“偽Pokemon GO”も多数発見
「Pokemon GOでGoogleアカウント情報が丸見え」問題とは何だったのか（1/2 ページ）
爆発的人気のモバイルゲーム「Pokemon GO」では当初、Googleアカウントのほぼ全情報の表示・変更権限を取得してしまう問題が発生していた。その背景には何があったのか。
人気のPokemon GOにセキュリティ問題が（画面はNianticのPokemon GO紹介ページ）《クリックで拡大》
爆発的人気のモバイルゲーム「Pokemon GO」に想定外の問題が発覚した。Googleのアカウントサービス「Googleアカウント」のほぼ全情報を表示・変更できる「フルアカウントアクセス」権限のトークン（許可証）を、ユーザーの許可なく取得してしまう問題だ。
開発元のNianticは、Pokemon GOの提供開始後にiOS版の修正を強いられた。Googleアカウントのフルアカウントアクセスの権限を付与するトークンが同ゲームに含まれるという、セキュリティ研究者の報告がきっかけだ。この欠陥による同アプリ自体への影響はなかったものの、トークンを偽装してなりすましをする「トークン置換攻撃」のリスクが明るみに出た。
米セキュリティ企業RedOwlの主席アーキテクトを務めるアダム・リーブ氏は、自分のGoogleアカウントを認証に使ってPokemon GOで遊び始めた際に、「『このアプリはあなたのメールアドレスと氏名を参照できます』など、アプリがどのデータにアクセスできるかを告げるちょっとしたメッセージ」が表示されることを期待した。ところが、こうしたメッセージは表示されなかった。自分でゲームのパーミッションを確認したところ、Pokemon GOに自分のGoogleアカウントへのフルアカウントアクセスの権限が付与されていることを示す表示を見て、ショックを受けたという。
Pokemon GOは「Pokemon Trainer Club」（ポケモントレーナークラブ）のWebサイトか、Googleアカウントのいずれかを使ってログインできる。だがPokemon Trainer Clubは最初の段階で新しいプレーヤーが殺到して新規の登録が受け付けられなくなり、プレーヤーは手持ちのGoogleアカウントの認証情報を使ってログインするしか選択肢がなかった。過度なパーミッションは同アプリのiOS版のみで発生し、Androidユーザーは影響を受けなかった。
併せて読みたいお勧め記事
「Pokemon GO」が仕事を変える？
iPhoneは本当に安全か
Androidが危険だといわれる理由
故意か過失か
手違いを認めたNianticは「Pokemon GOはトークンを取得するが、同アプリがGoogleアカウントの全情報にアクセスできるわけではない」と説明した。
NianticはWebサイトに次のような告知を掲載した。
iOSでのアカウント作成時に、Googleアカウントへ権限のフルアクセスをリクエストするエラーが発生していることが判明しております。Pokemon GOはGoogleアカウントの基本情報（ユーザーIDとメールアドレス）のみを必要とし、その他のGoogleアカウント情報へのアクセスや収集は必要ではありません。こちらの事象に対して、必要とするデータをGoogleの基本情報のみアクセスするよう、クライアント側で修復を進めております。Googleより、Pokemon GOまたNianticより必要な情報以外のアクセスがないことが確認されました。GoogleはPokemon GOが必要とする基本情報のみをアクセスする処置をとっておりますので、ユーザー側で追加のご対応は必要ございません。
リーブ氏は当初、Pokemon GOが取得したトークンによって、Nianticがメールサービス「Gmail」のメールを読んだり、そのユーザーとしてメールを送信したり、オンラインストレージサービス「Google Drive」のファイルへのアクセスや削除ができる状態だったと報告していた。実際にGoogleの説明でも、フルアカウントアクセスの権限を付与されたアプリは、潜在的に危険な機能を幅広く認められた状態になると述べている。
Googleのサポートページでは、フルアカウントアクセスの権限について以下のように記載している。
フルアカウントアクセスを付与されたアプリケーションは、Googleアカウントのほぼ全ての情報を表示、変更できます（ただし、パスワードを変更したりアカウントを削除したり、ユーザーの代理として Googleウォレットで支払いを行ったりすることはできません）。（中略）信頼できない、または不明なアプリにフルアカウントアクセスを付与してしまった場合は、「削除」をクリックしてその権限を取り消すことをお勧めします。
後に他のセキュリティ専門家が指摘した通り、Pokemon GOではメールの送受信はできず、ベーシックなGoogleユーザー情報しか参照できない。だが今回の欠陥は、フルアカウントアクセスのトークンを使ったトークン置換攻撃を可能にしたことは事実だ。
今回は、Pokemon GOがフルアカウントアクセスの権限を使ってユーザーのGmailやカレンダーにアクセスすることは不可能だった。だがSlackの商品セキュリティ担当上級スタッフエンジニア、アリ・ルービンスタイン氏によれば、トークンを別のもっと権限の大きいトークンと不正に入れ替えることは可能だという。これによって攻撃者は、任意のGoogleサービスでWebセッションを開いて、“真のフルアカウントアクセス”を取得することが可能になる。そうなれば、Googleの認証システムに重大な脆弱（ぜいじゃく）性が発生することになる。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[o9ソリューションズ・ジャパン株式会社] 「改正物流効率化法対策」徹底解説 総物流費を抑制するサプライチェーン戦略 -
製品資料
[o9ソリューションズ・ジャパン株式会社] 「サプライチェーン最適化」実践ガイド：効果的な意思決定を実現する秘訣とは？ -
製品資料
[株式会社リンプレス] 非デジタル／IT人材を「自走するDX推進者」に変えるための育成ロードマップ -
市場調査・トレンド
[ワンアイルコンサルティング株式会社] AI時代の組織設計：「判断と責任」を人に残すための2つの原則とは？ -
技術文書・技術解説
[ワンアイルコンサルティング株式会社] システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「AIバブル」は崩壊するのか？ 熱狂の後に来る“尻拭い”と4つの防衛策
-
2
パナソニックが国内製造26拠点のERPを「SAP S/4HANA」に統一 アドオン7割削減
-
3
データを無断で暗号化し使用者に身代金を要求する詐欺に用いられるマルウェアとは？
-
4
守るべきは「開発者のフロー状態」 AIによる生産性改善の6施策
-
5
「コピペ運用の限界」に直面するAI活用 7割超が“別画面”のまま使う理由は？
-
6
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
7
【お知らせ】 「データセンターの利用状況に関するアンケート調査」結果リポート
-
8
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
9
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
10
会員調査で浮かび上がるERPのコスト問題、IFRS対応への影響は
ホワイトペーパーランキング PR
-
1
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
2
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
6
「Google Workspace」活用事例34選、先進の生成AIによる組織変革の全貌
-
7
「人員を増やす」という選択肢はない 情シスが負の連鎖から抜け出すには？
-
8
Linuxのスキルを証明する“激推し”の認定資格はこれだ
-
9
「問題が深刻化しやすいプロジェクト管理」から脱却する方法とは？
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー