Appleのプライバシー機能「iCloud Private Relay」に、ユーザーの実際のIPアドレスを漏洩させる脆弱性が発見され、同社が集団訴訟の対象となりました。訴訟を起こしたのは、Siri AIの遅延で2億5000万ドルの和解を勝ち取った経験を持つ法律事務所です。
Private Relayの欠陥とは何か
iCloud Private Relayは、Safariでのウェブ閲覧時にユーザーのIPアドレスを隠すことを目的としたプライバシー機能です。通信が2段階のリレーを経由し、プロバイダと訪問先サイトの双方からユーザーの正体を隠す仕組みになっています。
しかしセキュリティ研究者の調査で、パスキーに対応したウェブサイトがユーザーの実際のIPアドレスを特定できることが判明しました。パスキーの認証プロセスで、ブラウザ外部の通信が発生しPrivate Relayを迂回してしまうのが原因です。さらに、サイト側がパスキー対応を偽装するだけでもIPアドレスが漏洩するとされています。
追加の脆弱性と訴訟の内容
AppleInsiderによると、8月4日の報告でWebKitに複数の漏洩経路が指摘されています。iOS 26のDNSプレフェッチでは、ホスト名が通常のDNS経路で解決され一部データが露出するとのことです。またWebTransportがHTTP/3の直接接続を開く際にもIPアドレスが明らかになります。AppleはiPhone向け全ブラウザにWebKitの使用を義務付けており、iOSのモバイルブラウザすべてが影響を受けます。
Clarkson Law Firmは虚偽広告、虚偽表示、詐欺の疑いで訴訟を提起しました。同社はAppleが「プライバシー保護」というブランド全体の約束を裏切り、ユーザーにプレミアム料金を支払わせながら機能しない保護を提供したと主張しています。Appleからのコメントはまだ得られていません。
出典: 9to5Mac — Apple faces class action lawsuit for ‘fraud’ over iCloud Private Relay flaw / AppleInsider — iCloud Private Relay failures manifest a new class-action lawsuit against Apple
