2018年12月17日 15時00分ネットサービス

ISPがDNSを書き換えユーザーが強制的に自社製品の広告を見ざるをえない状況を作り出していた疑いが浮上

By dkpto

一般ユーザー向けにインターネット環境を提供しているアメリカのインターネット・サービス・プロバイダ(ISP)CenturyLinkが、自社が提供しているフィルタリングサービスをユーザーに告知するためにDNSを書き換えるDNSスプーフィングを行っていた疑いが強まっています。

CenturyLink is blocking its customers' internet while saying Utah legislators told them to - RichSnapp.com
https://www.richsnapp.com/blog/2018/12-13-centurylink-blocking-internet-in-utah

この件を広く明らかにしたのは、アメリカのユタ州に住むソフトウェアエンジニアのリッチ・スナップさん。ある日、自宅でAmazon Fire TVを使ってテレビを見ていたところ、突然画面に何も映らなくなったそうです。バグでも発生したのかと思ってスナップさんはあらゆる対処法を試したものの、通信は一向に回復せず。仕方がなくコンピューターを立ち上げて状況の確認を行いましたが、それでもなお、CenturyLinkと契約している自宅のネット環境は断絶した状態が続いていました。

最終的に、スマートフォンを取り出してGoogle検索で何が起こっているのかを検索しようとしたところ、画面に以下のような通知が表示されたそうです。画面は、スナップさんの自宅にネット環境を提供しているCenturyLinkの公式ページと同じ体裁のもので、「なぜお客様の端末にこの画面が表示されているのか」というタイトルがつけられています。スナップさんが「変だな」と思いながら本文を読んで末尾の「OK」をタップしたところ、再びネットが使えるようになったそうです。

ページの本文には、「ユタ州当局の要請により、CenturyLinkはお客様にご利用いただけるフィルタリングソフトウェアについてお知らせします。このソフトウェアは、未成年者に対して有害であると思われるマテリアルをブロックすることができます」という内容のメッセージとともに、CenturyLinkが提供しているフィルタリングサービス「@Ease」へのリンクが張られています。

記載されている@Easeは、月額9.99ドルから19.99ドル(約1150円～2300円)で提供されているサービス。無料のプランも用意されていますが、実質的には月額14.99ドル(約1700円)のプランが最も現実的といえそうなラインナップです。

CenturyLink | @Ease Computer Support and Identity Theft Protection.
https://www.centurylink.com/home/ease/

つまり、スナップさんの端末に表示されたのは@Easeの広告であり、しかもそれは「閲覧しないとネットが使えなくなる」という強制的な手段によるものだったというわけです。「要するに広告じゃないか！」と怒りを感じたスナップさんは、Twitterに出来事についてCenturyLinkのメッセージ画面を添えて投稿。強引な広告であること以上に、この画面がDNSを書き換えて偽装するDNSスプーフィングによって表示されていることが問題であると指摘しています。

Just had @CenturyLink block my internet and then inject this page into my browser (dns spoofing I think) to advertise their paid filtering software to me. Clicking OK on the notice then restored my internet... this is NOT okay! pic.twitter.com/NtCZUeJF8I
— Rich Snapp (@Snapwich)

スナップさんはまた、Twitter上で同じ現象に遭遇している人がいないかを確認。すると、以下のように複数のツイートが存在していることが判明したそうです。

It’s always a fun day when @centurylink blocks your internet access until you go to troubleshoot the problem and are forced to read a letter about filtering services they offer before they will restore your internet. Wow what a cool way to hold us hostage! Total bullshit.
— Chryshele Cottle (@Maccagirl1)

@CenturyLink dont disable my damn internet to send me a message about software to block my kid from harmful sites. You know what blocks my kid from harmful sites? Me! Not some bloatware.
— ????XxCrispxX???? (@XxCrispXzero5xX)

さらに、redditでもスレッドが立てられていることが判明。「CenturyLinkのユーザーでフィルタリングのメッセージを読むまでネットがつながらなかった人いる？」というスレッドにも、同じような事態を報告する人が続出しています。

Any century link customers lose internet until you read the filter message? : SaltLakeCity
https://www.reddit.com/r/SaltLakeCity/comments/a4csu8/any_century_link_customers_lose_internet_until/

あるredditユーザは、この出来事の背景にはユタ州の州法があることを指摘。ISPに対して2018年12月30日までに有害なコンテンツをブロックできるサービスなどのマテリアルを知らせることを義務づける州法修正項SB0134の規定をもとに、CenturyLinkが強引な方法で広告を差し込んできたものであると分析しています。

スナップさんはこの分析に納得したものの、CenturyLinkが取った行動については全く賛成できないという考えを表明しています。特に、DNS情報を何らかの方法で書き換えることでユーザーが意図していないサイトに誘導してしまうDNSスプーフィングは倫理的に問題がある行為とされており、CenturyLinkがこのような方法を取ったことは大問題であると主張。また、この画面はスマートフォンで確認できるものの、Fire TVやChromecastなどのストリーミングデバイスを使っている時には表示されず、ユーザーは全く何が起こっているのかを把握できない状況を強いられる点も問題であると指摘しています。

スナップさんは修正案の起草者であるトッド・ワイラー州議会議員に対し、上記の修正案がCenturyLinkのような行為を想定したものであるかどうかを問い合わせました。

I have yet to see an internet response that appreciates them doing this, but I see a lot of angry and upset people on twitter and reddit. This is such a terribly dumb idea, was this the intent of your bill?
— Rich Snapp (@Snapwich)

すると、ワイラー議員からは「SB134はそのような行為を要求しておらず、同様の行為を行ったISPも存在しません」という返答が寄せられています。また、修正案が想定していたのは、Eメールでの告知や、ユーザーに送付される請求書に告知文を添える方法などであったことも述べられています。

I’m sorry you are having problems. SB134 did not require that — and no other ISP has done that to comply with the law. They were only required to notify customers of options via email or with an invoice.
— Todd Weiler (@gopTODD)

いわば、州法の規定を利用することで自社製品の告知を行ったともいえる今回の事件ですが、倫理的に問題があるとされるDNSスプーフィングが強く疑われる事態を招いたことはCenturyLinkにとって大きなマイナスになってしまった可能性があります。スナップさんによると、CenturyLinkはこの件について満足な回答を示しておらず、「カスタマーサービスをになっているボットが自動で行ったものである」という旨の返答を行っているとのこと。記事作成時点では、CenturyLinkの公式サイトなどでこの件に関する声明が発表されている様子はありませんでした。

Home & Business Internet, Phone, and TV | CenturyLink
http://news.centurylink.com/