【速報】スマホ向けブラウザ「Smooz」、閲覧ページの本文まで送信していたことが判明→配信停止

続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
2020/12/20 2020/12/21
この記事は過去2回にわたる検証記事の続きとなります。

国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している

続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している

前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。
ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。

（略）
もう一度書きますが、このHTMLファイルにアクセスするためにはIDとパスワードでログインが必要です。念のためサーバーのアクセスログを確認しましたが、自分のIPアドレス以外から当該ファイルへのアクセスはありませんでした。
何が起きているかわかりますよね。
パスワードで保護されたサイトであっても、見ている内容をブラウザが外部送信しているのです。

仮説と検証を繰り返して、ほぼ間違いないところまでたどり着きました。しかしあまりにも影響が大きすぎる問題なので、さらに検証を重ねます。
Twitterで協力をお願いして、同様の検証をしてもらったところ、その方のiPhoneでも私の想定と一致する結果が出てきました。

複数の環境で同じ結果が得られています。もう覆らないでしょう。

お手伝いいただいた方に、大学の学生用のページにログインした際の画像も提供していただきました。

この画像が影響の大きさをすべて物語っています。

塗りつぶしてある箇所には氏名、履修講義名が書かれていたことが確認されています。またSmoozによって追加されたおすすめ記事には学校関連のものが選ばれているのもわかるはずです。

Smoozのおすすめ記事機能がオンになっていると、サービス利用データの提供をオフにしていても、以下の情報がアスツール社のサーバーへと送信されている。

・閲覧しているページのタイトル（bt）
・閲覧しているページの本文（bc）
・閲覧しているページの説明文（bd）
・ユーザーID（user_id）
・閲覧しているページのURL（url）

どこのページを見ているかだけでなく、その内容までをも送信しています。認証を要求するサイトであっても関係ありません。

いますぐSmoozのおすすめ記事はオフにしましょう。

続きはソース
https://reliphone.jp/post-16289/

Smooz | 片手サクサク検索ブラウザ
@smoozjapan
ご指摘により新たな問題が見つかったので、App StoreおよびGoogle PlayでのSmoozの配信を停止いたしました。

ご迷惑をおかけして大変申し訳ございません。
詳細につきましては、改めてご報告させていただきます。
午後7:53 · 2020年12月20日·Twitter Web App
https://twitter.com/smoozjapan/status/1340611241358680065

関連
【日本産】国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している [雷★]
http://asahi.2ch.net/test/read.cgi/newsplus/1608165285/

まさかね～…？（笑）