2021年9月、ExpressVPNを運営しているVPN大手のExpress VPN International Ltd.社は、Kape Technologies社に買収されました。
Kape Technologies社は、元はCrossrider社として活動していた過去があります。Crossrider社は、マルウェアの開発や広告をブラウザに強制的に表示させて利益を上げてきた会社とされています。
2021年9月に、Kape Technologies社がExpress VPN International Ltd.社を買収する報道が出てから、両社に関する情報が続々と出てきており、FBIを巻き込む騒動にまで発展しました。
本記事では、Kape Technologies社の歴史を説明します。
日本ではほとんど公開されていない情報ですが、世界的な新聞社であるForbes紙、Reuters紙、New York Times紙、そしてKape Technologies社を痛烈に批判していたセキュリティ企業Restore Privary社からの情報を引用してまとめています。
本記事を書いている僕は、Webアプリの開発やセキュリティ対応の経験が17年以上ある日系アメリカ人です。先に結論を述べておきます。
結論：ココがポイント
- Crossrider社は、様々な(良い目的、悪い目的両方の)用途に利用されるプラットフォームを開発した
- Crossrider社は、自社のプラットフォームでマネタイズオプションを提供し、主要なAD Injector用ライブラリを利用していた
- Crossrider社以外の企業は、マルウェア・アドウェアの配布に、Crossrider社のプラットフォームを悪用した。しかし、Crossrider社は、マルウェア・アドウェアそのものの開発者ではなかった
- Crossrider社は、2016年に自社のプラットフォームの提供を完全に停止。その後、会社の経営陣を刷新し、プライバシーとセキュリティを経営の柱とし、関連企業の買収に力を入れている
- 2017年、Crossrider社は、Kape Technologies社へと社名を変更した
Crossrider社がKape Technologies社となるまで
(Crossrider社Twitterアカウントより引用)
(Image taken from Crossrider Twitter Account)
Crossrider社は、数多くの紆余曲折を経て、Kape Technologies社へと社名を変更しています。その複雑な経緯を説明します。
Crossrider社設立
Crossrider社は、2010年にOrens Capitalなどから200万ドル(約2億円)の投資を受け設立されました。
Crossrider社の事業内容と展開していた画期的なツール
Crossrider社は、2010年当時は画期的とされているツールを開発し、そのツールを通して収益を上げていました。Crossrider社の事業内容とツールについて、詳しく説明します。
Crossrider社の事業内容
Crossrider社は、ブラウザ用プラグインを効率的に開発できるツールの開発元企業として設立されました。
Crossrider社が展開していた画期的なツール
Crossrider社が設立された2010年当時は、ブラウザ用プラグインの開発は、Chrome、Firefox、Internet Explorer、Safariなどでそれぞれ行う必要があり、膨大な作業量が開発者の悩みの種でした。
Crossrider社は、この問題を解決する画期的なツールを開発することに成功。Crossrider製ツールを使用してブラウザ用プラグインを開発すると、1回ソースコードを書けば、主要なブラウザすべてにインストールできる様になります。当時は、開発コストを劇的に下げれるツールとして、注目を集めました。
当時のTechCrunchの記事「Crossrider's Cross-Browser Extension Development Platform Comes Out Of Beta」(英語)
Crossrider製ツールが批判された理由
Crossrider製ツールは、1度作成したブラウザ用プラグインを「主要なブラウザ全て」に入れることのできる優れたツールでした。この機能自体は素晴らしく、悪いことは何もありません。問題は、このツールのマネタイズ(お金を稼ぐ)オプションです。
このオプションは、Crossrider製ツールでブラウザ用プラグインを作成→ブラウザにインストールすると、ブラウザが表示する画面上に、広告を「挿入」します。開発者は、このオプションを有効にすることにより、一定の収入が入り、広告主にはGoogle検索結果などに自社の広告を表示できる様になります。そして、Crossrider社自身は、他社が提供しているAD Injectionライブラリ(広告挿入用ライブラリ)を組み込むことで報酬を得ていました。
Crossrider製ツールは、ブラウザの設定を自動で変更する機能などもあったため、他者に悪用されました。具体的には、ブラウザ起動時の画面を怪しいサイトに変更する、デフォルト検索エンジンを別のものに変更するなどやりたい放題。
こうして、Crossrider社が提供するツールを利用して、ユーザのブラウザ環境をめちゃくちゃにしたり、さらに悪用して自社の広告を表示する悪徳業者が出現。Forbes紙やGoogleなどは、ツール提供元のCrossrider社を批判します。以下の記事や論文では、Crossriderのツールそのものがアドウェアやマルウェアと説明しています。英語版と日本語版を載せます。
Forbes紙
These Ex-Israeli Surveillance Agents Hijack Your Browser To Profit From Ads。Forbes紙による記事
- US antivirus giant Symantec ranks one service based on Crossrider’s software, Crossid, as adware with a “high” risk impact.
These Ex-Israeli Surveillance Agents Hijack Your Browser To Profit From Ads - Forbes(上記記事)より引用
- アメリカのアンチウィルスメーカー大手のSymantec社は、Crossrider製ソフトウェア「Crossid」を「高」リスクとしています。
※Symantec社は後に買収され、Broadcom社の子会社となっています
IEEEの論文
Ad Injection at Scale: Assessing Deceptive Advertisement Modifications。「Ad Injection」の手法と実体を説明した論文。著者は、Google、UC Berkeleyなど超一流企業や大学。(PDFが開きます)
- Today, web injection manifests in many forms, but fundamentally occurs when malicious and unwanted actors tamper directly with browser sessions for their own profit. In this work we illuminate the scope and negative impact of one of these forms, ad injection, in which users have ads imposed on them in addition to, or different from, those that websites originally sent them.
Ad Injection at Scale: Assessing Deceptive Advertisement Modifications - 2015 IEEE Symposium on Security and Privacy(上記論文)より引用
- 最近のWebインジェクションには、様々な種類が存在しますが、基本的には、悪意のある開発者が、自分の利益のためにブラウザセッションを直接改ざんするために利用されています。本論文では、Webインジェクションの中でも、広告インジェクション(AD Injection)の範囲と悪影響を明らかにします。広告インジェクション(AD Injection)という手法は、Webサイトが最初に送信した広告とは異なるものを画面上に表示します。
Malwarebytes(セキュリティ企業)
New Crossrider variant installs configuration profiles on Macs。Malwarebytes社による記事
- A new variant of the Crossrider adware has been spotted that is infecting Macs in a unique way.
New Crossrider variant installs configuration profiles on Macs - Malwarebytes社の上記記事より引用
- Macに感染する新種のCrossriderアドウェアが発見される。
Security Boulevard(セキュリティニュースサイト)
Crossrider Adware Still Causing Unwanted Mac Browser Redirects。Security Boulevardニュースによる記事
- A new variant of the adware Crossrider again proves the urban legend to be nothing more than an urban legend.
Crossrider Adware Still Causing Unwanted Mac Browser Redirects - Security Boulevardニュースによる上記記事より引用
- (Macにも観戦できる)新種のCrossrider製アドウェアは、(Macはウィルスに感染しないという)都市伝説が、都市伝説にすぎないことを証明した。
こうして、一部の悪いユーザにより、Crossrider社のプラットフォームは悪用され続けました。その結果、セキュリティベンダなどからマルウェアやアドウェアの製造元と誤認されたため、Crossrider社は自社のツール提供を断念します。
なお、アンチマルウェアソフトを製造する「herdProtect」社は、Crossrider製ツールを悪用したプラグインを以下の様に説明しており、Crossrider社自身はマルウェアの製造には関与していないことを明記しています：
- Crossrider is the owner of a platform that enables the creation of cross-browser extensions by developers but is not the owner of this detected application.
herdprotect.com - uninstall.exe I want thisによる上記記事より引用
- Crossriderは、クロスブラウザ拡張機能の開発を可能にするプラットフォームを提供していますが、検出されたアプリケーション(マルウェア)の開発者ではありません。
また、元Washington Post社の記者Brian Krebs氏による運営サイト「Krebs on Security」では、Crossrider製のプラットフォームを正規の開発プラットフォームと的確に表現しています：
- The purpose of this post is not to cause alarm about legitimate development platforms like Crossrider and Kango, or even to dissuade people from using Facebook. It's also true that rogue browser plugins are hardly a new problem.
KrebsonSecrurity - Facebook Takes Aim at Cross-Browser ‘LilyJade’ Wormによる上記記事より引用
- 本記事の目的は、正規の開発プラットフォームであるCrossriderやKangoについて警告したり、Facebookの使用を思いとどまらせることではありません。不正なプラグインは、新しい問題ではありません。
Crossrider製ツールの提供停止
2016年9月、CrossriderはTwitter上で、ツール提供を完全に停止することを発表します。
- The team saw that abuse of the platform was not showing signs of slowing down, and the very openness and flexibility that made the platform useful for developers also made it difficult to effectively combat abuse.
Crossrider社Twitterのサービス終了ツイートより引用
- Crossriderチームは、プラットフォームのオープンで柔軟性に優れている特徴により、悪用を止めることができないと判断しました。
Kape Technologies社への社名変更
Crossrider製ツールの提供を停止した翌年の2017年に、同社はオンラインプライバシーとセキュリティを事業の柱とする方針に変更しました。そして、CyberGhost社の買収後、Kape Technologies社へと社名変更します。
Kape Technologiesへと社名変更後、創業者のCEO Koby Menachemi氏とCTO Shmueli Ahdut氏は同社を去り、新しいCEO Ido Ehrlichman氏を迎え入れ、今に至ります。Ido Ehrlichman氏は、Crossrider社の経営には携わっていなかった人物です。
現在、Kape Technologies社はロンドン証券取引所に上場しています。ロンドン証券取引所のKape Technologies社はこちら。
Kape Technologies社の戦略 - VPN企業の買収
The use of this picture is permitted by Express VPN International Ltd.
Kape Technologies社は、オンラインプライバシーの保護とセキュリティを事業の柱としています。
インターネット上での「セキュリティ」「匿名性」を保つことをビジョンとして掲げており、関連企業の買収も積極的に行っています。
Kape Technologies社によるVPN企業の買収(ExpressVPN運営元など)
Kape Technologies社は、コンシューマVPNの関連企業を積極的に買収しています。
同社が買収した企業には、ExpressVPN、Private Internet Access、CyberGhost VPN、ZenMate VPN等を展開している企業が含まれます。買収後は、各社が独立の事業を保ったまま、運営が続けられています。
VPNプロバイダ大手のExpressVPNに関する詳細は「ExpressVPNが「選ばれ続ける理由」を徹底解説！」をご確認ください。
Kape Technologies社が買収したコンシューマVPNの多くは、通信ログやアクセスログを自社のサーバ内に保管しない「ノーログポリシー」を採用しており、ユーザの匿名性を重視していることが分かります。また、自社でノーログポリシーを謳っているだけでなく、ExpressVPNを運営しているExpress VPN International Ltd.社やPrivate Internet Accessを運営しているPrivate Internet Access, Inc.の様に、警察の立ち入りにより、ノーログポリシーが証明された企業もあります。
Webseleneseの買収と自社VPNソフトウェアの宣伝
Kape Technologies社は、商品レビューサイトWebseleneseを買収し、自社のVPNソフトウェアの宣伝に利用しています。
Kape Technologies社のVPN製品は危ないのか
上述の通り、ExpressVPNやPrivate Internet Accessは、政府や当局からサーバ調査が入っても、通信ログやアクセスログが記録されていないことから、ノーログポリシーで運営されていることが確認されています。
また、世界的なメディアであるNew York Times紙やForbes紙も、Kape Technologies社関連のVPNを推奨していることから、危険性は低いと考えられます。
2022年8月にExpressVPNのPartnerships Managerと直接ウェブ会議をし、ExpressVPNのインフラやシステムなどは、Kape Technologies社の子会社とは統合せずに、そのまま運用していくことを確認しています。ノーログポリシーの運用やその他の方針は合併前と変わらない、とのことです。
VPNプロバイダとしては、ノーログポリシーで運用した方が、情報漏洩のリスクも少ないため、ノーログポリシーで運用するVPNプロバイダは、今後も増えていくと思われます。
なお、Kape Technologies社傘下のVPNプロバイダの中では、ExpressVPNがおすすめです。トルコ当局の捜査が入った時に、ノーログポリシーが証明されています。
1年間のプランで月額$6.67(約1050円)
結論：Kape Technologies社について分かったこと
RESTORE PRIVACY, LLC社(セキュリティ企業)は、長年Crossrider社、Kape Technologies社をマルウェア・アドウェアを量産している企業として批判していました。しかし、実際は少し違った、と同社社長が認めています。
具体的には、
- Crossrider社は、自社のプラットフォームにAD Injectorを搭載していた
- Crossrider社のプラットフォームは、一部の悪者により悪用され、マルウェア・アドウェアの拡散に利用された(この責任は、Crossrider社にはない)
世の中には、セキュリティ企業と名乗っておきながら、実態はウィルスやマルウェアをばらまいている様な悪徳業者が存在します。そのため、VPNの様な「セキュリティツールを提供している企業」は、その運営実態を知り、その企業が信頼できるか(その企業の商品を購入してよいか)を確認することが重要になります。最後に、これまでの情報からCrossrider社に関して分かったポイントを以下にまとめます：
結論：ココがポイント
- Crossrider社は、様々な(良い目的、悪い目的両方の)用途に利用されるプラットフォームを開発した
- Crossrider社は、自社のプラットフォームでマネタイズオプションを提供し、主要なAD Injector用ライブラリを利用していた
- Crossrider社以外の企業は、マルウェア・アドウェアの配布に、Crossrider社のプラットフォームを悪用した。しかし、Crossrider社は、マルウェア・アドウェアそのものの開発者ではなかった
- Crossrider社は、2016年に自社のプラットフォームの提供を完全に停止。その後、会社の経営陣を刷新し、プライバシーとセキュリティを経営の柱とし、関連企業の買収に力を入れている
- 2017年、Crossrider社は、Kape Technologies社へと社名を変更した
VPN製品をお探しの場合はVPN \おすすめ/ ランキング2022 「使えるVPNはこれだ！」をどうぞ。記事内で紹介している上位2つの「NordVPN」と「Surfshark」はCyberspace社傘下のVPNプロバイダとなります。
以上です。
