ブレイブソフトがAppleの審査迂回をしていることを自白

まずは、ブレイブソフト 技術研究BlogiPhoneアプリ 審査のリジェクト事例まとめ魚拓に目を通して欲しい。

全般的には「まぁ、そうだろうね」という項目が並ぶが、注目は8項である。

  1. アドネットワークの広告バナーにアダルト広告が表示されたら、 リジェクトされます。

    少なくとも審査中にアダルト広告をフィルターで一旦非表示にする必要があります。

この項目でブレイブソフトは「Appleの審査中には実使用状態と異なる動作をさせている」といっているのと等しいのです。Appleの審査を欺き、さらにApp Storeを信用している一般ユーザを欺くということを問題がないと株式会社ブレイブソフトは公言しているのです。
(いつぞやTogetterに掲題と同じまとめを作成したことがありますが、見事に「規約違反なので非公開とする」という処置をいただいたことがあります。)

以前、Webページやブログで公開していたブレイブソフトと虚構新聞や、「個人情報ヤバイ」 あなたのiPhoneダイジョーブ?あるアプリで個人情報が無断で抜かれている件でネット上が大騒動におよびiPhone虚構新聞アプリがUDIDの収集をしていた件で取り上げていただいたように、株式会社ブレイブソフトがやっていることは確信犯にほかなりません。

広告
ブレイブソフトがAppleの審査迂回をしていることを自白

人生ゲーム借金返済計画がMACアドレスでかんたんログイン

基礎情報

 まずは、今回の案件のニュースリリースは、「人生ゲーム」スマホアプリ第2弾! AppStore/Google playで同時に配信開始! 「人生ゲーム」〜借金返済計画〜始動!!魚拓)である。

 「人生ゲーム」という版権管理およびとりまとめ担当として株式会社タカラトミーエンタメディアが関与し、株式会社スペースアウトが実装したのだろう。

 2012年初頭に人生ゲーム2012としてリリースされたiOS用Appにて、UDIDを認証に使っていることを発見し、株式会社タカラトミーエンタメディアへ問い合わせをしていたことを思い出したからである。ちなみに、問い合わせた結果が、「人生ゲーム2012」App Storeでの公開停止に関するお詫び魚拓)である。

 さらに、App Town ゲーム:iPhoneやiPadで億万長者を目指せ! 「人生ゲーム2012」が登場魚拓)にも株式会社スペースアウトが記載されており、実装が同じ会社であることから「前回で懲りてもうやらかしていないよね?」と期待したのである。

解析

 Appへの操作としては、起動し、ゲーム開始までの手順を行い、終了させ、この間の通信を監視した。

通信内容

 自社管理下のサーバーに自らMACアドレスをMD5ハッシュしたものを送信しているという、非常に残念な結果である。

考察

 前回は、株式会社アドウェイズがサービスし、UDIDを使っているAppDriverをユーザーの動向を調査するためとして株式会社スペースアウトが寄生させたことが原因であったため、連鎖的に「AppDriver」の不具合に関するお詫びをリリースさせ、さらに株式会社タカラトミーエンタメディアも上記のリリースを出すことになってしまったが、今回は自前でやっているのでさらに悪質である。

 ハッシュ化したところで、元にする識別子がMACアドレスである以上、MACアドレスを認証などに使用する場合の次のような副作用を逃れることはできない。

  • 一般的にはMACアドレスを変更する層は少ないためこれの一意性による名寄せの危険性がある。
  • JailbreakなどによるMACアドレスが変更可能であるために一意性が保証されないものを認証に使っているという脆弱性がある。

 また、UDIDがダメならMACアドレスを使おうと考えてしまうガラジニア丸出しの程度が知れることも副作用だろう。

経過(暫定決着)

 2012.11.20に株式会社タカラトミーエンタメディアへ架電して状況を説明したところ、調査した後にとりまとめてコールバックをいただけることとなった。また、同日に株式会社スペースアウトにもガラジニアの生の声を聴きたくて架電したが、既に株式会社タカラトミーエンタメディアから問い合わせが入っており調整中とのことだったので、こちらにはコールバックのお願いはしなかった。

 2012.11.20 2145時ごろに株式会社タカラトミーエンタメディア様から電話があり、次のような回答をいただいた。なお、「一般的にはMACアドレスが端末に紐付いた一意性がある識別子であるとの認識がある」とはおっしゃっていた。

  1. MACアドレスは個人情報か?
      定まっていない。
  2. MACアドレスを利用する目的は何か?
      ユーザーの識別機能およびユーザのランキング機能に用いている。
  3. なぜMACアドレスを使用することにしたのか?
      株式会社スペースアウトから実装を外注に出しており、同社および株式会社タカラトミーエンタメディアは把握していなかった。
  4. MACアドレスを利用したときの副作用を知っているか?
      把握していない。
  5. MACアドレスは名寄せにより個人情報になり得ることを理解しているか?
      把握していない。
  6. MACアドレスは一意性を担保できないことを理解しているか?
      把握していない。
  7. 今後の対応はどうするのか?
     配信停止を念頭に検討し、その後の対応についても再度検討する。

4〜6項のような認識であったため、ひととおりご説明をさせていただいた。

前回のように潔いとともにユーザーのことを思いやった対応を株式会社タカラトミーエンタメディアおよび株式会社スペースアウトに望む。

2012.11.21 1513追記

 次のiTunesのスクリーンショットのように、人生ゲーム借金返済計画がiTunes Storeから撤去されたことを確認した。ニュースリリースはまだのようだが株式会社タカラトミーエンタメディアさんの賢明な判断に敬意を表したい。

iTunes20121121

2012.11.24 1613追記

 株式会社スペースアウトはだんまりだが、株式会社タカラトミーエンタメディアさんのトップページに『「人生ゲーム 借金返済計画」 AppStore での公開停止に関するお詫び』と題するリンク魚拓)が出現し、リンク先には同題名のPDFが公開された。

 しかし、次の文面があるので監視を要するだろう。

今後の対応について アップデート、再公開などの対応につきましては、現在検討中です。決定次第随時当サイト上でお知らせ致します。

 また、何気なく「株式会社スペースアウト」を検索キーワードにググってみたところ、「裏ではみんなつながっている by 金無心Webサービス屋」という言葉が悲しくも実証される情報を見つけた。SlideShareに株式会社スペースアウトのアカウントがあるのだが、そのfollow先魚拓)に株式会社パンカクのCEOがいたのである。

SpaceOutPankaku

ネタ

 “UDID MACアドレス”を検索キーワードにググったところ、次のようなtweetがあったのでReTweetした。

 図らずもこれが実行された形になった。

人生ゲーム借金返済計画がMACアドレスでかんたんログイン

ブレイブソフトと虚構新聞

前提情報

在りし日のTogetterでのまとめのPDF魚拓

記事提供元であり、「公式アプリであり一心同体である」と公言しているTwitterアカウントである虚構新聞速報/編集部便りとそのiOS用リーダーApp

株式会社ブレイブソフトの会社概要、虚構新聞 for iOSでUDID送信が発覚したときに出したニュースリリース、そのPNG魚拓

同社が運営している広告事業のAppvisor、その個人情報の取得について、そのPNG魚拓

検証

Ver.1.5検証

Ver.1.6検証

Ver.1.7検証

通信1.7

まず、送信先は株式会社ファンコミュニケーションズ管理下のサーバーのad1.nend.net(202.210.189.230)である。

uid=なるパラメータにはUDIDをMD5ハッシュした値が設定されている自体でevilである。

User-Agentが虚構新聞 1.5から変わらずBraveMafiaであることから、株式会社ブレイブソフトが自社運営しているAppvisor SDKが通信を行っていることが分かる。

これらから推察されることは、株式会社ブレイブソフト運営のAppvisorと株式会社ファンコミュニケーションズ運営のnendが提携していることである。

Ver.1.8検証

株式会社アイモバイルへ接続しているものの、端末固有識別子を元にした識別子を使わなくなったことを確認した。

前歴および株式会社ブレイブソフトの本App以外の状況から継続監視する必要はあるものの、今回のバージョンについては問題がなくなった。

ブレイブソフトと虚構新聞

EQはイクス株式会社または有限会社ダイチ製です

概要

 とっかかりは、高木さんのこのtweet。

 そして、某氏が引っ掛けてきたtweetがこれ。 

 即座に思いつくのはリワード広告である。もしiOS Appであれば検証しようと思い、Safari on OS XでアクセスしてみるとSafariが黙り込むという事態になったが、某氏がFirefoxで検証したところEQというAndroidアプリに行き着いた。
 しかし、Android端末を所有していないわたしには検証等ができないので、App Storeを検索してみたところ、同じ名称のiOS版 当時はver.1.2を発見した。

App StoreとGoogle Playでの名義について

 まず、EQの販売業者はTOYOTA MARKETING JAPAN CORPORATIONとあり、App StoreのTOYOTA MARKETING JAPAN CORPORATION Webサイトは正しく株式会社トヨタマーケッティングジャパンのWebサイトにリンクされているが、その下に©Daichi.Nという表記がある。

 しかし、Google PlayのEQの作成者のリストからリンクされているWebサイトはというと、作成者ではなくEQの説明サイトにリンクされているが、cmドメインを使っていること自体が胡散臭いといわざるを得ない。

 そこで、eq.cmなるドメインをwhoisしてみると、イクス株式会社なので、販売者名義は株式会社トヨタマーケッティングジャパンだが、実装はイクス株式会社であることになる。

 ここでおかしいのは、Andorid版はイクス株式会社製であるのに対し、iOS版はDaichi.N名であることである。 改めて、イクス株式会社の会社概要を見てみると、社長さんは野田大智さんだという。

 続けて、社長名でググってみると有限会社ダイチが引っ掛かった。

 同社の会社概要を見ると、会長名は間違いなく同姓同名なのだが、検索避けするためか画像になっている。そして、子会社の欄に「イクス株式会社」が記述してあるが、これもまた画像になっているという、会長名と子会社の隠蔽を謀りたがるとてもおもしろい会社である。

 つまり、Android版もiOS版も名義は違えど、イクス株式会社が実装したことが類推できる。

検証

Ver.1.2を検証

 起動して驚かされるのは、異常といえるほどの大量の個人属性情報を入力させられることだ。

SS1
SS2
SS3
SS4
SS5
SS6

 その後、これらの情報をeqs-apps.appspot.comへ送信する旨の断りなど画面遷移上は、一切ない

通信

 案の定、UDIDをeqs-apps.appspot.com(173.194.72.141)へ投げており、appspot.comはGppgle App Engine関連のサイトであるため、ユーザー視点からすると、株式会社トヨタマーケッティングジャパンではなくイクス株式会社への無断第三者送信を行うクソAppといえる。

 いちおう、Appからリンクされていたプライバシーポリシー利用規約を提示しておく。

Ver.2検証

 その後、2012.04.11にVer.2.0にアップデートされたので再度検証するも、生UDIDからMACアドレスのUTF-8読みに変更しただけというクソぶりを再確認しただけに終わる。

通信v2

トヨタ自動車さんに問い合わせ

 このようにユーザーからすると、意図して隠蔽された動作をするものについては、実装会社や名義貸ししている会社に問い合わせても梨の礫になることが一般的(明治に関しては本社に問い合わせても梨の礫だったが)である。

 そこで、トヨタ自動車の問い合わせフォームから、問い合わせてみた。

TOYOTA1

 2012.04.19 16:11に回答が到着しました。

TOYOTA2

 Ver.2検証のようにUIIDなるIDとMACアドレスを同一のPUSHで送信しているのだから、「MACアドレスとユーザプロファイルの登録」は紐付いている。これを理解できない三河の世襲自動車会社のエンジニアはクソとしかいいようがない。

 また、MACアドレスは一般的に変更されることなく使用されるため、端末所有者が変わった場合は、前の所有者のアカウントをそのまま意図せずに使ってしまうという脆弱性があることも認識できないようだ。これは、いったんEQを削除し、再度ダウンロードし、起動してみたところ属性情報入力の画面遷移にならなかったことから、MACアドレスによるかんたんログインになっていることを示している。

EQはイクス株式会社または有限会社ダイチ製です

KDDI株式会社へ問い合わせ

 Evernoteのノートを整理していたらKDDI株式会社の個人情報保護方針とプライバシーポリシーがひどいころに電話で問い合わせしたメモが出てきたのでメモとして公開しておく。ただし、問い合わせをする必要を感じた元になったものの魚拓は自分のtweetを見直しても取っていなさそうなので、「2012.01.23当時にこんなことがあった」という前提でお読みいただきたい。

☆用件1
 au one-IDに基づく、お客様行動履歴、auお客様属性情報を活用した情報の取得について
 → 担当では回答不能。上席伺い。

※ iPhoneから電話すると「iPhoneについてでしょうか?」と確認された。
その他のお問い合わせで0を選ぶも、使用機材を確認される。
 → 担当部署へ転送。

0.問い合わせ電話を受けたときに機種情報は表示されているのか?
 → iPhoneが別扱いなのでまず確認する。

以下の内容は担当では分からず、上席投げ。

1.auお客様属性情報とはauの顧客個人情報を利用しているのか?
 → はい

2.auの顧客情報はmedibaに渡っているのか?
 → au one-IDに紐付いているauの顧客情報から属性情報をmedibaに流している。

3.広告の配信の通信費用はユーザ負担か?/この旨の記述はどこか?
 → 広告を見たらユーザー負担、送出の通信費用についてはいえない。

4.広告を受け入れることにより通信費用や端末代金の軽減になるのか?
 → 内部施策のためいえない。

5.広告の配信手段はノボットのAirPushか?
 → 内部施策のためいえない。

☆用件2
 au one-IDに基づく、お客様行動履歴(サイト閲覧、利用履歴等)、auお客様属性情報を活用した情報の取得の停止について

1.停止の方法はなぜ電話のみという記述なのか?
 → 事情を聞きたいので電話のみ

2.停止状況の確認方法
 → していない。
 → 端末で表示される広告で確認できる。
   → キャリアとしては目安はない。

KDDI株式会社へ問い合わせ