Bluetooth対応の自動車用バッテリーモニターが位置データを抜き取っていることが判明

• Bluetooth機能を搭載した自動車用バッテリーモニターは、バッテリー電圧を記録する一方で、GPS座標、携帯電話基地局データ、周辺のWi-Fiビーコンを収集し、香港および中国本土のサーバーへ送信します。
• Androidアプリはハードウェアデバイスを使用するために位置情報権限を必要とするため、ユーザーは製品を使うために継続的に自分の物理的位置を第三者へブロードキャストしなければなりません。
• アプリストアは個人情報が収集または共有されないと明記しており、消費者を誤導しています。
• 自動車用バッテリーモニターのアプリケーションがユーザーの位置を追跡する正当な理由はないため、重大なプライバシー上の懸念が生じています。
• この製品はAndroidだけで10万件以上のダウンロードを記録しています。
• 使用されている組み込みライブラリのAMapは、中国の主要なデジタル地図プロバイダーの1つであり、広範なデータ収集に一部寄与しています。
• AMap SDKはGPS座標、隣接する携帯電話基地局の位置データ、およびWi-Fiアクセスポイントを収集しており、連載第2部で著者はAMapがこれらのデータを収集する方法を探っています。
• ハードウェアは単純で、スマートフォンとのペアリングが必要であり、必要なアプリケーションはバックグラウンドで実行されてスマートフォンを位置スキャン装置へ変えます。
• Androidアプリケーションは位置情報を取得するために位置情報権限を必要とし、iOS版も位置データをリモートサーバーへ送信します。
• Mitmproxyはネットワークトラフィックを傍受するために使用され、Fridaは動的解析およびメモリ解析に使用されます。
• アプリはqihoo.utilという商用ソフトウェアパッカーでパックされているため、APKからJavaバイトコードを直接復号することが問題になります.

[GN⁺]

Hacker Newsのコメント

• Google Playで10万件以上ダウンロードされているBluetooth車載バッテリーモニターのアプリが、GPS、携帯電話基地局のセルID、Wi‑Fiビーコンのデータを香港および中国本土のサーバーに送信しています。
• このアプリは個人情報を収集したり第三者に送信したりしないと主張していますが、それは事実ではありません。
• ユーザーは起動時またはバックグラウンドでアプリを停止できるべきであり、OSはインターネットアクセスをユーザーが承認または取り消しできる権限として提供すべきです。
• Androidには、実機で偽のGPSデータを提供して、アプリが不要な位置データを収集するのを防げる機能が必要です。
• 中国に限らず、あらゆる機器が大量のデータを収集して送信し得ます。
• 米国政府は国家安全保障上の理由から、この種の機器に対して措置を講じるべきです。
• VictronのAndroidモバイルアプリのような、バッテリー管理向けの他のアプリも位置データを収集しています。
• 読者は、接続された機器向けアプリのリバースエンジニアリングについて学べます。