Nothing Chatsいきなり公開停止！原因は重大な「セキュリティ問題」、データが平文で丸裸との指摘

　英Nothing Technologyは、Nothing Chatsのベータ版をPlayストアから削除したと発表しました。「いくつかのバグを修正するため」とX公式アカウント上で述べています。

　米新興企業Sunbirdと共同開発したというこのメッセージングアプリ。Apple IDでログインして、iPhoneから送信したのと同様に青色の吹き出しで利用できるとの触れ込みでした。

　NothingはSunbirdと協力してこのバグを修正するまで、リリースを延期するとしています。どのようなバグが生じているのかには言及していません。

We’ve removed the Nothing Chats beta from the Play Store and will be delaying the launch until further notice to work with Sunbird to fix several bugs.

We apologise for the delay and will do right by our users.

— Nothing (@nothing) November 18, 2023

　さて、急遽の公開停止とリリース延期発表の理由は何なのか？

　これまでSunbirdは、iMessage互換サービスについて、エンドツーエンドで暗号化されると公式では主張していましたが、それらが虚偽で、ユーザーデータには平文でアクセス可能であると9to5Googleが伝えていました。

　全てのデータは Firebaseを通じて送信・保存され、完全に暗号化されていないとのこと。他のユーザーの画像ファイルも閲覧できるほか、ユーザー名、電話番号、電子メール アドレスにも簡単にアクセスできるといいます。

Sunbird has access to every message sent and received through the app. They do this by abusing @getsentry, which is used to monitor errors.

But Sunbird logs messages, pretending they are errors.

Here are part of the requests (img 1, 3) and their entire “message” (img 2, 4) pic.twitter.com/pzwwQVWfOb

— Dylan Roussel (@evowizz) November 18, 2023

　Sunbirdのアプリも同様の問題を抱えているとのこと。Sunbirdは当面の間、アプリケーションを停止すると発表しています。

　9to5Googleはプライバシーの問題で最悪の事態であり、Nothingはこの数カ月間、なぜこうした問題を発見できなかったのかと批判しています。

　本件セキュリティ問題を調査したディラン・ルーセル氏も、自身がここ数年で見た携帯電話メーカーの中で最大の「プライバシーの悪夢」であるとし、ユーザーへの警告の必要性や、個人データ漏洩を所轄当局に通知するGDPRの義務があることを指摘しています。