通信大手エアテルがインドユーザーの閲覧セッションにJavaScriptを注入した疑い

エアテル、インドでユーザーの閲覧習慣を追跡するために「不審な」コードを挿入した疑い

バンガロールに拠点を置くプログラマーがエアテルの 3G ネットワークを閲覧中に不審なコードを発見し、犯罪行為の通知で脅迫される

民間通信事業者のエアテルが、今度はソーシャルメディア活動家から再び非難を浴びた。ネットの中立性をめぐって厳しい批判に直面していた同社は、現在、顧客のプライバシーを侵害しているという疑惑に直面している。

ベンガルールを拠点とする独立技術者Thejesh GN氏は、6月3日付けのTwitter投稿で、「Airtel 3Gはあなたのブラウジングセッションに静かにJavaスクリプトを挿入している」と主張した。彼はコードのスクリーンショットも GitHub に投稿しました。 Thejesh 氏の GitHub への投稿によると、Java コードの発信元の IP アドレスはバンガロールの Bharti Airtel のものでした。

Airtell 3G はブラウジング セッションに JavaScript を挿入していますhttps://t.co/QHPpSKinve

— ザジェシュ GN (@thej)2015 年 6 月 3 日

ワイヤーイン報告によると、簡単な検査により、そのコードは、Thejesh がアクセスしていた Web ページ上の広告などのアセットを読み込む数行の JavaScript で構成されていたことが判明しました。それはAnchor.jsと呼ばれていました。 Web ベースの IP トラッカーを使用すると、コードが Bharti Airtel Limited に属する IP アドレス 223.224.131.144 から発信されていることもわかりました。

それはすべて非常に曖昧です。しかし、それはこの物語のほんの始まりにすぎません。 6月8日、テジェシュさんは、法律事務所ソリシス・レックスのアメート・メータという弁護士から、最も不条理な法的脅迫状を受け取った。同社はイスラエルの企業、Flash Networkを代表していると主張しており、同社はコードインジェクションソフトウェアを担当していると思われ、Airtelがこれらのインジェクションを行っていたことを一般に明らかにしただけで、Thejeshは情報技術法に基づく刑事著作権侵害に関与したと主張した。 、2000年。

6 月 9 日、この命令を受けて (米国のデジタル ミレニアム著作権法に基づく) 削除通知が GitHub に投稿されました。この後、キャッシュされたバージョンは利用可能ですが、Thejesh のファイルにアクセスできなくなりましたここ。

そこで私は、JS コードとスクリーンショットを公開した大手通信会社から、JS インジェクションを暴露したとして停止命令書を受け取りました。たぶん削除します🙁

— ザジェシュ GN (@thej)2015 年 6 月 8 日

オタワを拠点とする開発者である Vignesh Sundaresan 氏は、JavaScript インジェクションは特定のプログラムに追加機能を追加する非常に厄介な手法であり、「最初にユーザーに通知せずにインジェクションされると厄介なことがよくある」と述べました。そこで、Thejesh はプログラムの場所とその他の詳細を、開発者向けの Web 上のコラボレーション プラットフォームである GitHub にアップロードし、他のユーザーに警告しました。

この事件の陰謀は Flash Networks の目的に由来するが、同社は通知の中でそれについて決して触れていない。 C&D 命令の中で弁護士が言及していないのは、Anchor.js が Flash と、さらに重要なことに Airtel ネットワークで何を可能にするかということです。 Thejesh またはその影響を受けやすいユーザーが Airtel 3G ネットワーク上の Web ページにアクセスすると、Anchor.js は広告のようなサードパーティのポップアップをそのページに読み込みます。

ユーザーがそのポップアップを表示または操作すると、そのポップアップを作成した人がいくらかの収入を得ます。この場合、Anchor.js のソースである Flash Networks は Airtel の IP アドレスでホストされているため、Airtel が Anchor.js を使用してユーザーのブラウジング エクスペリエンスを利用して収益を上げていることが暗示されます。また、Flash Networks が未検証のスクリプトを使用してユーザー データを探すという追加の脅威もあります。

ただし、Thejesh は Anchor.js の商用利用を意図していなかった（また、すでに機密ではなかったコードを公開したわけでもなかった）ため、Flash の著作権がどのように侵害されたのかは不明です。 Center for Internet and Society のポリシー ディレクターである Pranesh Prakash 氏は、Anchor.js が Thejesh の体験にどのような損害を与えたかに関係なく、それを GitHub にアップロードする行為は 1957 年インド著作権法第 52 条(1)(ac) によって保護されるとツイートしました。

これには、「コンピュータ プログラムが提供された機能に必要な行為を実行しながら、プログラムの要素を強調するアイデアや原則を決定するための、コンピュータ プログラムの機能の研究またはテスト」と記載されています。

Flash Networks の意図は、挿入されたスクリプトによって読み込まれたアセットにより、Airtel 3G ネットワーク上のユーザーが Web サイト X を、たとえば BSNL 上のユーザーとは異なる見方で見るため、ISP がネット中立性に違反していることを示します。

最近、TRAI の物議を醸した政策文書を受けてインドでネット中立性の議論が高まっている一方で、Airtel Zero はその渦中にありました。これには、ユーザーが Airtel ネットワーク上で Facebook に無料でアクセスできるようにするために、Airtel が Facebook から報酬を受け取ることが関係していました。この協定は、ソースに基づいてデータパケットの優遇措置を偽装したため、ネット中立性を冒涜した。

Sundaresan 氏は、このような疑わしい JavaScript インジェクションが西側諸国で発見された場合、インサータは数百万ドルの訴訟を起こされる可能性があるとコメントしました。

その後、Airtel はこの件に関して声明を発表し、JavaScript インジェクションは料金請求の目的で加入者が消費したデータ量を追跡する方法であると主張し、これを「世界中の通信会社が展開する標準ソリューション」と呼んだ。同時に、この声明では、なぜこの運営がユーザーのリンク先ウェブページに広告を掲載していたのかについては説明されていない。

実際、Airtel は Flash Networks が Thejesh に対して出した命令からも距離を置いており、「我々は…この通知とはいかなる関係もないと断言します。」それでも、両社が現在、そして現在も相互に関係していることは、クライアントにエアテルとボーダフォンが含まれている2014年のフラッシュのプレスリリースの1つによって裏切られている。

ISPの関与がより説得力をもって立証された場合、人々がAirtelのネットワーク経由でThejeshのWebサイトを閲覧した際にスクリプトが挿入された可能性もあり、ISPは視聴者に対してコンテンツを歪曲した可能性もあることから、ユーザーのプライバシー侵害で法的措置に直面する可能性が高い。 。

また、Thejesh 氏の暴露以来、ボーダフォンも同様のサードパーティ製ソフトウェアのブラウザへの挿入を行っている可能性があることが明らかになりました。

著作権が検閲に使用されることは決してないと主張する人のために、この話を説明してください。もちろん、それはすべて大きな裏目に出ているようです。 Flash は自分たちが何をしようとしていたのかを隠したかったのかもしれないが、今ではさらに注目を集めている。おそらく次回は、FlashとAirtelは、あなたの悪しき行為の内部告発者を著作権侵害の刑事告発で脅すのではなく、ユーザーを危険にさらす自社のくだらない商行為についてもっと考えるようになるでしょう。