悪意のない手違いが原因か

　過剰な権限の付与は、NianticとGoogleの悪意のない手違いによるもので、パーミッションが悪用されることもなかったようだとルービンスタイン氏は推測する。「フルアカウントアクセスの権限が付与されても、このトークンを当初指摘されたようなやり方で使うことは難しい。なぜならそうした利用の仕方はプログラムされていないからだ」（同氏）。ただしそれは、トークンの操作に関する隠しAPIが、どこか別の場所に存在していない場合に限る。

　NianticはかつてGoogleの傘下にあったが、2015年にスピンオフして独立企業になった。Nianticが、フルアカウントアクセスの権限を取得するアプリケーションで通常表示されるパーミッション通知をどうかわしたのかは、依然として不明だ。米サイバーセキュリティ企業Trail of Bitsのダン・ギド最高経営責任者（CEO）はブログの中で、同僚のセキュリティ研究者のジェイ・リトル氏と共に、Googleの開発者サイトでPokemon GOによるパーミッション要求を再現しようとしたところ、正確には再現できなかったと伝えている。

　「Googleが2012年から段階的に廃止して2015年に打ち切った『OAuth 1.0』ベースAPIの一部が原因だったのかもしれない」と、ギド氏は指摘する。OAuthは、Googleが自社サービスのAPIに利用している認証仕様だ。「もしそうであれば、Pokemon GOがなぜOAuth 1.0ベースのAPIを利用できたのかが分からない。われわれがチェックしたところ、『OAuth 2.0』ベースのAPIへ移行したアカウントは、もう古いOAuth 1.0ベースのAPIにはアクセスできなかった」（ギド氏）

　今のところ、Pokemon GOのパーミッション問題は解決されたように見える。「Googleがトークン置換攻撃の可能性を排除するため、さかのぼってトークンの設定を変更しているとすれば、Pokemon GOはあと数日で、あるいはもう既に、安全にプレイできるはずだ。ぜひゲームを楽しんでほしい」（ルービンスタイン氏）

Pokemon GOの他のセキュリティ問題

　iOS版Pokemon GOのパーミッション問題は解決したが、NianticとGoogleが対処すべき他のセキュリティ問題も既に浮上している。サイバーセキュリティ企業のProofpointは、リモートアクセスツール「DroidJack」に感染したAndroid版Pokemon GOを発見した。

　この悪質なAPK（Androidアプリの配布パッケージ）が出回っている様子はまだ観測されていないと、Proofpointは説明する。だがこのAPKが、悪質ファイルをまとめたリポジトリサービスにアップロードされたのは、ニュージーランドとオーストラリアで同ゲームが正式リリースされてから72時間もたたない協定世界時2016年7月7日午前9時19分27秒だったという。

　Proofpointは、Pokemon GOの公式リリースが世界同時ではなかったことから、自分の地域でリリースされる前にプレイしたいと思ったゲーマーの多くは、サードパーティーからAPKをダウンロードしたとみている。

　Microsoftプログラムマネジャーでエンジニアのデニス・ディレマースキ氏は、ミニブログの「Twitter」で、Pokemon GOでは証明書ピンニング（正規の電子証明書の情報をあらかじめ記録し、それ以外の証明書によるHTTPS通信を禁止すること）をしていないと指摘した。つまりPokemon GOを公衆無線LANで使えば、通信の途中で割り込んで情報を盗み見る「中間者攻撃」を仕掛けられる可能性がある。