2016年07月28日 07時00分 公開
特集/連載

「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか“偽Pokemon GO”も多数発見(1/2 ページ)

爆発的人気のモバイルゲーム「Pokemon GO」では当初、Googleアカウントのほぼ全情報の表示・変更権限を取得してしまう問題が発生していた。その背景には何があったのか。

[Peter Loshin,TechTarget]

関連キーワード

Google | API | Android | iOS


Pokemon GO 人気のPokemon GOにセキュリティ問題が(画面はNianticのPokemon GO紹介ページ)《クリックで拡大》

 爆発的人気のモバイルゲーム「Pokemon GO」に想定外の問題が発覚した。Googleのアカウントサービス「Googleアカウント」のほぼ全情報を表示・変更できる「フルアカウントアクセス」権限のトークン(許可証)を、ユーザーの許可なく取得してしまう問題だ。

 開発元のNianticは、Pokemon GOの提供開始後にiOS版の修正を強いられた。Googleアカウントのフルアカウントアクセスの権限を付与するトークンが同ゲームに含まれるという、セキュリティ研究者の報告がきっかけだ。この欠陥による同アプリ自体への影響はなかったものの、トークンを偽装してなりすましをする「トークン置換攻撃」のリスクが明るみに出た。

 米セキュリティ企業RedOwlの主席アーキテクトを務めるアダム・リーブ氏は、自分のGoogleアカウントを認証に使ってPokemon GOで遊び始めた際に、「『このアプリはあなたのメールアドレスと氏名を参照できます』など、アプリがどのデータにアクセスできるかを告げるちょっとしたメッセージ」が表示されることを期待した。ところが、こうしたメッセージは表示されなかった。自分でゲームのパーミッションを確認したところ、Pokemon GOに自分のGoogleアカウントへのフルアカウントアクセスの権限が付与されていることを示す表示を見て、ショックを受けたという。

 Pokemon GOは「Pokemon Trainer Club」(ポケモントレーナークラブ)のWebサイトか、Googleアカウントのいずれかを使ってログインできる。だがPokemon Trainer Clubは最初の段階で新しいプレーヤーが殺到して新規の登録が受け付けられなくなり、プレーヤーは手持ちのGoogleアカウントの認証情報を使ってログインするしか選択肢がなかった。過度なパーミッションは同アプリのiOS版のみで発生し、Androidユーザーは影響を受けなかった。

故意か過失か

       1|2 次のページへ

ITmedia マーケティング新着記事

news051.jpg

ミレニアル世代・Z世代の離職意向が低下、コロナ禍を機に精神的健康も改善――Deloitte調査
世界各国のミレニアル・Z世代約2万7500人を対象にした年次調査。今回は新型コロナウイル...

news078.jpg

新規事業の実態 最重要KPI「100%以上達成」は約2割――クニエ調査
新規事業の「最重要KPI」「スケジュール遅延」「開発規模」の結果に対して、その要因とな...

news056.jpg

福田康隆氏、NEC東海林直子氏らが語る営業のデジタルシフト まずどこから始めればいい?
お客さまに会って課題を与えてもらうスタイルから、営業自身が課題を先に探して提示する...