Lovense漏洩（2025）｜ユーザー名からメールが抜け、アカウントが乗っ取られた話
2025年7月、TechCrunchが報じた。つながる大人のおもちゃで一番名前が出るLovenseのアプリが、ユーザー名からプライベートなメールアドレスを引き出せる状態で、さらにパスワードなしでアカウントに入れる欠陥を抱えていた。研究者は2023年から報告していた。会社は直したと言い、研究者は「まだ漏れている、1100万アカウント」と更新した。オランダの小売は一時、商品を棚から下ろした。公式は7月末に「両方直した・悪用の証拠は無い」と出した。この記事は再現手順ではない。ハードがネットにつながるときの、痕跡地図の続きです。
先に「できないこと」／書かないこと
- 脆弱性の再現、APIの叩き方、トークンの取り方は書かない
- 他人のアカウントを探す用途の話はしない
- 「今も入れる」とも「絶対安全」とも書かない。公式は修正済みと主張し、研究者は後追いで穴を指摘してきた履歴がある
何が起きていたか（公開情報だけ）
| いつ | 何が分かったか | ソース |
|---|---|---|
| 2023 | 類似の穴が報告され、報奨金が出た。研究者側は「直っていない」と後に主張 | vx-underground等の2025年投稿、Mashableの経緯整理 |
| 2025-07-28前後 | ユーザー名が分かればメールが抜ける。そこからパスワードなしでアカウントへ、という報告が公開 | BleepingComputer、TechCrunch（Zack Whittaker、7/29） |
| 同時期 | ミュート操作など通常機能の延長でメールが見える、という発見経路が報じられた | 研究者ブログを伝える二次報道 |
| 2025-07-31 | Lovense公式が「メール可視化」と「パスワードなしアクセス」の2件を認め、修正・自動更新、悪用証拠なし、と発表 | lovense.com の脆弱性告知 |
| 2025-08初 | オランダのBol.comやEasyToysが一時販売停止、と現地報道 | NL Times |
リモートでデバイスが動く商品なので、アカウント乗っ取りは「メールがバレる」だけでは終わらない。報道はデバイスの遠隔操作リスクまで書いている。公式は修正後、悪用は確認していないとしている。
買う側が今やること（再現ではなく自衛）
- アプリを公式ストアから更新する。古い版を残さない
- パスワードを変える。他サービスと同じパスワードなら、そちらも変える
- ログイン用メールを、本名の常用メールから分ける。漏洩したとき「趣味」と実名が直結しない
- パートナー遠隔は、相手が分かっているときだけ。見知らぬリンクから接続しない
- 不要なら、クラウド連携を切る・端末のBluetooth範囲だけで使う、が一番強い
痕跡地図のハードウェア編
ブラウザの履歴より先に出るのは、今回のようなアカウント名簿です。ユーザー名をXや配信に出している人は、メールまで一本の線になる。通知、パートナーアプリのロック画面、スマホの「最近使ったアプリ」も同じレイヤーです。
- 端末側: 痕跡の地図、テレビとキャスト
- 決済側: 明細に何と出るかは店と代行次第。決済の地図
- アカウント側: 漏洩リストに常用メールが載っていないか、Have I Been Pwned等で自分のアドレスだけ見る（他人の検索はしない）
「つながるおもちゃ」全般に共通する構造
Lovense固有の話に見せて、構造は他社にもある。
- 本体よりアプリとクラウドが本体
- ユーザー名が公開面に出る（配信チップ連動）
- セキュリティは後回しになり、研究者に公開されてから直る
- 修正しても、過去に抜かれたメールは消えない
買う前に見るのは、機能表より過去の脆弱性告知と、ログインに何を要求するかです。メール必須・パスワード弱い・2要素が無い、は減点。
よくある質問
Q. 今も危険？
公式は2025-07-31時点で修正済みとする。研究者は「直したと言って直っていなかった」履歴を公開している。2026年8月時点の新規穴は、この記事では確認していない。更新とパスワード変更は、声明を信じる・信じない以前の最低作業。
Q. メールが漏れたら何が起きる？
フィッシング、他サービスのパスワードリセット、実名特定。デバイス遠隔はその先。漏れた側からメールを回収する手段は無い。
Q. 捨てアカウントで登録し直せばいい？
メールを分けるのは有効。デバイスと購入履歴はメーカー側に残る。作り直しは、常用メールを外すことが目的。
参照: TechCrunch 2025-07-29、BleepingComputer 2025-07-28、Lovense公式 vulnerabilities-fixed-announcement、NL Times 2025-08-05。再現コードは扱わない。関連: 痕跡の地図 ／ 非同意画像