ニュース
Amazon Echoの処分には細心の注意を。研究者が警鐘
2021年7月9日 13:21
Amazon Echoといったスマートスピーカーの内部には、Wi-Fiアクセスポイントや個人情報などが保存されているため、処分や破棄時には細心の注意を要したほうがいいと、ノースイースタン大学の研究者の論文で明らかとなった。
研究者らがeBayなどを通じて購入した中古のEcho Dotを調べたところ、その実に6割がリセットされていない状態であったという。つまり、前のユーザーが使っていた情報がそのまま残っていたわけで、中古としてeBayに流したユーザーのアカウントは、不正アクセスされるリスクに晒されている。
Amazon Echo DotのSoCにはMediaTekの「MT8516B」、メモリとストレージには組み込み向けにRAMとeMMCが1パッケージとなったeMCP、OSにはFire OSのコアが採用されている。つまり極論、ディスプレイがないのを除いて、ほかの汎用的なAndroidデバイスと大差のない構成になっている。そのため、テストポイントからNANDのデータを吸い出せる。
Echo DotはWi-Fiに繋がらなければ使えないが、先述の手法でNANDデータを吸い出せば、かつて接続していたWi-FiのSSIDとPSKパスワード設定情報(wpa_supplicant.confファイル)も抜き出せてしまう。そして、Echo Dotでは接続先のSSIDとMACアドレスの紐付けをしていないため、吸い出したSSID/PSKパスワードと同じ設定を適当なルーターにはめると、Echo Dotはそのアクセスポイントに接続してしまう。すなわち、攻撃者は以前のユーザーが使っていたAmazonアカウントにアクセスできてしまうという。
いったんアカウントにログインできてしまうと、例えば「近くのレストランは?」といった問いかけに対し、Alexaが近くのレストランを答えてしまうため、以前のユーザーの大まかな位置が判明できる。加えて、Echo Dotが過去にスキャンしたSSIDのログから、SSIDおよびMACアドレスがわかれば、WiGLEやGoogleのGeolocation APIなどを利用して以前のユーザーの所在地がより詳細にわかる。
ちなみに、Alexaアプリからデバイスとアカウントの紐付けを切っておくと、Amazonアカウントへのアクセスはできない(ただし、Echo Dotに保存されているユーザー情報やSSID情報は抜かれる)。しかし、デバイスのリセットを行なわなかった場合はSSIDや保存されている個人情報は抜かれてしまうほか、リセットをしていても、攻撃者が高度なリストア処理を行なった場合情報を抜き出せてしまう。
EchoのようなIoTデバイスにおいて、個人情報を保持しているという意識が薄く、ゆえにリセットをしなかったり紐付けを解除しないまま処分してしまうケースが多い。どうしても処分するなら、中古で売るというのはあまりいいアイディアだとは言えず、チップまで完全破壊するのが最良の手段だと言える。