2016年07月28日 07時00分 UPDATE
特集/連載

“偽Pokemon GO”も多数発見「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか (1/2)

爆発的人気のモバイルゲーム「Pokemon GO」では当初、Googleアカウントのほぼ全情報の表示・変更権限を取得してしまう問題が発生していた。その背景には何があったのか。

[Peter Loshin,TechTarget]

関連キーワード

Google | API | Android | iOS


Pokemon GO 人気のPokemon GOにセキュリティ問題が(画面はNianticのPokemon GO紹介ページ)《クリックで拡大》

 爆発的人気のモバイルゲーム「Pokemon GO」に想定外の問題が発覚した。Googleのアカウントサービス「Googleアカウント」のほぼ全情報を表示・変更できる「フルアカウントアクセス」権限のトークン(許可証)を、ユーザーの許可なく取得してしまう問題だ。

 開発元のNianticは、Pokemon GOの提供開始後にiOS版の修正を強いられた。Googleアカウントのフルアカウントアクセスの権限を付与するトークンが同ゲームに含まれるという、セキュリティ研究者の報告がきっかけだ。この欠陥による同アプリ自体への影響はなかったものの、トークンを偽装してなりすましをする「トークン置換攻撃」のリスクが明るみに出た。

 米セキュリティ企業RedOwlの主席アーキテクトを務めるアダム・リーブ氏は、自分のGoogleアカウントを認証に使ってPokemon GOで遊び始めた際に、「『このアプリはあなたのメールアドレスと氏名を参照できます』など、アプリがどのデータにアクセスできるかを告げるちょっとしたメッセージ」が表示されることを期待した。ところが、こうしたメッセージは表示されなかった。自分でゲームのパーミッションを確認したところ、Pokemon GOに自分のGoogleアカウントへのフルアカウントアクセスの権限が付与されていることを示す表示を見て、ショックを受けたという。

 Pokemon GOは「Pokemon Trainer Club」(ポケモントレーナークラブ)のWebサイトか、Googleアカウントのいずれかを使ってログインできる。だがPokemon Trainer Clubは最初の段階で新しいプレーヤーが殺到して新規の登録が受け付けられなくなり、プレーヤーは手持ちのGoogleアカウントの認証情報を使ってログインするしか選択肢がなかった。過度なパーミッションは同アプリのiOS版のみで発生し、Androidユーザーは影響を受けなかった。

故意か過失か

       1|2 次のページへ

この記事を読んだ人にお薦めのホワイトペーパー

この記事を読んだ人にお薦めの関連記事

Loading

注目テーマ

ITmedia マーケティング新着記事

news087.jpg

Webと店頭サイネージを連動する動画広告、マイクロアドデジタルサイネージとCyberBullが提供
マイクロアドデジタルサイネージはCyberBullと共同で、小売店の店頭サイネージと連動する...

news043.jpg

無料DMP「Juicer」とマーケティングプラットフォーム「HIRAMEKI」が連携
トライベック・ストラテジーは、マーケティングプラットフォーム「HIRAMEKI management」...

news129.jpg

VR/AR利用ユーザーの行動を可視化したマーケティングプラットフォーム、オプトが開発
オプトは、VR/ARを活用したプロモーションのためのプラットフォーム「drop:VR360°動画...