やっぱ信用ならねぇ 不審なアクセスをするBaiduと、すっとぼけるSimeji公式垢 クラウド変換データも送信？
.@Simeji_jp 昨日19時頃バイドゥのIPアドレスから短時間のうちに30万回を超える不審なアクセスが弊社のサービスにありました。繋がりづらくなり利用者の方に大きな迷惑がかかりました。DoS攻撃として被害届を出すことも検討してます。アクセスの意図など早急に説明をお願いします
— Mitsuaki Ishimoto (@mitsuaki_i) April 10, 2014「バイドゥのIPアドレスから短時間のうちに30万回を超える不審なアクセス」だったため、 @mitsuaki_iさんの会社が提供しているサービスに影響が出ていたようです。
メンションの相手は、今やBaidu傘下となったAndroid向けIMEアプリSimejiの公式ユーザーサポート用Twitterアカウント @Simeji_jp。
「なぜBaidu公式アカウントではなく、Simejiの公式アカウントに問い合わせたのだろう？」と当初は疑問に思ったのですが、調べてみたら日本のBaidu公式アカウントである @baidu_japan は2011年5月19日以来、一切ツイートしていないことがわかりました。
以前、本ブログでも書きましたがSimejiがBaidu（下記エントリでは百度と表記）に買収されていることは公式に発表されています。
問題はsimejiです。Android向けのIMEとして有名な同ソフトは、Androidの定番アプリとしてさまざまなメディアでも紹介されるなど知名度は抜群で、数多くのAndroidユーザが利用しています。私も以前は使っていたのですが、あるタイミングで使うのを止めました。それは、Simejiが百度に買収されたからです。
その上、Simejiの公式アカウントが活発にツイートをしていたので、@baidu_japan ではなく@Simeji_jp宛に送ったのだと思われます。
その後、@Simeji_jpも以下のように回答を約束していたので、この時点でBaiduとの橋渡しをすることに暗黙の了解があったとみなすことができます。
@mitsuaki_i お問い合わせいただきありがとうございます。Simejiサポートです。只今事実関係を確認中でございます。確認が出来次第、早急にご連絡致します。大変恐縮ではございますが、今しばらくお待ち頂けますでしょうか？
— Simeji（公式）ユーザーサポート (@Simeji_jp) April 11, 2014しかし、問題はその後です。 @mitsuaki_iさんに対し、DMで回答が送られたらしいのですが、以下のように到底納得のいくようなものではなかったようです。
今日は納得いく説明はもらえそうにないな。
"公式ページには全く記載がないクローラーが、情報収集の為に、弊社のAPIのクエリパラメータに合わせて一般ユーザーのアクセスが困難になるほど大量の30万回のリクエストを行なった。故意ではなく過失であった。"
返事をまとめるとこんなところ。
— Mitsuaki Ishimoto (@mitsuaki_i) April 11, 2014また、それ以上に気になるのが以下のツイートです。
.@Simeji_jp 納得いくお返事がなかったので追加で一点ほど。弊社に対する一連のアクセス（検索のリクエスト）に、御社クラウド変換で使っているような（人名や話し言葉の）テキストがリクエストの回数分含まれているんですが、これは御社では社外に送信して大丈夫な情報なのでしょうか？
— Mitsuaki Ishimoto (@mitsuaki_i) April 11, 2014これも以前本ブログで取り上げていますが、「Simeji」が外部に無断で打鍵記録を送信していたのはあくまでもバグだと弁明していました。
百度は昨日発覚した「Simeji」が外部に無断で打鍵記録を送信していたのはあくまでもバグだとしています。 ...
また、プレリリースではこうも明言していました。
2.クラウド入力について Baidu IMEおよびSimejiではクラウド入力を提供しており、最新の言語などをサーバーを通して変換できる便利な変換方法を提供しております。クラウド入力はセキュリティが確保された通信方式を採用しており、サーバーに送られたデータは厳重に管理しております。
Baidu（バイドゥ）ニュース - Baidu.jp に関するニュース
サーバに送られたデータは厳重に管理しているはずなのに、バイドゥとは関係のない第三者のサービスにクラウド変換で使っているような（人名や話し言葉の）テキストがリクエストの回数分、つまり30万回以上送信されていたのです。これは厳重な管理と言えるのでしょうか？今回発覚したサービス宛だけでなく、「他にも送信しているのではないか？」という疑念が湧いてきます。
@mitsuaki_iさんは最後に以下のようなツイートもなさっています。
メンションで返さないのは隠したいというやましい気持ちがあるからなんだろうけど、だったらアプリの通信から取得したような公開されてない(顔文字検索用)APIを無理やり叩きまくるなと。しかも検索ワードは（たぶん）IMEのクラウド変換に使ってるテキスト。
— Mitsuaki Ishimoto (@mitsuaki_i) April 14, 2014「クローラーの過剰アクセス」って返答だけど、
robots.txtは無視するし、UAはPython-urllib/2.7、IPはアクセス毎に0.1秒単位で変わってる。
すぐバレる嘘をどうしてつくのか。DM読み返したら腹が立ってきた。
— Mitsuaki Ishimoto (@mitsuaki_i) April 14, 2014いったいBaiduが何をしていたのか、何が目的だったのかは現時点で不明です。しかし、昨年末に発覚した「入力情報無断送信」に関する疑念が払拭できたとは到底言えない状況で、またもや不審な行動やすぐバレるような嘘の説明をするBaiduを果たして信用することができるでしょうか？
もし、やましいことがないのであれば、プレスリリースとして正式に釈明してもらいたいものです。
via.
