Tech系サイトArs Technicaは2021年1月23日、「米国でホームセキュリティシステムを提供しているADTのエンジニアが卑劣な不正行為を働いた」と報じた。ADTは、全米の家庭や小規模な企業向けのセキュリティシステムを提供する企業で、創業145年の歴史がある大企業だ。

　ADTが提供するサービスは「ADT Pulse」という宅内に設置したカメラの撮影した画像を外部のスマホやPCなどから視聴できるものだ。留守中の宅内の様子を監視したり、留守番している子どもやペットの状態をチェックしたりといった目的で使う。もちろん、カメラにアクセスできるのはアカウントを取得したユーザーのみだ。

　しかし、ADTのエンジニアの1人がその機能を利用して不正アクセスし、勝手に宅内の様子をのぞき見していたのだ。

　この件が発覚したのは、同社の顧客からサポートセンターに問い合わせがあったため。「ADTのアカウントに、自分が登録した覚えのないメールアドレスが含まれている」というもの。これが2020年4月のことで、同社はすぐさま調査を始めた。

　調査によって、顧客のアカウントに勝手にメアドを追加してユーザー登録を行った何者かが、同社の社内にいることが判明した。さらに突き詰めるとダラス地域の支社に所属する男性エンジニアだったという。

　そのエンジニアは、顧客からセキュリティシステムの設置が依頼されると、現場に赴いて設置や初期設定する業務などを担当していたという。そして依頼された顧客もしくはそのパートナーや家族が、彼が魅力的と感じた女性だけに対して悪事を働いていた。

　初期設定の際、顧客のADTアカウントに勝手に自分のアカウントを追加し、そして自分の好きなときにカメラをのぞき見ていた。

　この不正アカウント作成の件が判明し、ADTはすぐさま男性エンジニアを解雇し警察へ連絡した。同時に顧客への謝罪に奔走することとなった。被害アカウントは5年間で220にものぼった。のぞき見た回数は9600回にも及ぶというのだから被害は甚大だ。この事件によってADTは集団訴訟を2件、個人の顧客からの訴訟も多数抱えることとなってしまった。

　同社はこの一連の事件を発覚直後から顧客に通達するとともに自社のWebページで逐一報告してきた。訴訟も解決しつつあり、老舗企業の看板についてしまった傷も程なく癒えるだろう。

　この件を報じたArs Technicaも「ホームセキュリティを利用するときはサービスのリスクを知り十分にシステムやデバイスの機能、使用方法を自身で把握すべし」というような結び方をしているが、サービスを依頼した企業から不正アクセスを受けるとはなかなか思わないものだ。足をすくわれるとはまさにこのことだ。

上司X：　ホームセキュリティシステムで不正アクセスは発生したと思ったら、その元凶は提供している企業だった、という話だよ。

ブラックピット：　企業というか、いちエンジニアの仕業じゃないですか？

上司X：　とはいえなあ、従業員のしたことだし、企業の責任とされても致し方ないことではあるからな。

ブラックピット：　僕も不正をしないように気をつけますよ。

上司X：　いやいやそういう不吉なフラグを立てなくていいから。

ブラックピット：　軽いジョークですってば。

上司X：　同じ企業に勤務する上司としては、たとえジョークだとしても耳にしたくないものだよ。

ブラックピット：　ま、それはともかくとして、内部のエンジニアがどうこう、というのは残念ポイントですよね。万全のセキュリティを信じていた顧客にとってはなおさらこう、信じた心を裏切られたようなきぶんでしょうよ。

上司X：　まあそこはな、企業サイドにも油断があったのかもしれない。うん。日本でもこれからホームセキュリティが必須になるような状況になるかもしれないからな。こういうことが起こりうることも想定して……おかなきゃいけないのか。なんか陰鬱な気分だな。