＜中国政府がダウンロードを義務付けているアプリはセキュリティ上の穴だらけだし、SNSも常に政府の監視下にある。西側の選手は冗談にも中国の悪口など言わないほうが身のためだ＞
あるインターネット監視組織は、北京冬季五輪に参加する選手に対して中国政府がダウンロードを義務づけているアプリに関して、セキュリティー上の欠陥があると警告した。
カナダのトロント大学に本拠を置く研究組織「シチズン・ラボ」の報告書によれば、観客、報道陣、選手を含むすべてのイベント参加者は、「MY2022」というアプリをダウンロードする必要がある。音声チャット、ファイル転送、気象情報など、さまざまな用途を持つアプリだ。
また、中国国外からの訪問者は、入国時の健康チェックもアプリでできる。AP通信によれば、これは中国政府による新型コロナウイルス対策の一環だ。
しかし、1月18日に発表されたシチズン・ラボの報告書は、このアプリには「単純だが壊滅的なセキュリティ欠陥」があり、アプリ経由で送信される音声などのファイルの暗号化を「たやすく回避」されるという。また、パスポート情報や、病歴などアプリ経由で送信できる入国時の健康情報も、ハッキングに対して脆弱だと報告書は述べている。
USAトゥデイによれば、米国、カナダ、オランダなどのオリンピック委員会は選手に対し、2月4日に開幕する北京五輪に自分の携帯電話を持ち込まないよう警告している。
米国オリンピック・パラリンピック委員会（「Team USA」）は技術告示を出し、プリペイド式携帯電話やレンタルまたは使い捨てコンピューターの使用を推奨している。
技術告示には、「携帯電話のデータやアプリケーションは、コンピューターと同様に、悪意ある侵入や感染、データ漏えいのターゲットになる」と書かれている。
検閲用のワードリストも
AP通信によれば、米国オリンピック・パラリンピック委員会は選手に対して、「すべてのデバイス、通信や取引、オンライン活動が監視されることを想定」すべきと伝え、「中国で活動している間、データのセキュリティーやプライバシーは期待できない」と補足している。
シチズン・ラボの報告書によれば、このアプリには「政治的にデリケート」なコンテンツを報告できる機能があり、さらに、現時点では有効化されていないものの、検閲用のキーワードリストもあるという。
報告書は、こうしたキーワードの一つとして「新疆」を挙げている。中国当局が、イスラム教少数民族のウイグル人に対し、大量虐殺や強制的な不妊手術などの犯罪的行為を行っているとされる場所だ。
中国には、自国民を監視してきた長い歴史がある。30年以上にわたって中国を研究しているドイツのジャーナリスト、カイ・シュトリットマターは2021年1月、米国の公共ラジオネットワーク「NPR」に対し、中国の人々は「生涯、国家の監視の目を感じている」と語っている
シュトリットマターはその一例として、中国の人気アプリWeChat（微信）で、北京で開かれる詩の朗読会に行く話をした後、2人の友人が逮捕されたという出来事を挙げた。香港の支援を目的とした詩の朗読会だった。
「結局、彼らは詩の朗読会に行くことができなかった」とシュトリットマターは続けた。「彼らはその途中で逮捕された。WeChatでの会話が原因であることは明らかだ」
米国務省の渡航情報によれば、中国の治安当局は、ホテルの部屋からインターネットの利用まであらゆるものを監視することが可能であり、コンピューターなどの所持品が本人の同意なく調べられることもあるという。
「警備員は外国からの訪問者に目を光らせており、監視下に置かれる場合もある」と、渡航情報には書かれている。「中国政府を批判する電子メッセージを個人的に送信した米国市民が拘束され、国外退去の処分を受けた事例もある」
（翻訳：ガリレオ）
＜関連記事＞
・北京五輪を目前にオミクロン株と中国ゼロコロナの壮絶な戦い
・北京冬季オリンピックは中国の集団虐殺を隠蔽する祭典に
北京五輪の必須アプリにセキュリティ上の欠陥。中国政府もIOCも対応せず
IOCいわく「アプリ使用は義務づけられてない」とのこと
Carlos Garcia Rawlins / reuters
まもなく開催される北京冬季オリンピックで参加者全員が使用を義務づけられているというモバイルアプリに、個人情報が漏えいする恐れがある脆弱性が見つかったと報告されています。
このアプリ「My2022」は競技に出場する選手のほか、観客やメディア関係者を含めて「北京冬季五輪に参加する人」すべてに使うことが義務づけられているもの。参加者らは中国に出発する14日前にアプリをダウンロードし、毎日の健康状態のモニタリングとアプリを通じた結果を（中国当局に）提出しなければなりません。
本アプリの解析を行ったのは、カナダ・トロント大学のセキュリティ研究所のCitizen Labです。同組織はスパイウェア「Pegasus」に感染したスマートフォンを特定する際にも、重要な役割を果たしたことが知られています。
Citizen Labによれば「My2022」はパスポートの詳細や医療データ、旅行履歴などの個人情報を集めるものの、セキュリティ上の脆弱性が2つあり、これらの情報が流出する可能性があるとのことです。
まず1つ目はSSL証明書の検証に失敗し、機密性の高い暗号化データの送受信ができない脆弱性です。すなわち「攻撃者がアプリとサーバ間の通信を妨害することで、信頼できるサーバになりすますこと」が可能であり、悪意あるホストに接続させて個人情報を傍受できるほか、偽装コンテンツをアプリに表示できると説明されています。
第二の脆弱性は、一部の機密データがSSL暗号化やセキュリティが全く確保していない状態で送信されていること。その中にはメッセージの送信者と受信者の名前、ユーザーアカウントの識別子など、メッセージに関連する機密性の高いメタデータが含まれている、と述べられています。
つまり機密にすべき情報が平文で送られるため、Wi-Fiホットスポットの運営者やインターネットサービスプロバイダなど、経路上にいるあらゆる人たちが盗聴しほうだいというわけです。これら2つの脆弱性は、iOSとAndroid版の両方に存在していると見られています。
昨年（2021年）12月3日、Citizen Labはこれらの問題をオリンピック・パラリンピック冬季大会の北京組織委員会に提示したとのこと。しかし期限とした1月18日までに回答がひとつもなかったため、一般公開に踏み切ったと明かされています。また17日の時点でiOS版のバージョン2.05がリリースされたため分析したところ、報告した問題は修正されていなかったそうです。
さらに米Reutersによると、国際オリンピック委員会（IOC）はアプリに関する第三者評価をすでに実施しており、「重大な脆弱性」は見つからなかったとコメント。それに加えて「スマートフォンに『My2022』をインストールすることは義務付けられていない」との声明を出したとのことです。
これらの報道をまとめると、記事執筆時点では中国当局は個人情報が漏えいする穴を塞ぐつもりはなさそうです。またIOCも中国政府に対応を要請する考えはなく、万が一何かがあっても「My2022の使用は自己責任で」という姿勢を貫くつもりかもしれません。
英BBCは、北京オリンピック参加者はプリペイド式のスマートフォンを持ち込み、中国滞在時にだけ使うメールアカウントを作った方がいいとのサイバーセキュリティ企業のコメントを紹介しています。もしも選手として、あるいは報道その他関係者として参加する場合は、こうした参考にすべき対策を洗い出しておくほう良いかもしれません。
Source:Citizen Lab
