カテゴリー
ネットの事件

Awesome Screenshot が閲覧したサイトのURLを収集している疑い

ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページ […]

ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページに訪問したかをネットのどこかに送信する機能があるようです。

Jacq さんは、自分が管理するOSSECのサーバー上の Drupal の、ログインしないとアクセスできない管理画面の複数のURLに対して、”niki-bot”という名前のbotがアクセスしてくるのをアクセスログから発見しました。

外部から知りえないURLがアクセスされるからには、メンバーの誰かのクライアント側からURL情報が外部に漏れているのはと考えたチームは、内部で使われているブラウザ拡張を精査し、Diigo社のChrome拡張Awesome Screenshot がURLをネットに対して送信していることを見つけた、ということです。

awesome-screenshot-install-page

このAwesome Screenshot拡張、ブラウザ上で画面を画像として保存できる拡張機能で、日本語化もされています。メインの機能自体は使いやすいと評判が良いようで、日本語で推薦するブログ記事もいくつも見つかります。

しかし、この拡張をオンにしてウェブを閲覧していると、見ているページのURLが、Base64 エンコードを(なぜか2度)掛けて ld.crdui.com というドメインへ送られているというのです。

無関係なサーバに閲覧履歴を送る、なんてことをしているからには、当該部分のコードは、当然難読化されているのかと思いましたが、拡張のソースコードを見てみると tr.js というファイル中で送り先のURLや情報を送信するコードが隠されもせずに普通に読める形で書かれていますね。

SimilarWeb の元データ?

こちらのページでは、このAwesome Screenshot 拡張が7つもの外部のサーバにアクセスしていることを問題にしていますが、lb.crdui.com もこの7つのうちの1つで、webovernet.com にリダイレクトします。このwebovernet.com は SimilarWeb のサイトだと主張している人複数います。

SimilarWeb は、「このサイトを見ている人はこちらのサイトも見ています」というのを調べたりできるwebサイトです。サイトのページビューや訪問者数などの推測データも出してくれる数少ないwebサービスですが、以前から、どうやって色々なサイトのアクセス数などをそこそこ正確に推測できているのか、不思議に思われていました。

もし、Awesome Screenshot などのブラウザ拡張が SimilarWeb にユーザーのアクセスしたURL情報を横流ししているとすれば、サイトのトラフィックを推測できるのも道理です。

冒頭のbot、niki-bot の使っていたIPアドレスが、以前にSimilarWeb.com の使っていたアドレスだったという証拠も出てきました。

以上から、niki-bot = crdui.com = SimilarWeb が同じ運営者によるものという可能性は高いでしょう。

スクリーンショットを撮るために、どうして訪問したサイトのURLを外部に送信しなければいけないのか、Awesome Screenshot のインストールページには説明がありませんし、このURL送信を止めるオプションも無いようです。

パスワードなどの認証ではなく、URLのアドレスをランダムで長い文字列にすることによって関係者にしか開かれないページを作ったり共有したりできるサービスも多いですが、こういった擬似的な秘密ページも、そのまま送られてしまっては秘密でなくなります。

AlexaのAPIを使う拡張などで、閲覧ページの情報を収集するようなものもありますが、ユーザーが把握していたり、前記のような秘密のURLの収集をしないように対策するなど、ある程度のセキュリティーへの配慮をしているものもあります。しかし、この Awesome Screenshot のように何も予告せずに勝手に集めるというのは問題でしょう。URL がわかると限定公開の意味がなくなってしまうようなサービスの訪問アドレスも区別無くすべて送っているとなれば、悪用される可能性もあります。

この拡張、URL以外のもの、例えばwebサイトで入力した内容までも送っているのでは、と言っている人もいますが、Jacq さんの調査ではURLしか送られていないようだということ。

しかし、拡張のバージョンを上げてそういうコードを入れることもできますね。結局、ブラウザ拡張が安全かどうかは、提供元を信用するかどうかということになってしまうかと。毎回拡張のソースコードを読んだり、パケットの中を確認するのも現実的ではないですし。

Awesome Screenshot には Firefox版とSafari版もありますが、これらについて同じようなコードが入ってるかどうかはわかりません。Chrome版でだけやる理由もないので、安心はできないと思います。

まとめ

  • ChromeのAwesome Screenshot拡張が、見たページのURLをどこかに送信している
  • 送られたURLは SimilarWeb で使われているのではと思われる
  • URLを他人に知られるとまずいサイトを使っている人は利用を避けた方がいい
  • URL以外の送信は「今のところ」見つかっていない

「Awesome Screenshot が閲覧したサイトのURLを収集している疑い」への45件の返信

スクロールキャプチャが簡単にできるAwesome Screenshotの使い方https://t.co/cbTTWvJb10
私も早速クローム拡張機能に
追加したが、SimilarWebに
閲覧URLを送信されてるかも?http://t.co/ANyrA0snc8 @akky

うーん、仕事で結構使ってた…。今更だけど使うのを控えよう。 / “Awesome Screenshot が閲覧したサイトのURLを収集している疑い | 秋元@サイボウズラボ・プログラマー・ブログ” http://t.co/2BxguJj3IG

Awesome Screenshot が閲覧したサイトのURLを収集している疑い http://t.co/wTjr78qwQf @akkyさんから

SimilarWebも入れてたので完全に収集されてたな。自己責任だしそれなりにお世話になったからなんとも言えないけど…。

Chromeで画面のスクショ取るのにAwesome Screenshotっていう拡張使ってたんだけど、これ閲覧中URLを外部に送るとかいうマルウェア的なことしてたんか…。初期は安全だけど拡張の自動アップデートで仕込まれるとか困るよな… http://t.co/C9orSlsWSE

ソースを読んだわけでもないので完全に二次情報ですが、chrome拡張機能で画面キャプチャを撮りまくる私にとっては勝手に衝撃でした。Awesomeをご利用の方は(いまさらですが)ご参考まで。https://t.co/Gc6y89yzNR

Chromeで便利で使っていたAwesome Screenshotの拡張機能でしたが、個人情報を取得している不正が見つかっていることを知ってびっくり!
紹介されている記事に感謝!!https://t.co/S6WLN8Tv0f
・https://t.co/ezX9j8FYoD

随分昔の記事だけど、Awesome Screenshotってスクリーンショットの拡張、スパイウェアだったんだな。一時期使ってたのが入れっぱなしになってた。ま、停止はしてたし…一応… https://t.co/twgj1sDehp

@nemoshin この拡張機能もこういう記事があるので、フリーのサービスには付き物だな~って思ってるよ!
Prtscnボタン押してペイント貼り付けとかがアナログだけど安心かもぬぇ
https://t.co/aC2xWtyuXb

コメントは受け付けていません。