Googleカレンダーの新規イベント作成でプライベート情報が流出する危険性

PCやスマートフォンからいつでも予定を確認することができて便利なGoogle カレンダーを活用している人も多いと思いますが、なにげなく記入したカレンダーの件名から他人のメールアドレスやプライベートな情報が発信されてしまうリスクがあることが判明しました。

Another Google Privacy Flaw – Calendar Unexpectedly Leaks Private Information (Disclosed) ← Terence Eden's Blog
http://shkspr.mobi/blog/2014/01/another-google-privacy-flaw/

リスクが潜んでいるのは、Googleカレンダーで新規イベントを作成するタイミングです。ブログを作成したテレンス・エデンさんの奥さんはGoogleカレンダーを予定管理に活用しており、ある日もいつものように新しい予定を書き入れました。いつもと違ったのは、タイトルに「Email [email protected] to discuss pay rise(昇給の件で[email protected]にメールする)」という件名を付けたことです。Aliceというのは奥さんの上司で、予定を書き入れる前に給料について話し合うことで同意していました。

しばらくしてAliceさんから届いたメッセージには、なぜか「ミーティングの件、了解しました」と書かれていたそうです。

奥さんは途方に暮れました。自分用に書き込んだだけのスケジュールに対し、相手から「返信」があったので当然です。もしこの件名が「(義母のアドレス)にお正月に帰らなかったことを言い訳する」や「(夫のアドレス)に離婚調停の条件について連絡する」というものだったとしたら、新たな火種の原因にもなってしまいかねないところです。

By Jessica

テレンスさんがこの件について検証を行ったところ、以下のような現象が浮き彫りになってきたそうです。
・ウェブブラウザ上でGoogleカレンダーを使っており、新規イベントの件名に相手のGmailアドレスを記入して保存すると、その相手のGoogleカレンダーに予定が通知されることがある
・通知はメールではなく、ポップアップによるもの
・Android端末でイベントを作成した場合には通知されない
・Gmail以外のアドレスでも、同様の動作が行われることもあった
・カレンダーからイベントを削除すると、相手にキャンセルした旨のメールが送られる。イベント削除の際に、相手に通知しないように設定しても同様。

テレンスさんがイベントを作成してみた様子は以下のムービーの通りです。作成の際には、ポップアップ画面と詳細画面の両方を使って設定をおこなっている様子が確認できますが、「相手に予定を通知しますか？」というダイアログはポップアップ画面の場合にしか表示されていないことも確認できます。

Google Calendar Privacy Leak - YouTube


この現象についてテレンスさんは「これはGoogleがスマートさを求めた結果だと思うが、これは失敗だといえる。誰かについて書いた内容は、必ずしも『誰かに向けて』書いたものとは限らない」と語っています。その後テレンスさんはGoogle側に改善を申し入れましたが、Googleからは「問題の範囲は非常に限られているので問題はありません」との回答が返ってきたとのことです。

なお、以上の現象を編集部でも検証してみましたが、同じ動作は確認できませんでした。ブラウザやポップアップの設定、Gmailアカウントの設定などの諸条件が絡んでいるために、発生するケースとしないケースが混在しているようです。とはいえ、予期せぬリスクを避けるためにも、件名にはメールアドレスと詳細内容を記入するのは避けた方がよさそうです。