“偽Pokemon GO”も多数発見
「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか（1/2 ページ）
爆発的人気のモバイルゲーム「Pokemon GO」では当初、Googleアカウントのほぼ全情報の表示・変更権限を取得してしまう問題が発生していた。その背景には何があったのか。
人気のPokemon GOにセキュリティ問題が（画面はNianticのPokemon GO紹介ページ）《クリックで拡大》
爆発的人気のモバイルゲーム「Pokemon GO」に想定外の問題が発覚した。Googleのアカウントサービス「Googleアカウント」のほぼ全情報を表示・変更できる「フルアカウントアクセス」権限のトークン（許可証）を、ユーザーの許可なく取得してしまう問題だ。
開発元のNianticは、Pokemon GOの提供開始後にiOS版の修正を強いられた。Googleアカウントのフルアカウントアクセスの権限を付与するトークンが同ゲームに含まれるという、セキュリティ研究者の報告がきっかけだ。この欠陥による同アプリ自体への影響はなかったものの、トークンを偽装してなりすましをする「トークン置換攻撃」のリスクが明るみに出た。
米セキュリティ企業RedOwlの主席アーキテクトを務めるアダム・リーブ氏は、自分のGoogleアカウントを認証に使ってPokemon GOで遊び始めた際に、「『このアプリはあなたのメールアドレスと氏名を参照できます』など、アプリがどのデータにアクセスできるかを告げるちょっとしたメッセージ」が表示されることを期待した。ところが、こうしたメッセージは表示されなかった。自分でゲームのパーミッションを確認したところ、Pokemon GOに自分のGoogleアカウントへのフルアカウントアクセスの権限が付与されていることを示す表示を見て、ショックを受けたという。
Pokemon GOは「Pokemon Trainer Club」（ポケモントレーナークラブ）のWebサイトか、Googleアカウントのいずれかを使ってログインできる。だがPokemon Trainer Clubは最初の段階で新しいプレーヤーが殺到して新規の登録が受け付けられなくなり、プレーヤーは手持ちのGoogleアカウントの認証情報を使ってログインするしか選択肢がなかった。過度なパーミッションは同アプリのiOS版のみで発生し、Androidユーザーは影響を受けなかった。
併せて読みたいお勧め記事
「Pokemon GO」が仕事を変える？
iPhoneは本当に安全か
Androidが危険だといわれる理由
故意か過失か
手違いを認めたNianticは「Pokemon GOはトークンを取得するが、同アプリがGoogleアカウントの全情報にアクセスできるわけではない」と説明した。
NianticはWebサイトに次のような告知を掲載した。
iOSでのアカウント作成時に、Googleアカウントへ権限のフルアクセスをリクエストするエラーが発生していることが判明しております。Pokemon GOはGoogleアカウントの基本情報（ユーザーIDとメールアドレス）のみを必要とし、その他のGoogleアカウント情報へのアクセスや収集は必要ではありません。こちらの事象に対して、必要とするデータをGoogleの基本情報のみアクセスするよう、クライアント側で修復を進めております。Googleより、Pokemon GOまたNianticより必要な情報以外のアクセスがないことが確認されました。GoogleはPokemon GOが必要とする基本情報のみをアクセスする処置をとっておりますので、ユーザー側で追加のご対応は必要ございません。
リーブ氏は当初、Pokemon GOが取得したトークンによって、Nianticがメールサービス「Gmail」のメールを読んだり、そのユーザーとしてメールを送信したり、オンラインストレージサービス「Google Drive」のファイルへのアクセスや削除ができる状態だったと報告していた。実際にGoogleの説明でも、フルアカウントアクセスの権限を付与されたアプリは、潜在的に危険な機能を幅広く認められた状態になると述べている。
Googleのサポートページでは、フルアカウントアクセスの権限について以下のように記載している。
フルアカウントアクセスを付与されたアプリケーションは、Googleアカウントのほぼ全ての情報を表示、変更できます（ただし、パスワードを変更したりアカウントを削除したり、ユーザーの代理として Googleウォレットで支払いを行ったりすることはできません）。（中略）信頼できない、または不明なアプリにフルアカウントアクセスを付与してしまった場合は、「削除」をクリックしてその権限を取り消すことをお勧めします。
後に他のセキュリティ専門家が指摘した通り、Pokemon GOではメールの送受信はできず、ベーシックなGoogleユーザー情報しか参照できない。だが今回の欠陥は、フルアカウントアクセスのトークンを使ったトークン置換攻撃を可能にしたことは事実だ。
今回は、Pokemon GOがフルアカウントアクセスの権限を使ってユーザーのGmailやカレンダーにアクセスすることは不可能だった。だがSlackの商品セキュリティ担当上級スタッフエンジニア、アリ・ルービンスタイン氏によれば、トークンを別のもっと権限の大きいトークンと不正に入れ替えることは可能だという。これによって攻撃者は、任意のGoogleサービスでWebセッションを開いて、“真のフルアカウントアクセス”を取得することが可能になる。そうなれば、Googleの認証システムに重大な脆弱（ぜいじゃく）性が発生することになる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
3
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
4
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
5
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
6
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
7
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
8
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
9
「技術屋」で終わらないために 情シスが今取るべき認定資格5選
-
10
「Windows派」「Linux派」を分ける決定的な違い
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー