高木浩光＠自宅の日記

■ iTunesストアの不正アクセス被害で問題にすべきポイントは何か

iTunesストアで不正アクセス行為が横行しており、身に覚えのない高額な請求をされて困ったという話は、昨年の秋くらいからチラホラとブログ界隈に出ていた。たとえば以下の報告では、中国語の商品等が不正に購入された被害を示している。

• iTunesのアカウント不正利用に関する一例, 2009年10月31日〜11月4日

  お問い合わせいただいたアカウントロック解除のお願いについてご案内します。

  アカウント名　xxxxxxxxxxx　は、お客さまの事前承諾なしに商品が購入されたというお問い合わせをいただきました。不正使用で、アカウント名　xxxxxxxxxxx　は、変更されていますので、○○様のアカウントを有効かする事はできません。 アカウントロック解除はできませんご了承下さい。

  ○○様のもう一つのアカウント名　 yyyyyyyyyyyyy　の方は、最近購入した曲やアプリケーションの名前：不正利用だと書いてあるでしょう　との事でしたので、こちらのアカウントも有効かする事はできませんご了承下さい。

  誠に残念ながら、この購入の金額を返金させていただくことはできません。 iTunes Store サービス規約により、アップルではお客さまのアカウントの不正使用により生じる損失について一切の責任を負いかねます。 サービス規約は次のページでご確認いただくことができます。

• iTunesアカウントが乗っ取られた！その４, isiの日記, 2010年1月27日

  カード会社に電話
  →書類が無事に届いたことを確認。
  iTunes株式会社に連絡を入れているが応答がないとのこと。

この問題に消費者庁が対応するとのことで、NHKニュースにもなったようだ（テレビのニュースは見逃した）。

• 配信請求トラブル 実態を調査, NHKニュース, 2010年2月17日

  アメリカのアップル社が運営するインターネットの配信サービスの利用者が、購入した覚えのないソフトの料金を請求されるトラブルが相次いでいる問題で、消費者庁は１７日、アップル社側の担当者を呼んで、トラブルの実態について回答を求めるなど本格的な調査をはじめました。

  （略）相次ぐトラブルについてアップル社は、ＮＨＫの取材に対し、「ｉＴｕｎｅｓから情報は流出していない」としていますが、一方で消費者庁には、アップル社側のサポート体制が不十分だとする利用者からの声も寄せられており（略）

この種の事案をマスコミが扱う場合に注意しなければならないのは、「iTunesがパスワードを流出させたんじゃないのか」という素人丸出しの安直な発想で追求して、話をアサッテの方角に向けてしまわないようにすることだ。

案の定、この問題を最初にニュースにした1月25日の朝日新聞の記事は、この過ちを犯した。

• iTunesで不正請求被害 アップル社、ID流出否定, 朝日新聞, 2010年1月25日

  （略）同社からは購入契約の解約を断られた。クレジット会社に事情を説明したところ、自ら購入していないと認められ、請求を撤回してもらうことができた。

  （略）相談した消費生活センターからは、ＩＤとパスワードの管理責任は消費者側にあり、ｉＴＳのコンピューターが不正操作されて情報が流出したのでなければアップル社の責任は問えない、と説明されたという。

  （略）アップル社の日本法人は「現時点では、管理しているコンピューターからＩＤが盗まれた事実はない」と同社からの流出を否定している。米国でも同様の被害が報告されているが、同社は、考えられる原因として、偽メールなどで偽サイトに誘い込み、ＩＤやパスワードを入力させて盗む「フィッシング詐欺」に遭ったか、他人にパスワードなどを教えたり見られたりした可能性を挙げる。

この記事が不適切なのは、最初にiTunesストアからのパスワード流出を疑い、それをアップルに否定されると、アップルが主張するがままに、利用者の責任にしてしまっている。

この種の不正アクセス行為が起きる原因として、検討するべき重要な可能性は、他のサイトで流出したIDとパスワードが用いられたのではないか（流出パスワードを売買する中国語の闇市場があると聞く）、という点である。この可能性について、朝日新聞の記事は触れていないし、続報として書かれた1月29日の朝日新聞記事も、この点に触れていない。

• iTunes、IDなりすましの恐れ　アップル社調査, 朝日新聞, 2010年1月29日

設定していたのが弱いパスワードだったとか、フィッシングによってパスワードを盗まれたのだとすれば、利用者の責任だと言うこともできるかもしれない。しかし、他のサイトに登録していた同じパスワードが流出したのが原因だとすれば、それを利用者の責任として問うべきではない。

利用者の自己防衛の手段として、「サイトごとに異なるパスワードを設定しましょう」と呼びかけるのはよいとしても、それを実行できていない利用者を責めるべきではない。

結局のところ、この種の不正アクセスはいくらかの確率で発生し、利用者の責任で完全に防ぐことはできないものと考えるべきであり、サイト運営者は、それを踏まえた運営をするべきである。パスワード認証という脆弱なユーザ認証方式を、利便性と低コストを優先して採用している、サイト側の責任とみなすべきである。

iTunesストアの場合、支払いを拒否してアカウントを凍結された場合、過去に購入したiPhone OSの有料アプリのアップデートを受けられない等の問題が生ずるのであるから、支払いの義務がないというだけで決着する話ではない。iTunesストアと交渉する力を持たない一般消費者が泣き寝入りすれば、購入済みの財産を放棄させられるという損害が生ずる。

• iTunesアカウントが乗っ取られた！その２ - isi の日記,

  ●iTunesの対応

  「一旦買ったら後は一切返品は受け付けません」嗚呼。オンラインコンテンツの性質上やむを得ないのでしょうが、これでは不正使用の被害者はどうしようもありません…　不正購入の事実がはっきりした時点でDRMの再認証を出来なくするとか、購入履歴から削除するとか、対応をお願いしたいところですが、inyavaさんのコメントからすると無理そうですね…

この点を問題視すべきであるのに、これまでにどの報道もその点を追求していない。

消費者庁がこの点を含めて処置することが期待されるが、グーグル株式会社のストリートビューへの対応と同様に、アップル社には極めて不適切な対応をされるおそれがあると思う。