ゲーム

iOS版ポケモンGO(Pokémon GO)がGmail・Googleドライブ・検索履歴・非公開写真の閲覧権限を自動的に持ってしまうセキュリティリスクが指摘される


実際の街中を歩きながらポケモンを捕まえたりプレイヤー同士でバトルしたりできるゲーム「Pokémon Go」では、アカウント登録時にpokemon.comアカウントかGmailアカウントのどちらかを連携する必要があります。iOS版のPokémon Goでアカウント登録時にGoogleアカウントとの連携を選択すると、アプリ側にGmailの閲覧・送信や、Googleドライブ内のファイルの閲覧・編集・削除、Googleの検索履歴やGoogleマップのナビ履歴の閲覧、Googleフォトに保存している非公開写真の閲覧など、あらゆる情報へのアクセス権限が自動的に承認されてしまうことが判明しています。

Pokemon Go is a huge security risk - adam reeve
http://adamreeve.tumblr.com/post/147120922009/pokemon-go-is-a-huge-security-risk

Pokémon Go is automatically granting permission to read your Gmail | The Verge
http://www.theverge.com/2016/7/11/12150468/pokemon-go-privacy-full-account-access-permission


この問題を発見したITアーキテクトのAdam Reeve氏によれば、Pokémon Goではプレイ開始時にpokemon.comアカウントかGoogleアカウントのどちらかと連携する必要があるのですが、記事作成時点ではpokemon.comの新規アカウント登録ができない状態とのこと。そのため、pokemon.comアカウントを持っていない人がPokémon Goをプレイするには、必然的にGoogleアカウントと紐付ける必要があります。

Maintenance | The Official Pokémon Website | Pokemon.com
https://club.pokemon.com/us/pokemon-trainer-club/sign-up/


Reeve氏がiOS版のPokémon Goを起動してGoogleアカウントとの連携に進むと、ログイン画面にリダイレクトされたそうなのですが、アカウントの連携を許可する画面では、「アプリがどのようなアカウント情報にアクセスするか」という注意書きが表示されなかったとのこと。Reeve氏がふと気になってGoogleアカウントの設定を見てみると、「Pokemon GoはあなたのGoogleアカウントのフルアカウントアクセスを付与されています」と以下のように表示されていたそうです。


Googleのサポートページによると、「アプリがフルアカウントアクセスを付与されている場合、Googleアカウントのほぼすべての情報を表示・変更できる」となっています。つまり、「Gmailのメールを読む」「Gmailでメールを送信する」「Googleドライブのファイルを閲覧・編集・削除する」「検索履歴や地図のナビゲーション履歴を閲覧する」「Googleフォトに保存されている非公開の写真にアクセスする」といったありとあらゆる権限が、自動的にPokémon Goアプリに許可されているということ。さらにGmailアドレスを他のアカウントの連絡用メールアドレスとして設定している場合、Pokémon Goと開発元のNiantic Labは、ユーザーが所持している他のアカウントにもアクセスできることになります。

Reeve氏はこの仕様に気付いた後、即座に自身のGoogleアカウント設定でPokémon Goのアクセス許可を取り消して、Pokémon Goのアプリ自体も削除してしまったそうです。Reeve氏は「NianticがPokémon Goを通じてユーザーの個人情報を収集しようとしているわけではないと思っているが、あまりにも不注意な仕様だ」と批判していて、Googleアカウントのアクセス許可設定については以下のページから変更可能だと説明しています。

個人情報とプライバシー設定
https://myaccount.google.com/intro/privacy?target=permissions#activity


なお、Android版のPokémon Goでは、iOS版のようにGogleアカウントのフルアカウントアクセスが自動的に承認されるわけではない模様。また、iOS版でも全てのユーザーに同じ現象が起こっているわけではなく、なぜこのような事態が発生しているのかという理由は不明とのこと。


ニュースサイトのTech Insiderは、「Pokémon Goにまもなくポケモン交換機能が搭載されるので、そのためにこういった権限が必要なのかもしれない」と推測しています。

Pokémon Go will get Pokémon trading - Tech Insider
http://www.techinsider.io/pokmon-go-will-get-pokmon-trading-2016-7


なお、Pokémon Goの開発元であるNianticは、「Pokémon GoのiOSアプリで、アカウント登録時に誤ってGoogleアカウントのフルアクセス権限を要求してしまう問題を発見しました。Pokémon Goでは、GoogleのユーザーIDとメールアドレスといった基本的な情報のみ使用していて、ユーザーのGoogleアカウントの情報を収集することはありません。現在、この問題を修正しています。また、Google側も、Pokémon GoやNianticがユーザーの個人情報にアクセスしていないことを確認しています」とコメントしています。

iOS version of Pokémon Go is a possible privacy trainwreck [Updated] | Ars Technica
http://arstechnica.com/gaming/2016/07/pokemon-go-on-ios-gets-full-access-to-your-google-account/

・関連記事
「ポケモンGO(Pokémon GO)」のピカチュウのゲット方法・モンスターボールの投げ方・ジム戦などのテクニックまとめ - GIGAZINE

「ポケモンGO(Pokémon GO)」で自分の近くに出現するポケモンの場所&時間がリアルタイムでわかる「PokéVision」 - GIGAZINE

ポケモンGOのポケモンを日本語&常時GPS追跡でiPhone・Androidで探せる「P-GO SEARCH」 - GIGAZINE

ポケモンGOのポケモンが近くにいるかどうかリアルタイム表示してくれる地図アプリ「PokRadar」 - GIGAZINE

ポケモンGOの「CP(強さ)」から攻撃・防御・スタミナの個体値を判別できる「Pokemon GO Tools」&「Pokemon Rater」 - GIGAZINE

「ポケモンGO(Pokémon GO)」がついに日本に登場、世界を巻き込むビッグウェーブにのるしかないのでサクッとプレイしてみました - GIGAZINE

ポケモンGOを通じて近隣で出会いを求めている人を探せる「PokeMatch」 - GIGAZINE

「ポケモンGO(Pokémon GO)」のサーバーが落ちているかどうかがわかるサイトまとめ - GIGAZINE

「ポケモンGO」効果で外付けモバイルバッテリーが世界的に爆売れの様相 - GIGAZINE

ポケモンGO(Pokémon GO)で正確にモンスターボールを当てられるスマホケース「Pokeball Aimer」 - GIGAZINE

「ポケモンGO(Pokémon GO)」のチームリーダー詳細がついに発表、今後は新ポケモンが追加されそうな発表も - GIGAZINE

「ポケモンGO(Pokémon GO)」プレイのお供にぴったりなモンスターボール型モバイルバッテリーを自作 - GIGAZINE

「ポケモンGO(Pokémon GO)」で交通事故や救急隊出動など、日本でも起こるかもしれないPokémon GOが原因の奇怪な事件まとめ - GIGAZINE

「ポケモンGO(Pokémon GO)」でどこにポケモンが出るのかという地図が複数登場、利用は不正行為になる可能性も - GIGAZINE

「ポケモンGO(Pokémon GO)」は1分間に5000回ダウンロードされている - GIGAZINE

「ポケモンGO(Pokémon GO)」のレベルアップに対するユーザーの不満が噴出、課金なしでは難しいという声も - GIGAZINE

「ポケモンGO(Pokémon GO)のサーバーをダウンさせる」とハッカー集団が予告、丸1日Pokemon GOがプレイできない可能性も - GIGAZINE

「ポケモンGO(Pokémon GO)では卵をふ化させるために10km歩く必要がある」問題を回避するべく編み出されたチート方法 - GIGAZINE

「ポケモンGO(Pokémon GO)」ではポケショップやジムなどゲーム内で重要な役割を担う場所をスポンサーに販売予定 - GIGAZINE

人間が歩けない場所にいるポケモンをゲットできるポケモンGO(Pokémon GO)専用ドローン「Pokédrone」 - GIGAZINE

一緒にポケモンGO(Pokémon GO)をプレイするポケモントレーナーを探してくれるマッチングサイト「PokéDates」 - GIGAZINE

大人気の「ポケモンGO(Pokémon GO)」が月額有料制になるというスパムメールが出回る - GIGAZINE

in モバイル,   ソフトウェア,   ゲーム,   セキュリティ, Posted by darkhorse_log