piyolog Mk-II 第7回「アドウェア放置していませんか？ Superfish問題から見えてきた問題点」

差し込まれる広告も中間者攻撃と同様の原理でユーザーと接続先の間に介入する方法で行われており、自己署名証明書を用いてHTTPSで行われる通信も広告表示の対象に含まれました。

特集特集

2015.3.17 Tue 9:15

Lenovo社の製造するPCにアドウェア「Superfish Visual Discovery（以下Superfishと記載）」が出荷時からインストール（プリインストール）されており、さらにそのアドウェアに深刻な問題があることが明らかになりました。LenovoはPCの世界シェア一位であり、Lenovoの製品を使用しているユーザーは多く、この騒動は国内でも注目を受けました。

今回はこのSuperfish問題を整理しつつ、アドウェアは放置しても良い存在なのかについても考えます。

●　Superfish炎上後のLenovoの対応
Superfishプリインストールの指摘は昨年9月にLenovoのユーザーサポートフォーラムへの書き込みが行われたことに始まります。Lenovo側も問題と認識したためか大々的に発表こそしなかったものの、今年1月時点でSuperfishのプリインストール中止やサーバー側の作用を通じた機能停止を行ったことをその後明らかにしています。

しかし、2月19日にこのSuperfishがプロキシとして動作していること、さらに自己署名証明書を用いてHTTPS通信も傍受していることが判明し、Twitterやマスメディアを通じて拡散されたことで炎上状態になりました。炎上後のLenovo側の対応としては、翌日20日と比較的早い段階で問題を公式に認めた他、その後も情報をアップデートし、対象製品の情報公開や自社製Superfish削除ツールの提供、MicrosoftやMcAfeeと協力し問題解決にあたることを発表しています。また今回の影響範囲ですが、報道によれば全世界で約1000万台、日本国内では約5万台がこの影響を受けたのではないかといわれています。

● 混合しがちなSuperfishの問題を整理
Superfishをめぐる問題は出荷時にインストール（プリインストール）されていたことがよく取り上げられてしまったためか、Superfishに関連する他の問題も一括りにされてしまうことがあるようです。そこで、どのような点が問題であったのかについてまずは整理してみます…

※本記事は本日配信のScan有料版に全文を掲載しました

piyolog Mk-II 第7回「アドウェア放置していませんか？ Superfish問題から見えてきた問題点」

関連記事

piyolog Mk-II 第1回「4月末のInternet Explorerの脆弱性騒動から見えてきたコト」

piyolog Mk-II 第2回「ウェブに、ファイルに、同時多発で発生した改ざん騒ぎとCDNetworksへの不正アクセス」

piyolog Mk-II 第3回「『今何していますか忙しいですか？』LINEで発生したなりすまし詐欺を紐解く」

piyolog Mk-II 第4回「国内中のサイトが模倣されている？ひと夏の模倣サイト誤認騒動」

この記事の写真

関連リンク

特集

アクセスランキング

新時代の産業に向けたセキュリティ対策フレームワークを策定（経済産業省）

ここが変だよ日本のセキュリティ第37回「CSIRT体制構築ブームに、スプラッシュマウンテンの滝の音が聞こえる」

OracleがJavaをアップデート、商用ユーザ向けJava SE 8は提供終了（IPA、JPCERT/CC）

Broadcom製Wi-Fiチップセット用ドライバに複数の脆弱性（JVN）

さいたま市立学校の「携帯・インターネット安全教室」に講師を派遣（トレンドマイクロ）

伝説的ハッカーグループ出身者が大統領候補に（The Register）

疑問その７「CASBベンダ統廃合の過去、そして未来」～日商エレに聞く、ＣＡＳＢとクラウドセキュリティの疑問PR

10連休控え例年より早く発表、今年の長期休暇におけるセキュリティ注意喚起（IPA）

不正アクセスで手帳アプリ「Lifebear」のアカウント情報が流出の可能性（ライフベア）

人事異動案に関するデータを無断で持ち出しLINEで拡散、関係した職員を懲戒処分に（吉川松伏消防組合）