LIXILは8日、米Trustwaveが先日公表したLIXIL製トイレ「SATIS」向けAndroidアプリ「MY SATIS」の脆弱性について、「極めて稀なケースでしか悪用できない」との公式見解を明らかにした。Trustwaveは1日、アプリの脆弱性を突いて、SATISのシャワー洗浄やフタの開閉を遠隔操作できると報告していた。

LIXIL製トイレ「SATIS」。Bluetooth接続に対応しており、スマートフォンアプリを使った操作が可能

Trustwaveの発表は、LIXILが提供するAndroid向けトイレ操作アプリ「MY SATIS」に脆弱性があり、トイレ利用者以外の第三者が、おしり洗浄/ビデ洗浄/温風乾燥機能や、フタの開閉を遠隔操作できるというもの。アプリにハードコード化されたBluetoothのPINコード(暗証番号)が「0000」で固定設定されていることを突いて、イタズラ行為ができると指摘していた。

MY SATIS イメージ図。アプリでは、おしり洗浄やビデ洗浄などの操作が可能。また、ちょうど良い位置や水量にシャワーを調整し、個人設定を保存することができる

この件について、LIXILでは「第三者が外部から操作することはできるが、実使用場面では極めて稀なケース」と悪用は難しいとの見解を示した。Bluetoothの脆弱性については、SATISがBluetooth2.1を採用し、PINコードが入力不要で自動接続する方式だとした上で、「(自動入力される)PINコードは指摘の通り『0000』だったが、PINコードが『0000』のまま自動接続する製品は、他にも多数存在しており、SATISに特別な脆弱性があるわけではない。また、SATISの場合は遠隔操作に複数の条件があり、悪用するのは難しい」とコメントした。

MY SATISのペアリング方法

同社によると、遠隔操作にはBluetooth接続が必須であり、第三者が悪用するには、あらかじめペアリングを済ませたスマートフォンを持ち、トイレ本体から数m以内の距離まで近づく必要があるという。またトイレ使用者がアプリを利用している間は、第三者が別のスマートフォンで操作を行うことができない仕様だという。

さらに、Bluetooth機能はトイレのフタが開いた状態でないと機能せず、着座センサーがオンではないとシャワー洗浄が起動しないことから、誰も使用していない状態でシャワーの水を流し続けるなどのイタズラはできないという。

これらの見解をまとめると、アプリを悪用できるのは、第三者がペアリング済みのスマートフォンを持ち、操作可能なトイレに、本来の使用者が入ったことを認識して、本来の使用者が着座し、「My SATIS」アプリを使用していない状態で、第三者がBluetooth接続が可能な範囲内に近づいて操作した場合に限られる。

また、ペアリングの最大登録数は8台で9台目以降をペアリングすると、最初の1台目が上書きされる仕様のため、そもそもパブリックな空間への導入にも不向きだとし、悪用が想定されるシーンも極めて限定的なものになるという。

なお、今回の発表および報道についてLXILでは「スマホと連携できるトイレという製品は、LIXILのみが販売しており、商品の珍しさもあって、このような広がりになったと思います。この機会に、安全に使用できる便利な製品として認知していただけたら嬉しいです」とコメントしている。