禁止されたKasperskyが、ユーザーの就寝中に米国のPC上でUltraAVに置き換わっていた

2024年9月下旬、Kasperskyのアンチウイルスの米国ユーザーは、自分のソフトウェアがPangoの新製品UltraAVに自動的に置き換えられていたことに気づいた。中には、そんなことが起きるとは全く知らなかったと語る人もいた。「目を覚ましたら、Kasperky [原文ママ] が自分のシステムから完全に消え、Ultra AVとUltra VPNが新たにインストールされていた（私がやったのではなく、寝ている間に自動で）」とあるRedditユーザーは書き、他のユーザーも同様の報告をした。元Kaspersky販売代理店は、この自動的な置き換えに「腹が立った」と述べた。

この入れ替えは、2024年6月に発表され7月20日に発効した、米国政府による前例のないKaspersky販売禁止に続くものだった。9月29日までは限定的なセキュリティアップデートが認められていた。Kasperskyは米国の顧客をPangoに引き渡しており、9月19日に「移行を円滑にする」ソフトウェアアップデートを配信したと確認した。これはユーザーが「Kasperskyの市場撤退に際して保護の空白を経験しない」ようにするためだったという。UltraAVのサイトはWindowsユーザーに「必要な操作はありません」と伝えていた。

Pangoは、全顧客に9月初旬に通知したと述べたが、ユーザーがソフトウェアを強制的に置き換えられると明示的に伝えられた場所をTechCrunchに示すことはできなかった。顧客のAvi Fleischerは、Kasperskyは「UltraAVを受け入れるかどうかの選択肢を私に与えるべきだった……明示的な許可なく他人のコンピューターにソフトウェアを押し付けるべきでは絶対にない」と述べた。元NSAサイバーセキュリティ責任者のRob Joyceは、ユーザーは自動的に「移行」させられたと書き、Kasperskyは「あなたのマシンを完全に掌握していた」と付け加えた。金銭的な数字は報告されていない。

顧客の怒りと不信 — 販売代理店は「腹を立て」、ユーザーはUltraAVを削除し — 元NSA責任者は、Kasperskyのマシンへのアクセスに伴うリスクの証拠としてこれを挙げた

深いシステムアクセスは一方通行の信頼である。それを用いて、尋ねることなくあるベンダーをアンインストールし別のベンダーをインストールすれば、その信頼は壊れる。

一部の顧客は「移行」に関するメールを受け取ったが、自分のアンチウイルスが一晩で丸ごと置き換えられるという事実は伝えられていなかった。

強制的な入れ替えは、政府の中心的な懸念 — そのソフトウェアはマシンに対して何でもできてしまう — を公の場で裏付けることになった。

9月29日の期限前の慌ただしい引き継ぎには、オプトインの流れを用意する余地がほとんどなく、ベンダーは沈黙を選んだ。

深いシステムアクセスを持つソフトウェアは、尋ねることなく入れ替えるべきではない。黙って行われる移行は、次の侵害のように読める。

2024年9月23日時点で、Kasperskyはフォーラム投稿以外にコメントしていない。Pangoは顧客に通知したとの立場を維持しており、異議を唱えた影響を受けたユーザーは自分でUltraAVを削除しなければならなかった。Kasperskyの米国向けアップデートは9月29日に終了する予定だった。