セキュリティーの欠如で顔認識スタートアップClearviewのソースコードがすべて漏洩

2020年1月、ある新聞社の調査によってその衝撃的な存在が明らかになった、顔認識スタートアップのClearview AI（クリアビュー・エーアイ）は、たちまちハイテク系スタートアップ界の最も捉えどころがない隠蔽体質の嫌われ者になってしまった。

物議を醸している同社は、法執行機関が人の顔写真を撮りアップロードすると、30億人分の画像を保管しているとされる同社のデータベースで照合ができるサービスを提供しているが、その画像とは、一般のソーシャルメディアから集めたプロフィール写真だ。

だがしばらくの間、サーバーの設定ミスにより、同社の内部ファイル、アプリ、ソースコードが、インターネット上の誰もが見られる形で漏洩してしまった。

ドバイのサイバーセキュリティー企業SpiderSilk（スパイダーシルク）の最高セキュリティー責任者を務めるMossab Hussein（モサブ・フセイン）氏は、Clearviewのソースコードが保管されていたレポジトリーを突き止めた。そのレポジトリーはパスワードで守られてはいたが、設定ミスにより誰でも新規ユーザー登録ができ、ソースコードが保管されているシステムにログインできる状態になっていた。

レポジトリーには、コンパイルすればアプリとして実行できるClearviewのソースコードが保存されていた。さらにそこには、Clearviewのクラウド・ストレージのバケットにアクセスできる秘密の鍵と認証情報もあった。そのバケットの中には、Windows版とMac版とAndroid版のアプリの完成品が収められていて、さらにはApple（アップル）が規約違反としてブロックしたiOS版アプリもあった。また、通常はテスト用にのみ使われる開発者向けの初期のリリース前バージョンのアプリも保管されていたと、フセイン氏は言う。

しかもフセイン氏によれば、そのレポジトリーでは、ClearviewのSlackのトークンも晒されていた。これを使えば、同社の内部メッセージや会話がパスワードなしで誰にでも読めてしまう。

Clearviewには、ニューヨーク・タイムズによってその隠密活動を暴かれて以来、ずっとプライバシーの懸念が付きまっている。だがその技術はまだほとんどテストされておらず、顔認証の精度も実証されていない。Clearviewでは、この技術は法執行機関にのみ使用を許すものだと主張しているが、同社はMacy’s、Walmart、NBAといった民間企業にも声を掛けていたと報道されている。だが今回のセキュリティー上の失態により、セキュリティーとプライバシーへの取り組みに関して、同社にはさらに厳しい目が向けられることになりそうだ。

コメントを求めると、Clearviewの創業者であるHoan Ton-That（ホアン・トンタット）氏は、彼の会社は「常に大量のサイバー侵入攻撃に晒されているが、セキュリティー強化には多額の投資を行ってきた」と主張した。

「私たちは、HackerOne（ハッカーワン）の協力で賞金付きのバグ探しプログラムを立ち上げました。Cleaview AIの欠陥を発見したセキュリティー研究者には報酬が支払われます」とトンタット氏。「SpiderSilkは、このプログラムには参加していませんが、Clearview AIの欠陥を見つけて私たちに連絡してきました。今回の漏洩事件では、個人が特定されるような情報、検索履歴、整体認証情報は一切漏れていません」。

トンタット氏は、SpiderSilkの行動を恐喝だと非難しているが、ClearviewとSpiderSilkとの間で交わされた電子メールから見えてくる様子は違っている。

これまでMoviePass、Remine、Blindといった数々のスタートアップのセキュリティー上の問題を報告してきたフセイン氏は、Clearviewの欠陥を報告はしたが、賞金は遠慮したと話している。受け取りにサインすれば、この一件を世間に公表できなくなるからだ。

賞金付きでバグ探しプログラムを実施する企業は、よくこうした契約を求める。セキュリティー上の欠陥を修復した後にその件を公表されないよう、秘密保持契約を結ばされることもある。だが、研究者たちには賞金を受け取る義務も、秘密保持契約を守る義務もないのだと、TechCrunchは専門家たちから聞いている。

トンタット氏は、Clearviewは「ホストの完全な犯罪科学検査を実施し、不正なアクセスは他に一件もなかったことを確認した」と話す。秘密の鍵は既に変更され、もう使えないとのことだ。

フセイン氏の発見により、普段はほとんど見ることができない秘密主義的な企業の業務が垣間見えた。同氏が公開したスクリーンショットには、トンタット氏が「プロトタイプ」だと説明した同社のInsight Camera（インサイト・カメラ）を参照するコードとアプリがわかるものがある。このカメラはもう開発が中止されている。

BuzzFeed Newsによると、そのカメラをテストした企業に、ニューヨーク市の不動産会社Rudin Management（ルーディン・マネージメント）があると伝えている。同社が所有する2つのマンションに試験的に導入したという。

フセイン氏は、Clearviewのクラウド・ストレージのバケットの中に、およそ7万本もの動画を発見した。マンションのロビーに、人の顔の高さに設置されたカメラの画像だ。その動画には、建物を出入りする住人の顔が映されている。

トンタット氏は「防犯カメラ製品の試作段階で、私たちは、厳密にデバッギングを目的とした生の映像を収集していました。建物の管理会社から許可を得ています」と説明する。

TechCrunchが調べたところによると、Rudinが所有する建物はマンハッタンのイーストサイドにあった。物件リストとロビーの映像からも、それが確認できた。この不動産会社の担当者にメールを送ったが、返事は来ない。

Clearviewは、1月に世間に知られるようになってから、厳しい監視の目に晒されている。さらにハッカーたちの標的にもなっている。

2月にClearviewは、データ漏洩の際に顧客リストが盗まれたことを顧客に報告した。だが、同社のサーバーには「アクセスの形跡はない」と主張している。Clearviewはまた、Android版アプリを保管したものを含むクラウドストレージの複数のバケットをプロテクトせずに放置していた。

バーモント州の検事当局は、消費者保護法違反の疑いで、すでに同社の捜査を開始し、ニュージャージーやサンディエゴを含む各警察署にはClearviewを使わないよう通達を出した。Facebook、Twitter、YouTubeをはじめとするハイテク企業の一部も、Clearview AIに対して停止通告書を送っている。

CBS Newsのインタビューで、トンタット氏は自社の事業をこう弁護していた。「もしそれが公共のもので、使える状態になっていて、Googleの検索エンジンで見られるものなら、それは私たちが所有しているとも言えます」。

[原文へ]
（翻訳：金井哲夫）

• Original:https://jp.techcrunch.com/2020/04/18/2020-04-16-clearview-source-code-lapse/
• Source:TechCrunch Japan
• Author:Zack Whittaker

Amazonベストセラー