NHN JapanのLINEアプリが大人気だ。
全世界のユーザー数が4000万人を超え、国内でも1800万人のユーザーを突破したという。 今でも月に500万人が登録し続けており、年内にも1億ユーザーを目指す、という。
驚くべきはその成長率であり、LINEは2011年6月に公開されてまだ1年しか経っていない。しかし全くの新規アプリ・サービスでそれだけの期間に4000万人が登録したコミュニティというのは他に例は無いだろう。
OGC2012のNHN Japan自身の講演によれば、 会員2000万人突破にかかった期間は256日であり、これはTwitterの1035日・Facebookの1152日に比べても驚異的と言えるだろう。
無論こうした爆発的な人気の原因には、そもそものコミュニケーションツールとしての使いやすさ・取っつきやすさや、無料であること、TVCMなどのマーケティングなども大きな要因であろう。
しかし僕はそこには、これまでどのサービスも乗り越えてこなかった大きなポイントがあると思う。
それは「ネットワーク構築のショートカット」である。
随分間が空いてしまいましたが、やはりまとめておくことにします。
前回までにドコモへ問い合わせた内容はこちら。
世間的にもこの問題は下火になっており僕もそれで構わないとも思いますが、質疑応答の過程で幾つか意義のある論点もあり得たかと思いますのでそれを中心にまとめます。
何が事実だったのか、あるいはドコモの主張だったのか
IMEI(International Mobile Equipment Identity)は個々の端末固有に紐付けられるユニークなIDで「携帯キャリア(電話会社)により端末の識別を行う」際に利用されるIDです。通話時やデータ通信時には常に送出されており携帯キャリアは把握することが出来ます、例えば盗難端末が携帯網に接続される場合にそれを拒否して使えなくする、などの使われ方をします。
IMEIは端末の恐らく電池パックの裏などにも印字されていますしまた箱にも書かれていることも多いです。またそもそも皆さんが携帯端末を契約した際にはキャリアでどの契約者にどのIMEIの携帯を売ったかは当然記録されており(つまり契約者と紐付いている)例えば契約書には電話番号と同時にIMEIの記載されているはずです。(但し中古品を買ったなどの場合はこの限りではありません)
このような目的ですので携帯キャリアがIMEIを把握したり利用することは想定内の利用方法です。しかし今回恐らくは初めてIMEIがキャリア以外のC/Pへ通知されることになった、ことがこれまでの使われ方とは異なる大きな問題なのです。これはIMEIの定義やこれまでの通信事業者の論理からすれば世界的にもかなり驚くべき事例かと思います。簡単に言うと何とも安直にIMEIを「目的外利用」することになったものです。
つまりIMEIというキャリアにとっては契約者に紐付くIDがC/Pへ通知されることでC/Pではこれを用いてユーザーをユニークに見分けることが出来るようになります。また悪意を持って見れば、複数のC/Pがキャリアに内緒でデータを持ち寄ってデータの突き合わせをし、より完全で詳細な個人情報を組み立て上げ売買したりシェアし合うかも知れません。IMEIは決して変動するIDではありませんのでほぼ未来永劫に渡って一度紐付けられたあなたの個人情報は業者から削除されたり無効になることは無く、例えばどのサイトへも少しアクセスしただけでもあなたが一体何者で他のサイト含めてこれまでどんなコンテンツを購入したり閲覧したか、などが丸わかりになる可能性も出てきます。再度繰り返しますが、これが未来永劫続きます。
これが所謂「固定ID」の危険性であり、「名寄せ」と呼ばれる個人情報収集手法です。
まとめると、本来携帯キャリアの管理下にしておくべきIMEIが外部で利用されてしまうこと、上記で述べたように固定IDによる名寄せリスク(プライバシー)が懸念される問題と言えます。
これは微妙です。
但しメディアプレイヤーのみの送信、それもライセンス取得時のみと言うことからは、常に全てのC/Pで行えることでも無いでしょう。これはライセンスサーバーをきちんと立てて運用するにはそれなりに運用コストもかかり、ただ個人情報を取得するだけの目的では簡単には行えないと考えられるからです。保証は出来ませんしもちろんそうした運用を行った上で悪意を持って名寄せをするC/Pがいない保証もありませんが、例えば当初懸念されていたように「ブラウザが無条件でIMEIを送信する」事態に比べればリスクはよほど低いとは言えるでしょう。
また現在普通に行われているように、サイトで簡単にやはり同じように契約者を固定IDで特定できるiモードIDが取得できてしまうことに比べればよほど問題は小さいです。
但しこうしたリスクは少ないながら付きまとっていることはしっかりと把握しておきましょう。
質疑応答からもドコモは「固定IDのリスクについては承知している」と繰り返していました。しかしながらにも関わらずこのように安易にIMEI(固定ID)を利用してしまうのは、もちろんC/Pへの配慮という大きな問題はあったと思いますが、同時にIMEIなど固定IDに変わるソリューションをきちんとC/Pに提供できなかった「プラットフォーマーとしての責務の欠如」に大変懸念を感じます。
これは別エントリーにて後日もっと詳しく述べられるといいなあとも思うのですが、簡単に言えばドコモがプラットフォーマーとして利用者の期待に応えられず、C/Pの要望にただ流されているという懸念すべき状況であるとも言えるでしょう。
これはアップルが同様にプラットフォーマーとしてどのような施策をしているかと比較してみればよくわかるでしょう。
現在の大きな潮流の変化(スマフォへの移行や世間のプライバシー問題の関心の変化)にドコモ自身が付いていけないことを露呈した、あるいは白旗を揚げている事例では無いかと思います。
今後一点注意しなければならないと思うのは、今回の事例が前例となって、「端末固定IDはライセンス取得・コンテンツ保護のためには必須」という理由が「錦の旗」化してしまわないか、という懸念です。
当然アップルやアマゾンの例を見て分かるように、端末に紐付いた固定IDは別にコンテンツ・ライセンスのための必須条件ではありません。
しかし少なくとも日本のデジコン業界では「ライセンスは端末に紐付いたIDでしか守れない」神話が根付いてしまっているようです。そしてまたユーザーも簡単にそれを(その先のリスクを理解していないので)受け入れてしまっている事実があります。
ライセンス取得と端末固定IDは全く別なのだ、ということはぜひとも広く理解して欲しいし、実のところこうしたことはデジコン業界がユーザーに問題を押し付けて自分たちが楽を出来るからに他ならない、と言う点は理解しておきたいと思います。
—
ドコモからの回答では「きちんと利用者に固定IDの危険性を啓蒙していきたい」との段がありました。またこの問題がどのように変貌していくかは実際に運用が始まらないとわからない点もあります。
当面の問題は少ないにせよ、今後とも興味を持って注目していきたいし皆さんにもお願いしたいところです。
(2011/11/19 更新)
(2011/11/18 更新)
(2011/11/11 更新)
(2011/10/29 更新)
取り急ぎ、一般向け窓口宛ではありますが個人的に以下のような公開質問状を送付しました。
やり取りが発生しましたら追記していきます。経験上、最初の回答までには一週間はかかると思います。。。
お世話になります。 先般貴社WEBサイトにて今秋のスマートフォンに搭載されるメディアプレーヤーよりアクセス時のUserAgent情報にIMEIが 付加されるとの発表がありました。 参考: http://j.mp/nJWr9k これに関しまして以下ご質問させて頂きます。 1. IMEIをUserAgentに付加されることにした意図・目的は何でしょうか 2. 一般にこうしたIDに変動が無く恒久的に容易にユーザートラッキングできる問題はプライバシー上「Super Cookie」 (参考: http://www.horibemasao.org/takagi.ppt3.pdf)問題として広く知られておりますが、こうした問題について 今回どのような検討をされましたか 3. こうしたSuper Cookieが標準で搭載された場合、本来単独では個人が特定できないはずの情報が完全な個人情報として 容易に流通する可能性が高くなります。こうした問題に対してどのような対策を講じようとされていらっしゃいますか。 4. 上記の通り、コンテンツプロバイダー(公式サイトに限りません)はこれまではほぼ不可能だった利用者端末のIMEIを 容易に入手できるようになる訳ですが、これは問題あると考えていらっしゃいますか。あるいは無いとお考えでしょうか。 いずれかにおいて、その理由は何でしょうか。 5.テレビ新聞で報道されている通り「ユーザー同意無く端末情報を取得するスマートフォンアプリ」が複数見つかり スパイウェアと批判を受けたり更に不正指令電磁的記録取得罪に問われるのではないかとの報道もあります。 これは利用者にアプリケーションの動作を正確に説明していないためですが今回の仕様について利用者にどのようにまた どの程度のご説明をされていらっしゃいますか。 6. プライバシー問題が大きくクローズアップされている現在、今回のような仕様の導入は早急に中止すべきと個人的には 考えますが、中止されるあるいは検討されるご予定はございますか。 以上です。 なおこの質問は公開質問であり、インターネットなどによって一般に公開される旨、あらかじめご了承下さい。 またご回答はひとまとめではなく、上記一問に付き一答ずつお願い致します。 以上、大変お手数ですがご回答賜りますようどうぞ宜しくお願いします。
ドコモからの回答がありました。
コメントにもありますように、その後ドコモは「IMEIはメディアプレーヤーがライセンスを取得する際のみ」であることを公表しており回答もそれに沿ったものになっています。
以下、回答を簡単にまとめます。
ポイントは「IMEIはC/Pサイドにも送信されうる(模様)」「ユーザー許諾を取るので問題無い」としている点となるでしょうか。
当方より再度以下の内容で質問をしました。
お世話になっております。お忙しい中ご回答頂きまして誠にありがとうございました。 下記拝見させて頂きました。その上で追加にてご質問させて頂きたく、再々申し訳ありませんがご回答願えませんでしょうか。 お手数ですが前回と同じく、ひとまとめではなく一問一答にてお願い致します。 なお下記にもご回答頂いております通り、貴社WebサイトにてもIMEI送信はメディアプレーヤーでのみとなっている旨 記載が変更されている点は後日拝見致しました。 1. IMEIをPlayReadyでの端末特定のためのDRM管理キーにされている(あるいはその予定)とのことと理解致しましたが、 これはマイクロソフト殿での仕様でしょうか。若しくはドコモ殿の判断ですか。 2. 端末判別に何故IMEIが必須でしょうか。一般によく知られている手法のように、例えばUUID(C/Pごとに異なるキー。 PlayReadyで言えばドメインごとに異なるキー体系)でも十分なのではありませんか。IMEIで無ければならない積極的な 理由はありますか。 3. メディアプレイヤーの仕様としては、ドコモ殿のサイトへ接続する場合のみIMEIを送信するのでは無く、 例えばC/P殿が独自に設置された(つまりコンテンツが指定した)ライセンスサーバーでも無条件でIMEIは送信される、 ということでしょうか。 4. 3がYESの場合、全くドコモ殿が預かり知らないところでもIMEIは取得可能になろうかと思います (例えば「勝手サイト」など)。その場合、ドコモ殿がコントロールできることでは無い以上、「IMEIを広く収集される 危険性はない」ということはあり得ないと思われますがいかがでしょうか。 5. 重ねての質問にもなりますが、「ユーザー許諾を取っている」とのことですが、具体的にはどのような周知にて お客様へお伝えされていますか。例えば、そもそもほぼ全ての一般のお客様はIMEIが何であるのか、名寄せのリスク とは具体的にどのようなことなのかはほぼご承知では無いでしょう。そこを十分理解して頂かずに形だけ許諾をとっても 実質が伴わなければオプトインでは無いというのがプライバシー上でも民法上でも一般的な考え方です。 先の「スパイウェア」とされたアプリでも形だけの許諾を前提にしていたため、スパイウェアとして理解されるように なりました。 その前提で、どのようにユーザーへの啓蒙と理解を図られようとされていますか。 6. IMEIのように恒久的に値が変わらずユーザーを特定し続ける所謂「固定ID」については容易に個人情報と 結びつけやすいことから、個人情報として取り扱うべきだ、とのセキュリティ研究者からの意見もあります。 参考: http://www.atmarkit.co.jp/news/analysis/201110/27/smartphone.html この点に関し、ドコモ殿のご見解をお聞かせ下さい。 以上です。 なお最後に、「メールの一部または全部を転用したり、二次利用することはご遠慮いただ」きたいとのことですが、 どのような根拠・理由によるものでしょうか。 既に十二分にご理解されているのでは無いかと察しますが、本件は現在ネット上含め大変注目されている 「利用者プライバシー」に関わる問題であり、社会的意義の大変大きな問題です。故に最初のメールにても 申し上げました通り「公開質問状」として送付させて頂きました。 ドコモ殿のご見解を適切に引用・周知することは社会公益の点からも大変重要と考えており、随時適切かつ適正に 引用・周知致します旨、何とぞご理解下さい。 以上となります。 お忙しい中大変恐縮ですがどうぞご回答賜りますよう、宜しくお願い申し上げます。
以下、ドコモからの回答の要約です。
—————————————————————-
ライセンスを取得しますか？
ライセンスの取得時には通信が発生します。
また、その際、携帯電話の識別番号（IMEI）が送信されます。
はい／いいえ
—————————————————————-
当方より再々度以下の内容で質問をしました。
お世話になっております。お忙しい中、ご回答誠にありがとうございました。 再々申し訳ございません。 下記ご回答を受けまして再々度ご質問させて下さい。 1. 念のためご確認させて下さい。「IMEIを送出しないことも可能な仕様」とは許諾画面で許可しないことで、 そもそもライセンス取得を行わない、ということを意味していらっしゃいますか。ライセンス取得には行くがヘッダーに IMEIは付加しない、という意味ではありませんよね？ 2. CPのライセンスサーバーではどのような仕様かは分からないものの、IMEIを送出する仕様となっている、 との理解で宜しいでしょうか。つまり実際のライセンス確認方法はCPさんにより異なるということですね。 3. これは個人的な意見ともなりますが。IMEIの送出はそもそもCPさんへのやむにやまれぬ配慮であり、 またプライバシーへの危険性についてもユーザーに今後具体的に周知・啓蒙されていくと言うことでは理解しました。 特にユーザーへの周知はぜひ形だけに終わらず具体的な施策を期待致します。 その上ででもですが、やはりIMEIの送出は正当化できるものではないと考えます。理由は既に貴社にても把握して いらっしゃる通り、「固定IDとユーザー情報の紐付け」を前提とした仕様はいかなる予防策を講じるにせよ プライバシー上のリスクは制御できないからです。 恐らくはCPさんからの根強い要望もあった故であり本来であればドコモ様としては避けたかった事態では無いかと 推察はしますが、今後プラットフォーマーの役割としてはそうしたCPさんらがIMEIを使わずともUUIDなどでうまく 運用できる仕組み(例えば永続的にIMEIを使い続けなくともどこかの段階でUUIDや一般的なユーザー認証へ移行する ことは技術的には可能でしょう)を提供される、あるいはそう誘導されるのもドコモ様の責務のうちでありユーザーへの 責任では無いかと思いますが、いかが考えられるでしょうか。 4. 固定IDの利用についてはリスクがあることを重々承知してらっしゃることはよく分かりました。 しかし一方で、これはIMEI送出だけに限らず、例えばやはり同じく永続的なキーであるiモードIDでも同様かと思います。 更にはiモードIDの場合はほぼ無条件ですべてのCPさんにて取得可能であり(通知可否は選択可能なものの)、 更に昨年よりスマートフォンでも取得可能となっています。 こうした状況を前提にお聞きしたいのですが(但しiモードIDに限らず固定ID送出の取り扱い全般として)、 下記にて「法令遵守・監督官庁指導に従う」「ユーザーへの注意喚起」を述べていらっしゃいますが、 そうしたリスクを捉えつつ利用を継続されるのは施策として矛盾していませんか。 3とも関連しますがプラットフォーマーの立場において、固定IDについてはどのようなポリシーにて運用されようと していますか。将来廃止への方向性の意図はお持ちになられますか。 5. 固定IDを如何に安全に取り扱うべきか、またどのようなリスクがあるか、CPさんにせよユーザーにせよ、 具体的にどのように啓蒙・周知をされていく予定でしょうか。例えば勝手サイトを含めてCPさん向けに固定IDの取扱規則や ベストプラクティスを公表する、ユーザーにiモードIDなどの固定IDにどのようなプライバシー上の危険性があるかの これまで以上に踏み込んだ啓蒙など、予定されませんか。 ドコモさんでのそうした姿勢こそがスマートフォンを中心としたケータイ・ネットワークへの信頼性を高めるものであり、 隠し続けることは逆に疑念しか生み出さないと考えるものですが、どのようにお考えになるでしょうか。 最後になりますが、必要に応じたネット上での引用・周知については十分に適正・適切に行わさせて頂きますこと、お約束させて頂きます。 以上です。長々と申し訳ございません。 お忙しい中大変恐縮ですが、ご回答賜りましたら幸いです。 では、どうぞ宜しくお願い致します。
基本的には、まず問い質したかった「固定IDへの考え方・取り扱い方針」については回答拒否ですね。まあもう固定IDを送出しているのは事実なので答えにくいでしょう。但し懸念の表明という点では達せたかなと感じています。
ドコモ的にはこのあたりが限界なのでしょう。
別途、質問ではなく要望という形で先方には伝えて本件はとりあえず取り纏めということになるかと思います。
まとめとして以下を送付しました。
ご回答ありがとうございました。 全てのご質問に付き明確なご回答頂けなかったのは残念ですが、ご事情はお察し致します。 ご質問という形でさせて頂いて参りましたが、本日はドコモ様に対する「ご要望」として以下お聞き頂ければ幸いです。 1. 固定IDに関しての利用者への啓蒙 既に述べられていらっしゃいますように、今後注意喚起などの啓蒙を行われるということで期待しております。 現状固定IDでのプライバシーリスクについてはキャリア様から発信された情報はほぼ無く、 主に民間のセキュリティ研究者や団体が発信する内容ばかりです。キャリア様としてしっかりと正確に啓蒙・ 注意喚起されることを期待しております。特に、正確に事実を利用者が理解しない限りはどのような許諾を得ようと、 恐らく法的にも意味をなさない点にはぜひご留意頂きたいと思います。 2. プラットフォーマーとしてのCP様への指導 あくまでCP様は対等のお立場のビジネスパートナーであることは承知の上で申し上げますが、 これまで頂いた回答をまとめると、結局のところはCP様が固定IDによる名寄せや利用者の了承を得ない 情報取得があれば、如何にドコモ様が「リスクをできるだけ低くしている」と主張されても全く意味を なさなくなってしまうことはご理解されているかと思います。 つまり如何にして、利用者と同じくCP殿(勝手サイト含む)を教育し啓蒙していけるかが、 「リスクをできるだけ低くしている」との主張を現実的なことにできるかの鍵かと存じます。 こうした仕組みを広く提供されている以上、ドコモ様がどのようなお考えであろうとも世間では ビジネスモデル全体に責務を負うべき「プラットフォーマー」として見なされるべきかと思います。 自由にCP殿にビジネスをして頂くことは重要でしょうが、一方でCP殿に「正しく」ビジネスをして 頂くように仕向ける責務をドコモ殿は負っていらっしゃるのだと考えます。 また例えば固定IDが必要と主張されるようなCP殿にはドコモ様自ら必要なくとも実現可能な ソリューションを提供されるなど、そこまでのご認識と責務は負われるべきかと思います。 で無いのであれば、それは所謂「土管業」と何ら変わらなくなるからです。 こうした点が欠けていたからこそ所謂「かんたんログイン」の問題は起きましたし、 それを解決させたのはプラットフォーマーであるはずのドコモ様では無くまたCP殿自らでも無く、 市井のセキュリティ関係者の啓蒙でした。 しかしそうした「異常な」状況をこれ以上続けるべきではありません。 3. 固定IDが前提となるビジネスモデルの廃止と移行 一点ぜひ認識して頂きたいのは、これらプライバシーやセキュリティのリスク(たとえ低い可能性で あるとしても)を背負うのはドコモ様でもCP殿でも無く、利用者自身だということです。 しかも利用者にそのリスクを避ける選択肢はほぼありません。 これは1,2とも関わることですが、故にプラットフォーマーとしての責任は重いと言わざるを得ません。 IDに関わるソリューションとしては様々取り組まれていると思いますが、固定IDビジネスは一般的に、 これまでのフィーチャーフォンのような「閉じた世界」では有用であったとしても、 スマートフォンが前提とする素のインターネットの世界では非常に脆弱です。 これは十二分にご承知の通りかと思います。 しかし未だ固定IDに引きづられるビジネスモデルがあるのだとすれば、スマートフォンへの移行という この絶好のタイミング無くして廃止と移行のタイミングは今後存在しないでしょう。 ドコモ様ではiモードIDという古い固定IDビジネスの一方で、ドコモIDというインターネットとの 親和性の高い技術モデルもお持ちになっており、決して不可能なことでは無いと感じています。 繰り返しになりますが、これは選択肢を持てない利用者保護の観点からも、 強くドコモ様自身が推進されるべき方向性では無いかと存じます。 以上となります。長々と失礼致しました。 ぜひご検討頂き、技術関係者様・ビジネス関係者様含めて、上記ご回覧頂ければ幸いです。 またご意見・ご回答なども頂ければ嬉しく存じます。 末筆ながら貴社の益々のご発展をお祈り致しております。 以上、ありがとうございました。今後ともどうぞよろしくお願いいたします。
とりあえず一連の質問は終了とします。
別途まとめのエントリーを後日アップする予定です。
先日auからEZWebに関わる以下のようなアナウンスがなされた。
KDDI au: EZfactory
EZブラウザは、2011年秋冬モデルにて、EZサーバを含め、「機能」及び「ネットワーク環境」の見直しを行ないます。
これによる主な変更点は以下のとおりです。＜主な変更点＞
・EZサーバの言語変換機能が削除され、HDMLが非サポートとなる。
・EZブラウザ、PCサイトビューアーのIPアドレス帯域が統一される。
他にもCookie仕様の変更などがあるのだが注目すべきは、「EZブラウザとPCサイトビューアーのIPアドレス帯域が統一される」という点だ。
以前書いた記事も参照して欲しいのだが、
続:携帯で端末ID詐称は可能かもしれない話
(追記) 続:携帯で端末ID詐称は可能かもしれない話
EZWebつまり日本のケータイECを支えているケータイID(端末ID、サブスクライバーID)は単純に契約者または端末ごとに振られたIDをHTTPヘッダーに載せて通知して、WEBサイト(例えば公式サイトでの決済や課金など)ではこれを元に契約者を特定しているだけなので単にインターネット上で実現するとすぐに偽装や詐称されてしまう。
そこで再掲になるが、auに限らずドコモやソフトバンクでも以下のような脆弱な要件を満たさない限り、ケータイIDが偽装・詐称されずに正しく利用されていることはサイト側(サービスプロバイダー)では見分けが付かない
(1) そのアクセスがそのキャリアの携帯網(IPアドレス帯域)からのみであることをサービスプロバイダーが保証すること
(2) 携帯網ではケータイIDが偽装されていないことをキャリアが保証すること
(3) 端末の自由度を低くしてケータイIDの偽装などの可能性をできるだけ低く保つこと
但しauではEZ番号はゲートウェイで付加されるのではなく端末側から直接送信されているようなので、上記の三原則であれば1と3でしか担保されていない模様だ。
EZ番号を使用したケータイECに対応するのがEZブラウザであり(ドコモであればiモードブラウザ)、PCサイトビューアはEZ番号は発信しない単なるフルブラウザである。
しかし上記条件にあるようにEZブラウザ以外のブラウザやアプリからEZブラウザと同様のIPアドレス帯域に接続でき、かつEZ番号を偽装できるならこの日本独自のケータイECの仕組みは崩壊することになる。
であれば果たしてEZブラウザとPCサイトビューアのIPアドレスが統一された後、PCサイトビューアで偽装が可能になってしまわないのか。
この疑問に早速、徳丸浩氏が実験を行い結果を公表された。
EZwebの2011年秋冬モデル以降の変更内容とセキュリティ上の注意点
上記のように、現状のPCサイトビューアでは、EZ番号が追加できるほか、W52TではUser-Agentも変更できます。2011年秋冬モデルの仕様はわかりませんが、上記と同じ仕様である場合、EZ番号の偽装が可能になります。
2011年秋冬モデルでもEZブラウザにJavaScript機能が搭載される予定はないようですが、JavaScript機能があるPCサイトビューアのIPアドレスが統一されることで、結果として、事業者ゲートウェイを経由する端末の中に、JavaScript機能を搭載したものが含まれる状態が生まれます。このため、JavaScriptを悪用した攻撃の可能性が生じてきます。具体的には、JavaScriptによるEZ番号（サブスクライバID）の偽装、DNSリバインディング攻撃などの可能性が生じます。
IPアドレス帯域の統一は7月から、また2011年秋冬モデルからの変更と言うことなので、実際にどうなるかは7月以降の検証を待たなければならない。
しかしもしPCサイトビューアの仕様が大きく変わらないのであれば、EZWebでのあらゆる課金や決済は(たとえ暗証番号があるにせよ)偽装放題と言うことになる。
「でもそもそも他人のEZ番号なんて分からないのでは？」という疑問もあるだろう。しかしEZ番号は端末で「送信する設定」(デフォルト)にしてあれば勝手サイトにであっても常にEZ番号は送信されているのである。
つまり例えば決済や課金など関係ないケータイサイトを運用していても、実はEZ番号は大量にこれまでに入手可能であり、 ユーザー登録の必要なサイトであれば名前や住所などと紐付けられているかも知れないし、そもそも氏名など分からなくとも、ランダムにリスト化されたEZ番号を使って総当たりで詐称攻撃することも可能になるだろう。たとえ暗証番号があるにせよ、また3回間違えるとそのアカウントがロックされるにせよ、最低数百件程度のリストがあれば暗証番号を固定して次々に試せばそのうち幾つかは楽に認証を通ってしまうだろう(これはとてもよく知られた初歩的な攻撃手法に過ぎない)。
知らぬ間に公式サイトで勝手にデジタルコンテンツを大量に買っていたことになっていた・・ということも十分起き得るのである。
率直に言って、何故auがこんな仕様変更を簡単に行ってしまうのか、全く理解できない。そもそもauは、上記のような「脆弱な基盤」に支えられたケータイIDというものを理解していないのではないか。
以前僕はこのようにブログに書いたことがある。
三位一体の原則だ。これが1つでも崩れれば信頼性は崩壊する。
しかしもし上記の推測が正しければ、ことauのEZ番号については(1)と(3)によってのみしか支えられていない。SIMロック解除論議を持ち出すまでもなく、例えばauの携帯網のアクセスポイント情報が明らかになってしまったら。そこにスマートフォンなどで任意のアプリを実行できる端末が接続可能になったら・・・？ 恐らくサービスプロバイダーは偽装を見破る術を持たない。
それが現実になれば、恐慌にも似たケータイECの信用崩壊が起こる可能性が非常に高い。
全ては2011年秋冬モデルの発売を待たなければ本当のところは分からないが、まさしくこの懸念が当たる際にいるのかも知れない。
ここしばらくキャリア各社の新製品発表なども続き、その中で時あたかもドコモ・auで立て続けに同じような興味深い発言が続いた。
ネットの大海原に出るための「再定義」――ドコモ伊倉氏に聞くスマートフォン時代の“パラダイムシフト”戦略（後編） (3/3)
では、なぜキャリアがスマートフォンを推進しているのかというと、まずフィーチャーフォンの垂直統合のモデルから、そうならないところに移ることが重要である、ということがあります。それをドコモが積極的にやることによって、インターネットの世界や新しい世界をきっちりと理解し、その中でクラウドを意識して、サービスの設計をする。将来的にクラウド系のサービスをやる前提として、スマートフォンを推進しなければならない。
【WIRELESS JAPAN 2011】 KDDI田中社長、「なんちゃって」から「真のインターネット」へ
「この10年は、携帯電話の10年だった。また3Gと定額の時代でもあり、その中で、なんとか（パソコン向けの）インターネットの価値を小さなデバイスに取り込む、『なんちゃってインターネット』の時代だった。非常に良い時代だったと思う」と表現した
微妙にニュアンスは異なるが、ともに「もう携帯電話に独自ネットを閉じ込められない」危機感を有しているのがよく分かる。
キャリアから見た場合には見方が異なっていると思うのだが、この10年は携帯電話のCPUなど性能の問題で「なんちゃってにせざるを得なかった」という意見のようだ。
しかし当然理解されることとして、日本のガラケーは既に何年も前からスマートフォンだったという人もいるように(僕はそう思わないが)、またフルブラウザはもう5年以上も前から登場しているし海外ではスマートフォンはやはり5年も前から普通に使われていたことから考えて、単にここに来て「各キャリアが従来の携帯網ビジネスを手放さなくざるをえなくなった」一種の敗北宣言と捉えられよう。
日本のキャリアがこれほどまでに垂直統合モデルによって過分な利益を享受しモバイルECをここまで発展させられたのは、これまでも何度か書いている通り「閉塞された携帯網」でのみネット接続を許し、その中でのみコンテンツの利用をユーザーに許し囲い込んできたからだ。
まさしく「なんちゃってインターネット」であったわけだ。
参考:
iモードはダイヤルQ2から始まった
“ガラパゴス”の定義とは
約1年前に「SIMロック解除よりもアクセスポイントの解放こそが有効だ」という記事を書いた。そこではSIMロック「だけ」ではなく、閉塞した携帯網ではなく、インターネットへ開かれたアクセスポイントの解放が必要だと書いた。実のところ、こうしたコンテンツを囲い込む閉塞した携帯網でビジネスを続けてきたのは日本のキャリアだけであり、だからこそ寡占状態を生み出せて成功もしたのだが、世界的にはこうした垂直統合の名の下の囲い込みビジネスは珍しい。他国ではそもそも携帯網とはインターネットへ直結されている、携帯網とそれ以外の違いはなかったからだ。
では従来の携帯網をそのままスマートフォンに適用すればよいかというとそれも難しい。モバイルECを支えているケータイID(端末ID)はセキュリティ的には非常に脆弱であり、閉塞した携帯網でしか機能できない。
またもともとスマートフォントは、キャリアが企画して作り上げたものではない、いうなれば海外直輸入の「黒船」であるのでそうしたビジネスモデルが構築できない。
そこをどうするかを各キャリアは今必死に考えているところであり、それを示すのが上記の記事でもあるわけだ。
そして長期的に見れば、各社とも認めているとおりこのビジネスは衰退せざるを得ないだろう。そして否定はしているものの、各キャリアはやはり「土管屋」として、これまでのようなコンテンツビジネスからは市場からは追い出され回線費用のみで稼がざるを得なくなっていくだろう。
それがこうした弱気さともあるいは前向きとも捉えられる発言の背景なのだと思う。
では今後誰がケータイやスマートフォンのコンテンツ市場を担っていくのか。
それこそまさに「本当のインターネット」の世界が決めていくことであろう。これはここに来てようやく日本のケータイがインターネットに繋がりつつあるのだということだ。
これからのケータイネットにおいても、少なくとも現在主流のYahooなどのポータル勢やまたゲームを中心にしたSNS勢、またはFacebook、Googleといった海外勢が多くを担っていくことになるだろう。
では果たしてこれまで各キャリアと組むことで謳歌してきたコンテンツプロバイダー(C/P)各社はどうだろうか。
先日このような発表もあった。
「スマートフォンでiモード」を普及の「武器」に──ドコモ夏モデル発表
今年冬には、スマートフォン向けにiモードの課金・認証の仕組みを導入。iモード端末ユーザーが「マイメニュー」をそのまま引き継ぎ、iモード公式サイトコンテンツをスマートフォンでも利用できるようにする
さもあらん、という感じだが、このiモードコンテンツのスマートフォン対応というのが何かはよく分からない。そもそもコンテンツとしてはスマートフォンへ完全に作り替えなければならないのでこれまでのケータイ向けノウハウは全く役に立たないだろうし、また課金などの仕組みもiモードから移行させるのだろうが、これがうまく行くのか(セキュリティ的にも)よくわからない。
実のところ、個人的にはこれはドコモが主体で行いたいと考えているのではないだろうと思っている。つまり売り上げ低下の激しい従来のC/Pからの激しい追求・要望があった故ではないか。
ではうまくいくだろうか。
一つ思うのは「檻の中で飼われたライオンは野生では生きられない」ということだ。課金の仕組みもお仕着せのユーザー導線も何もないところから競争を勝ち上ってきた「真インターネット」組に太刀打ちできるとは到底思えないのだ。
キャリアが望もうと望むまいと、あるいは如何に抵抗しようと徐々に「土管屋」へ近づくのは時間の問題だ。つまり焦点は既に土管屋にはなく、果たして(主に海外)メーカーがまたは他のサービス事業者がどのような施策を打ち出しつつあるかに注目した方がよい。
二年後、恐らく日本の携帯業界は今とは全く別の力関係が存在していることだろう。