Fake Contacts - Androidの連絡帳をフェイク連絡先で汚染するためのツール

Fri, 24 Sep 2021 00:00:00 +0000

スマートフォンが覚えている連絡先、電話帳として掛けるときにも名前から知人友人を探せますし、相手から電話が掛かってきた時も番号ではなく掛けてきた人や会社の名前を表示してくれて便利ですよね。

そんな連絡帳に、嘘の連絡先情報を追加するという Android アプリが Fake Contacts (BillDietrich/fake_contacts)です。

アプリケーションは Google Play ストアには無い(Google から承認されていないのでしょう)ため、GitHub のリリースページからダウンロードして開発者モードでインストールする必要があります。

アプリを起動すると、ランダムに作られた連絡先の氏名、メールアドレス、電話番号が表示されるので、それでよければ create ボタンを押して連絡先を一つ追加できます。次々繰り返せば、連絡帳には存在しない架空の個人情報がどんどん増えていきます。

デフォルトでは、生成される名前の先頭が “Z” で始まるので、ABC順で見ている分にはフェイクの連絡先は末尾に固まって出てくるだけで、実用上邪魔にならないということです。Zで始まる名前も皆無ではありませんが…

生成したフェイク連絡先をまとめて削除する機能もついています。

偽の連絡先を入れる目的

でも、何のためにニセ連絡先を入れる必要が?

音声SNS の ClubHouseがIT業界人を中心に大盛り上がりしたのはまだ今年の初めのことですが、この ClubHouse の友人招待も、アプリに連絡帳へのアクセスを許すことで行われるという仕組みでした。

ClubHouse に連絡帳を見せないと登録できないし、連絡帳を見せることで自分の連絡帳に載っている相手を招待できるという仕組み。いわば人気の新サービスに登録できる権利でもって連絡帳情報を開放させる取引になっていました。

ClubHouse は連絡先のデータの活用をそのラインを超えてはしないかもしれませんが、ユーザーの連絡先情報にアクセスできる権限というのは非常に強力なものだと思います。ユーザーのネットワーク情報を入手できますし、メールアドレスや電話番号を使えばネットワークに次々と勧誘をかけることだって可能です。

このアプリは、連絡先情報を渡すサービスに対して、渡したリストの S/N 比を低下させようというものです。リストのほとんどが存在しない人物の情報で、メールアドレスも不達であればリストの価値は減り横流しの動機も減る、かもしれません。フェイクの電話番号はどこかに掛かってしまうという問題も起こりそうですけれど。

一人が情報汚染(data poisoning)を仕掛けても、連絡先情報を悪用しようとする取得者側にすぐに問題が起こることはないでしょうし、リストの全員にどのみちスパム等を送られるのであれば、登録してある本物の友人知人に迷惑が掛かることも変わりません。

多数の人が簡単にフェイクの連絡先を与える選択を持てれば、悪用業者にダメージを与えることもできるのかもしれませんけども。

英銀行の「正しい電話番号」確認サイト、JSONで全74000番号を晒す作りで議論を呼ぶ

Mon, 30 Aug 2021 00:00:00 +0000

イギリスの大手バークレーズ銀行、利用者の電話詐欺被害対策として「バークレイズ銀行の電話番号として正しいか調べる」サイトを公開しているのですが、その実装に問題があるのではという疑義がHacker News で上がり議論となっています。

Phone number checker サイトでは、電話番号を一つ入力するフォームが置かれ、ここに電話番号を入力すると、74000個ある正式な電話番号の場合は「この番号へ掛けても大丈夫です」という結果が出ます。

大手とはいえ、一つの銀行が74000個も番号を抱えてるのはすごいですね。フリーダイヤルから支店や部署まですべての番号を含むにしても。

議論となっているのは、このチェッカがクライアントサイドだけで動いているらしいこと。JSONファイルが読み込まれていて、このファイルに74000個の電話番号がベタ書きされています。

{ "numbers": [ "0800000097", "0800001011", "0800008008", "0800111777", "0800201612", "0800222200", "0800222800", "0800227222", "0800281435", "0800282390", "0800289289", "0800289888", "0800289989",

最初に声を上げたブログが、入力フォームの形式チェックがあまりちゃんとしていない(ハイフンを含んだりイギリスの国番号44から始まる形式を正しく認識できない等)やJSONファイルのサイズ(1.3Mbytes)が大きすぎることを問題にしていた(これぐらい許容範囲だとか、正規表現で書けばよいとか圧縮をちゃんとすればよいとか)ため、Hacker News での議論も多方向に拡散してしまっているのですが、主要な問題は偽メールや偽電話でだまそうとしている勢力が簡単に正式な電話番号のリストを入手できるところにあるのではないかなと思います。

発信者番号通知も改竄可能なので、騙す側に改竄するための正しい番号のリストを教えているという話でもあります。このチェッカが正しく理解されていないと、電話を「受けた時」にこのチェッカで正しいとされたから電話の相手を信用してもいいと思ってしまったりしてしまう可能性もあります。

電話番号 on akky@サイボウズラボ・ブログ

Fake Contacts - Androidの連絡帳をフェイク連絡先で汚染するためのツール

偽の連絡先を入れる目的

英銀行の「正しい電話番号」確認サイト、JSONで全74000番号を晒す作りで議論を呼ぶ