AnkerのEufyカメラ、ユーザーの同意なしにコンテンツをクラウドにアップロードしていたことが判明 [更新]

2022年11月29日火曜日午後1時42分（太平洋標準時）ジュリ・クローバー

Ankerの人気セキュリティカメラ「Eufy」は、クラウドストレージが無効でローカルストレージのみの設定になっている場合でも、一部のデータをクラウドに送信しているようです。この情報は、セキュリティコンサルタントのポール・ムーア氏が先週公開した動画で、この問題の概要が説明されています。

ユーフィーカメラ
ムーア氏によると、彼はEufy Doorbell Dualを購入した。これは録画映像をデバイスに保存するデバイスとして販売されていた。しかし、クラウド機能が有効になっていないにもかかわらず、Eufyが顔のサムネイル画像とユーザー情報をクラウドサービスにアップロードしていることに気づいたという。

ムーア氏は、カメラで自分の画像を撮影し、Eufy HomeBaseの電源をオフにすることで、不正なクラウドアップロードを実演しました。クラウドサービスに登録していなかったにもかかわらず、ウェブサイトはクラウド統合を通じてコンテンツにアクセスでき、Eufyアプリから映像を削除してもアクセス可能です。ここで注目すべきは、Eufyはストリーミング動画全体をクラウドに自動アップロードしているのではなく、動画のキャプチャをサムネイルとして保存しているように見えることです。

Eufyアプリでは、サムネイル画像を使用してEufyベースステーションからのストリーミングビデオを有効化することで、Eufyユーザーは外出先でも動画を視聴できるほか、リッチ通知の送信にも利用できます。問題は、クラウド機能が有効化されていない場合でもサムネイル画像が自動的にクラウドにアップロードされ、さらにEufyはアップロード時に顔認証を使用しているように見えることです。Eufyは地域限定のサービスを謳い、よりプライバシーを重視したカメラソリューションを求めるユーザーから人気を得ているため、一部のユーザーは不正なクラウドアップロードに不満を抱いています。Eufyのウェブサイトには、「クラウドも費用もかかりません」と謳われています。

ムーア氏は、Eufy はカメラの所有者に知られることなく、2 台の別々のカメラと 2 台の別々のアプリから収集された顔認識データをユーザーにリンクすることもできると示唆している。

他のEufyユーザーもムーア氏のツイートに反応し、同じ現象を目撃しました。また、この件に関するRedditの専用スレッドも作成されています。ムーア氏はEufyのドアベルカメラをテストしましたが、他のEufyカメラも同様の動作をしているようです。ムーア氏が実演しているように、ログイン後には簡単なURLで画像にアクセスできるため、関係者にとっては潜在的なセキュリティリスクとなります。Eufyはムーア氏のツイート後、保存画像を表示するバックグラウンド呼び出しを削除しましたが、映像自体は削除していません。

ムーア氏は Eufy から返答を受け取り、その中で Eufy はイベントリストとサムネイルを AWS にアップロードしていることを確認したが、URL が制限され、時間制限があり、アカウントログインが必要であるため、データが「一般に漏洩することはない」と述べた。

ムーア氏が指摘したもう一つの問題は、EufyカメラのストリーミングをVLCなどのアプリを使ってライブ視聴できるというものだが、現時点ではこの脆弱性に関する情報はほとんど入手できていない。ムーア氏によると、暗号化されていないEufyカメラのコンテンツは認証なしでアクセスできるため、Eufyユーザーにとって懸念材料となっている。

Eufyの件に関してAnker社にさらなるコメントを求めており、回答が得られ次第この記事を更新します。ムーア氏は、Eufy社の法務部門と連絡を取り合っており、今後のコメントを出す前に「調査を行い、適切な措置を講じる」時間を与えると述べました。

更新： AnkerはMacRumorsに声明を発表し、画像が収集された理由と、今後この問題にどのように対処していくかについて説明した。

eufy Securityは、ローカルホームセキュリティシステムとして設計されています。すべてのビデオ映像はユーザーのデバイス上でローカルに保存され、暗号化されます。eufy Securityの顔認識技術に関しては、すべてユーザーのデバイス上で処理され、ローカルに保存されます。

当社の製品、サービス、プロセスは、ISO 27701/27001 および ETSI 303645 認証を含む一般データ保護規則 (GDPR) 標準に完全に準拠しています。

モバイルデバイスにプッシュ通知を提供するために、一部のセキュリティソリューションでは、動画の小さなプレビュー画像（サムネイル）を作成します。これらのサムネイルは、AWSベースのクラウドサーバーに短時間かつ安全にホストされます。これらのサムネイルはサーバー側で暗号化され、自動的に削除されるように設定されており、Apple Push Notification ServiceおよびFirebase Cloud Messagingの標準に準拠しています。ユーザーは、eufy Securityアカウントに安全にログインした後でのみ、これらのサムネイルにアクセスしたり共有したりできます。

eufy Security アプリでは、ユーザーはテキストベースまたはサムネイルベースのプッシュ通知を選択できますが、サムネイルベースの通知を選択すると、プレビュー画像が一時的にクラウドでホストされる必要があることが明確にされていませんでした。

このコミュニケーション不足は当社の不注意によるものであり、深くお詫び申し上げます。今後、この件に関して、コミュニケーションの改善に努めてまいります。

1) eufy Security アプリのプッシュ通知オプションの言語を改訂し、サムネイル付きのプッシュ通知にはクラウドに一時的に保存されるプレビュー画像が必要であることを明確に説明します。

2) 消費者向けのマーケティング資料では、プッシュ通知のためのクラウドの使用についてより明確に説明します。

eufy Security は、ユーザーのデータのプライバシーと保護に尽力しており、この問題を当社に報告してくださったセキュリティ研究コミュニティに感謝いたします。

AnkerのEufyカメラ、ユーザーの同意なしにコンテンツをクラウドにアップロードしていたことが判明 [更新]

人気のストーリー

iOS 26.1からiOS 26.4では、iPhoneに以下の新機能が追加されます

新型iPhoneの需要は1機種を除いて「予想を上回る」

昨日リークされたAppleの新製品一覧

Appleの2025年製品ロードマップ：今後の予定

Appleのイベントは10月に？何が期待できるのか

M5 MacBook Air：発売日、機能、パフォーマンス予測

AppleのiPhone運転免許証機能が米国11州で利用可能に

iPhone 17e：これまでの噂

iPhoneの使い方を変えるiOSの26の隠されたトリック