Safariのフォーム自動入力で所有者情報漏洩の深刻な危険 【増田(@maskin)真樹】

• About
• Latest Posts

maskin

Editor In Chief at TechWave.jp

1990年代初頭から記者としてまた起業家としてITスタートアップ業界のハードウェアからソフトウェアの事業創出に関わる。シリコンバレーやEU等でのスタートアップを経験。日本ではネットエイジ等に所属、大手企業の新規事業創出に協力。ブログやSNS、LINEなどの誕生から普及成長までを最前線で見てきた生き字引として注目される。通信キャリアのニュースポータルの創業デスクとして数億PV事業に。世界最大IT系メディア（スペイン）の元日本編集長、World Innovation Lab(WiL)などを経て、現在、スタートアップ支援側の取り組みに注力中。

Latest posts by maskin (see all)

• 「ソラコム」がスイングバイIPOを実現、東証グロース市場上場承認 - 2024-02-22
• （更新）結果速報 LAUNCHPAD SEED#IVS2023 #IVS #IVS @IVS_Official - 2023-03-09
• 「始動 Next Innovator 2022」締め切りは9月5日（月）正午ー経産省・JETRO主催のイノベーター育成プログラム #始動2022 - 2022-09-01

米セキュリティ企業WhiteHatのファウンダー・CTO Jeremiah Grossman氏は現地時間の7月21日、世界シェア4%のウェブブラウザであるアップルの「Safari(v4&v5)」で、[環境設定]→[自動入力]→[自動入力Webフォーム]の「自分のアドレスブックカードの情報を使用」にチェックを入れていると、悪意のあるサイトによって端末使用者の氏名・会社・住所・メールアドレス等が盗まれる可能性があると発表した。この項目はインストール直後に標準で”ON“になっている。

この問題を実証するサイトの場合、日本語で書かれた情報に被害はないものの、メールアドレスが自動で引き出された。

この問題は、[自動入力Webフォーム]の「自分のアドレスブックカードの情報を使用」が有効になっていると、「アドレスブック」に保存されている所有者の情報を参照し、その頭文字が入力された時点でフォームの内容を埋めるという機能が悪用できるというもの。

前述した実証サイトは、個人情報のフォームに対し、アルファベットを自動で入力することで「アドレスブック」内の所有者情報を取得するというもの。このサンプルサイトの場合、日本語で入力された情報は引っかからないが、メールアドレスなどアルファベットで書かれた情報は見事取得に成功した。

サイトのプログラムによっては日本語の情報も取得できる可能性がある。なお、この問題は、「自分のアドレスブックカードの情報を使用」を無効にすれば回避できる。

この問題、フォームに入力した内容を保存し、再入力時に自動で埋めてくれるオートフィル機能と混交しやすいので注意が必要だ。アドレスブックの所有者情報がそのまま入手できるとして、Jeremiah Grossman氏は強く警告している。

■ I know who your name, where you work, and live (Safari v4 & v5)

from metamix.com

個人情報保護の実務と漏洩防止策のすべて

[POWERD_BY @tweejp.tools]