未だにいるもんなーｗ >>41
だと安心してこのキーロガーのSDは使えるねw
中韓ではない日本の新興企業だし。 Google自体が全て送信してるわけだが…
なにいってんだ？この馬鹿記者… フルアクセスを許可しなきゃパスワード入力の時は標準キーボードになるでしょ？知らんけど BaiduやShimejiの話になると五毛党は「アメリカや日本もやってる！」とか言うけど誰がやってるかの話をしてんだよ
お前も中国人なら共産党の発言監視ファームウェアが入ってるスマホはもう仕方ないと受け入れてるだろ？
だけどそれが共産党じゃなくてCIAや防衛省だったらどうよ？絶対そんな敵性スパイスマホ使いたく無いだろ
銃を持って歩く兵士だって自国兵士なら自分を守る人たちだが対立国の兵士が来たら死の恐怖だよな
再度言うがキーロガーだから駄目なんじゃなくて利害対立国だから駄目なんだよ iOS版もダメのか
キー入力するたびにhttps GET通信するアプリがなんで審査通るんだ 怖、、、 キーイベント取得して送信するのか？ ダメじゃん これ ウィルスの極致
でも、その手があったかｗ 俺も作ってみようかなｗ 送信元がわかるから利用者の個人情報に紐付けして
住所氏名趣味趣向交友関係、GPSのデータとあわせれば行動範囲やパターン、職場等も特定可能
そういうデータを一挙に集めればどこにどういう人間が存在するかがわかる
ABC兵器を使うに都合の良い場所が簡単に割り出せる
そういう事にも使える、例えではあるが
たかが取るに足らない個人情報、されど個々があつまる集団情報 >>37
Macで全部パスワード打って、キーチェイン共有すれば
大抵はパスワード打たないですむ >>38
・「01 ラーメン」とか「02 カレー」とかキーワードの入力をこっそりチェックする
・打ったら「この人01（ラーメン）って打ちましたよ〜」と教える
・「そうかじゃあ美味そうなラーメンの広告を表示しよう」と利用される 危険なのは個人情報抜かれるだけじゃなくて
連絡先から被害が拡がったり
成りすましであちこちに被害が出る事
自分は気にしないでは済まない
そんな奴とは関係を絶った方が賢明 Winodows10ではキーボードから入力した文字全て
送信されてるんじゃなかったっけなー ■ このスレッドは過去ログ倉庫に格納されています
