Androidで人気のDolphin Browserを今すぐ消せ! スパイウェアであることが判明

お知らせ

既にこの騒動は収束しており、スパイウェアではなく、さらに情報を抜き取るといった目的ではないことが明らかになっており、原因として「設計上の不手際」であると公式発表が行われています。下記URLにその続報が記載されていますので、そちらをご覧ください。

http://ggsoku.com/2011/12/dolphinbrowser-sonogo/

 

 

 

 

1: ◆zzzbb2c.e6 (東京都):2011/10/27(木) 18:04:31.34:ID:xz9bHcrc0

[PRIVACY] WARNING: Dolphin’s collection of your browsing history

If it weren’t for things like this, I’d still be a fan of Dolphin Browser.

Ever since the ‘webzine’ ‘feature’ came out (in version 6), this app forwards the URL of:
Every link you click.
Every search you enter.
Every page you load.

To: http://en.mywebzines.com/v3/columns?…)&t=(TIMESTAMP)
(管理人注釈:上記URIに不用意にアクセスしないでください。
       セキュリティ上のリスクがあります
)

This includes:
SSL URLs.
QUERY_STRINGS.
IP addresses on private networks and file:// urls.

http://forum.xda-developers.com/showthread.php?t=1319529

■重大なセキュリティリスク警告
(※重大かつ広範囲に情報セキュリティ上のリスクがある場合、
  ガジェット速報では警告を発しています。)

対象者:Android環境においてDolphin Browser系ソフトウェアを利用している者

XDAフォーラムにて、Dolphin Browserのスパイウェア的挙動について報告が挙がりました。
現在、関係各所で解析等行われているかと思いますが、詳しい挙動については
明らかになっておりません。

インターネットで使われる「HTTP通信」には一般的に2つの方式があります。
1つは「GET」と呼ばれるもの。もう1つは「POST」と呼ばれるものです。
AmazonやGmail等、企業が運営する大半のウェブサービスは「POST」という形式で
ユーザ認証や、ユーザ登録の際の情報を送信しています(クレジットカード情報なども)。
このPOST方式が用いられたものについて、ID・パスワード等が漏えいしたかは判明していません。
しかしGET方式が使われていた場合は漏えいしていた疑いが非常に強いと言えます。

しかし、解析が進むうえで、POST形式の場合も漏えいすることが
確認される事態は十分考えられます。
現時点において、出来る対策は3つあります。

1:Dolphin Browserソフトウェアを使わない
2:Dolphin Browserソフトウェアを削除する
3:利用したウェブサービスのパスワードを念のため変更しておく

情報が明らかになり次第、当ウェブサイトにおいても追ってご報告いたします。

———————–
※ご質問を頂いたので追記 2011/10/27 21:41 JST
郵便・手紙で例えた場合、
GET方式はハガキ、POST方式は封筒に入った手紙と考えられます。
つまり、配達する人(第三者)から小細工なしに文章を読まれてしまうのが
ハガキのGET方式であり、小細工が必要なのが封筒のPOST方式になります。

本件に関して、公式ブログの釈明・謝罪を踏まえた続報を掲載しました
http://ggsoku.com/2011/10/dolphin-browser-blog/

23:名無しさん@涙目です。(茸):2011/10/27(木) 18:20:51.04:ID:KpeL8CPZ0

俺オワタ

9:名無しさん@涙目です。(栃木県):2011/10/27(木) 18:09:59.47:ID:zbg9riqy0

審査ないんだっけ

19:名無しさん@涙目です。(神奈川県):2011/10/27(木) 18:17:43.62:ID:gG36AAX30

以下のURLを送信します
 あなたがクリックしたすべてのリンク
 検索のために入力したすべて
 読み込んだすべてのページ
 SSL URL
 クエリ文字列
 プライベートネットワークのIPアドレスとfile:// URL

136:名無しさん@涙目です。(愛知県):2011/10/27(木) 19:06:54.17:ID:yQRhS9zaP

>>19
あーこりゃ完全にスパイウェアだわ

37:名無しさん@涙目です。(SB-iPhone):2011/10/27(木) 18:29:20.28:ID:DDTy0N5i0

>>19
GETクエリ文字列はURLに含まれる訳で
わざわざクエリ文字列と明記してるって事は
POSTクエリの事だよな
サイトのアドレス付きでID/Pass確実に抜かれてるな
ユーザー登録なんかした日には住所氏名生年月日性別電話番号メールアドレス
記入したものは全て抜かれる
こえー

49:名無しさん@涙目です。(福島県):2011/10/27(木) 18:34:07.40:ID:pzHZzP040

>>37
マジでパス抜き確定してんのか
やべーじゃんよ俺
パス抜かれまくりだ

送信するURL種別として「クエリ文字列」としているので、
管理人はGETで送信された(る)クエリを指しているのではないかと推測しています。

POSTで送信された(る)メッセージボディに含まれるクエリを指す場合、
「URLを送信します」という名目で「クエリ文字列」と記載するのは若干変な気がします。
従って、パスワードとIDが”抜かれる(漏えい)”可能性は現時点では明らかではないと思います。
(※GET形式でID認証する場合は抜かれています)

また、情報ソース元のログファイルを見たところ、メッセージボディが送信されたか否かは
分かりませんでした。

この点に関して、ご覧いただいた方からのご指摘をお待ちしております。

しかしながら、怪しい動きをするソフトウェアであることが判明した以上、
各種機関の解析結果が出るまでPOSTのメッセージボディが
暴露されていないと保証するものは何もありませんので、取扱いに十分ご注意ください。

21:名無しさん@涙目です。(SB-iPhone):2011/10/27(木) 18:18:22.46:ID:sKvQ9pHw0

GgalaxyS2とかなら標準ブラウザで充分

24:名無しさん@涙目です。(長屋):2011/10/27(木) 18:23:07.90:ID:scGZ5s/g0

マーケットのレビューも昨日から散々の内容だな
オペラでよかった

25:名無しさん@涙目です。(岩手県):2011/10/27(木) 18:23:39.21:ID:eeubH4cZ0

国産のエンジェルブラウザ使え
色々捗るぞ

131:名無しさん@涙目です。(庭):2011/10/27(木) 19:05:46.83:ID:qtGUEIGl0

>>25
だよな
ドルフィンすてたわ

27:名無しさん@涙目です。(茸):2011/10/27(木) 18:24:28.90:ID:PF+pR8j/0

そろそろ標準に戻すか

31:名無しさん@涙目です。(神奈川県):2011/10/27(木) 18:27:00.33:ID:3aLGvEc+0

ジェスチャーあるから便利だったのに

41:名無しさん@涙目です。(宮崎県):2011/10/27(木) 18:32:01.14:ID:/le/Gm+I0

設計の不適切なサーバーアプリとかだとパス抜かれるな
まあこういうの使うやつは
重要な情報なんて扱ってないだろうから問題ないだろうけど

45:名無しさん@涙目です。(神奈川県):2011/10/27(木) 18:32:34.79:ID:2Uhfp+dh0

ドルフィンの良さが本当わからん

51:名無しさん@涙目です。(長屋):2011/10/27(木) 18:34:27.42:ID:scGZ5s/g0

スパイウェア感知しないとか
セキュリティソフトとは何だったのか

77:名無しさん@涙目です。(庭):2011/10/27(木) 18:41:23.73:ID:pcF6+Wt70

使いにくくてソッコーでアンインスコしたわこれ
標準ブラウザが一番いい

80:名無しさん@涙目です。(庭):2011/10/27(木) 18:42:21.56:ID:nvqFP9gY0

えーすげぇ便利だったのに

82:名無しさん@涙目です。(東京都):2011/10/27(木) 18:43:22.72:ID:B61DyEfv0

さすがAndroidwwwwwwwwww

90:名無しさん@涙目です。(千葉県):2011/10/27(木) 18:46:55.84:ID:W03RK7Bh0

Skyfire
Dolphin
xScope
Miren
Maxthon
Ninesky
これらは全部中華製だから気をつけろ

http://forum.xda-developers.com/showthread.php?t=1189555

98:名無しさん@涙目です。(鹿児島県):2011/10/27(木) 18:49:03.41:ID:RcnGjxAZ0

>>90
boatとクイックピックが抜けてる

125:名無しさん@涙目です。(茸):2011/10/27(木) 19:02:10.21:ID:c6s+Jam60

>>98
QuickPicは代替えが無いぐらいの神アプリ
って言うかAndroid最強のアプリかも・・・
アンスコしたいけど・・・

200:名無しさん@涙目です。(アラバマ州):2011/10/27(木) 19:46:03.34:ID:sqgAGt6k0

>>98
クイックピックってだめなんか?
普通に使ってるんだが

203:名無しさん@涙目です。(千葉県):2011/10/27(木) 19:49:57.97

>>200
中華製ってだけじゃね
権限的には不安な要素がない

92:名無しさん@涙目です。(WiMAX):2011/10/27(木) 18:47:48.35:ID:/v0aAmDL0

Viperとかもやばいんじゃねーの

96:名無しさん@涙目です。(千葉県):2011/10/27(木) 18:48:35.33:ID:W03RK7Bh0

後Boat Browserも

99:名無しさん@涙目です。(新潟県):2011/10/27(木) 18:49:45.69:ID:uDFGMcf1P

Androidマーケットって審査ないのか?

117:名無しさん@涙目です。(茸):2011/10/27(木) 18:59:39.55:ID:schIfttI0

マジかよ
雑誌でまずこれいれろってたから使ってたのに。今消した。

118:名無しさん@涙目です。(神奈川県):2011/10/27(木) 18:59:45.71:ID:NS/CC4YK0

個人情報流出端末が自称情強とかなんの冗談だよw

123:名無しさん@涙目です。(広島県):2011/10/27(木) 19:01:42.35:ID:d507wfuo0

うわあああああああ

128:名無しさん@涙目です。(茸):2011/10/27(木) 19:03:32.48:ID:tcBNty3e0

まじかよ…
けっこう気に入ってたのに

130:名無しさん@涙目です。(SB-iPhone):2011/10/27(木) 19:05:02.10:ID:ZjcDT6c40

何気にショックなんだけど

132:名無しさん@涙目です。(庭):2011/10/27(木) 19:05:48.88:ID:qaa3o8iy0

最悪だ

133:名無しさん@涙目です。(SB-iPhone):2011/10/27(木) 19:05:50.07:ID:xFvCE+C90

今更驚かないだろ
Android自体がアレだし

141:名無しさん@涙目です。(三重県):2011/10/27(木) 19:10:06.71:ID:m6Gl7AY+0

俺終わったwww
パス抜かれて困るような奴は登録してないのが救いだな

163:名無しさん@涙目です。(WiMAX):2011/10/27(木) 19:26:07.16:ID:XAocOueu0

さすが自由度の高いAndroidだな。
ウェアスパイウェアなんでも自由!

164:名無しさん@涙目です。(WiMAX):2011/10/27(木) 19:27:26.44:ID:ImP1wdKN0

ドルフィンHDでオンラインバンキング使いまくってた俺オワタwwww

166:名無しさん@涙目です。(東京都):2011/10/27(木) 19:27:36.31:ID:QxhNqWyf0

ごり押しがきついからおかしいと思ったんだ
俺はAngelBrowserで十分

170:名無しさん@涙目です。(庭):2011/10/27(木) 19:28:24.18:ID:pzq86RfV0

マジでドルフィンってヤバイの?俺どうしよう

174:名無しさん@涙目です。(鹿児島県):2011/10/27(木) 19:30:54.68:ID:RcnGjxAZ0

最近まじでiPhoneに買い換えようかと思ってるわ

187:名無しさん@涙目です。(茸):2011/10/27(木) 19:39:07.27:ID:iya1fF5u0

俺オワタ・・・オワタ

コメントソフトウェア改修作業の為、一時的に古い記事のコメント閲覧・投稿を休止しています。