Ayaneo's Privacy Issue: Unauthorized SteamID Data Collection

on
Ayaneo's Privacy Issue: Unauthorized SteamID Data Collection
아야네오의 개인정보 문제: 비동의SteamID수집

Languages: [EN] English | [KO] 한국어

Overview 소개

- This analysis is based on observed behavior and may be incomplete or inaccurate. -

While developing a standalone application to replace the official software for AYANEO devices, I discovered that AYASpace (the device management software) is continuously transmitting users' private SteamIDs to a Chinese server without any consent.
I might be mistaken, or perhaps I am being overly sensitive due to recent security issues like the Coupang incident, but I would like to share what I have personally verified.

- 이 분석은 관측된 동작을 기반으로 하며, 불완전하거나 부정확할 수 있습니다. -

최근 아야네오(AYANEO) 전용 앱 아야스페이스(AYASpace)를 대체할 독립적인 앱을 제작하던 중 아야스페이스가 사용자의 동의 없이 개인정보인 SteamID를 지속적으로 중국 서버로 전송하는것을 발견.
이에 대해 본인이 잘못 알고 있는 것일 수도 있지만, 요즘 쿠팡 사태 등 보안 관련 이슈가 많아 예민하게 반응하는 것일 수도 있기에 확인했던 내용.

Log Data Verification (Unauthorized SteamID Collection) 로그 데이터 확인(SteamID 무단 수집)

  • Extracts and immediately transmits SteamID3, a unique personal identifier, during AYASpace execution.
  • Occurs continuously after execution for both existing and newly installed users.
  • Captured Log: 2025-12-20 20:40:21.796 INFO [ServerService.cpp:363] get url: https://api.pc.ayaneo.com/AYASpace/pcgame/getSteamIdInfo?steamID3=XXXXXXXXX (XXXXXXXXX is the user's unique Steam account number.)
  • AYASpace log location -> %appdata%\ayaspace\log\main.log
  • Ayaspace 실행 중 사용자의 고유 식별 정보인 SteamID3를 추출하여 즉시 서버로 전송
  • 이미 사용 중인 유저나, 새로 설치한 유저 모두에게 실행 이후 지속적으로 발생
  • 포착된 로그: 2025-12-20 20:40:21.796 INFO [ServerService.cpp:363] get url: https://api.pc.ayaneo.com/AYASpace/pcgame/getSteamIdInfo?steamID3=XXXXXXXXX (XXXXXXXXX는 사용자의 고유 스팀 계정 번호입니다.)
  • Ayaspace 의 로그 생성 위치 -> %appdata%\ayaspace\log\main.log

Network Packet Transmission Confirmation 네트워크 패킷 전송 확인

Network packet analysis via Wireshark confirms that AYASpace is maintaining a continuous TLS 1.2 encrypted connection with the api.pc.ayaneo.com server. The packet size is approximately 211 bytes, which strongly supports the evidence that the SteamID collection found in the logs is being transmitted in real-time. Since this is only what is visible on the surface, there are serious concerns about how much more information might be sent behind the scenes.

Analysis filtered through Wireshark shows that a total of 413 packets were transmitted to the server over approximately 3 minutes, starting from the first packet at 19.45 seconds. This represents an abnormal communication frequency of 4 to 5 times every 2 seconds on average. As evidenced by the scroll bar shrinking almost instantly, AYASpace is incessantly broadcasting user data to the server in the background. This goes beyond simple data collection; it has reached a level of unauthorized hogging of device resources and network bandwidth.

와이어샤크(Wireshark)를 통해 확인한 결과, AYASpace 앱은 api.pc.ayaneo.com 서버와 지속적으로 TLS 1.2 암호화 통신을 주고받고 있습니다. 패킷 크기는 약 211바이트로, 앞서 로그 파일에서 발견한 SteamID 수집 정보가 실시간으로 전송되고 있음을 뒷받침 합니다. 겉으로 드러난 로그가 이 정도라면, 보이지 않는 곳에서 얼마나 더 많은 정보가 전송되고 있을지 우려됩니다.

와이어샤크로 필터링하여 분석한 결과, 첫 패킷이 기록된 19.45초부터 종료 시점까지 약 3분간 총 413개의 패킷이 해당 서버로 송출되었습니다. 이는 평균 2초마다 4~5회꼴로 발생하는 비정상적인 통신 빈도입니다. 우측의 스크롤바가 순식간에 작아진 것만 봐도 알 수 있듯이, AYASpace는 백그라운드에서 사용자의 정보를 쉴 새 없이 서버로 쏘아 올리고 있습니다. 이는 단순한 정보 수집을 넘어 기기 자원과 네트워크 대역폭을 무단으로 점유하는 수준입니다.

Deceptive License Agreement Process 기만적인 라이선스 동의 과정

AYASpace Installation 1 AYASpace Installation 2
  • Even in the global installation file (AYASpaceGlobalSetup3.0.0.30.exe),
  • The license and agreement terms provided during installation are entirely in Chinese.
  • To fulfill the legal duty of disclosure, the agreement must be provided in the same language as the installation. (English)
  • Collecting 'unique identifiable information' behind an unreadable agreement lacks procedural and legal legitimacy.
  • This data is completely unnecessary for improving user experience or statistical purposes.
  • It is questionable why a personally identifiable SteamID must be collected.
  • 글로벌 설치 파일(AYASpaceGlobalSetup3.0.0.30.exe)임에도
  • 설치 과정에서 제시되는 라이선스 및 동의 내용은 전부 중국어
  • 글로벌 판이며 설치언어와 같은 영어로 제공되어야 고지 의무가 성립
  • 읽을 수 없는 언어로 된 약관 뒤에 숨어 '고유 식별 정보'를 수집하는 것은 절차적, 법적 으로 정당성 성립이 어려워 보임
  • 해당 데이터는 사용 경험 개선이나 통계 목적에 전혀 불필요한 정보
  • 왜 굳이 개인 식별이 가능한 SteamID를 가져가야 하는지 의문

Comments

Post a Comment