2016年07月12日 13時00分ゲーム

iOS版ポケモンGO(Pokémon GO)がGmail・Googleドライブ・検索履歴・非公開写真の閲覧権限を自動的に持ってしまうセキュリティリスクが指摘される

実際の街中を歩きながらポケモンを捕まえたりプレイヤー同士でバトルしたりできるゲーム「Pokémon Go」では、アカウント登録時にpokemon.comアカウントかGmailアカウントのどちらかを連携する必要があります。iOS版のPokémon Goでアカウント登録時にGoogleアカウントとの連携を選択すると、アプリ側にGmailの閲覧・送信や、Googleドライブ内のファイルの閲覧・編集・削除、Googleの検索履歴やGoogleマップのナビ履歴の閲覧、Googleフォトに保存している非公開写真の閲覧など、あらゆる情報へのアクセス権限が自動的に承認されてしまうことが判明しています。

Pokemon Go is a huge security risk - adam reeve
http://adamreeve.tumblr.com/post/147120922009/pokemon-go-is-a-huge-security-risk

Pokémon Go is automatically granting permission to read your Gmail | The Verge
http://www.theverge.com/2016/7/11/12150468/pokemon-go-privacy-full-account-access-permission

この問題を発見したITアーキテクトのAdam Reeve氏によれば、Pokémon Goではプレイ開始時にpokemon.comアカウントかGoogleアカウントのどちらかと連携する必要があるのですが、記事作成時点ではpokemon.comの新規アカウント登録ができない状態とのこと。そのため、pokemon.comアカウントを持っていない人がPokémon Goをプレイするには、必然的にGoogleアカウントと紐付ける必要があります。

Maintenance | The Official Pokémon Website | Pokemon.com
https://club.pokemon.com/us/pokemon-trainer-club/sign-up/

Reeve氏がiOS版のPokémon Goを起動してGoogleアカウントとの連携に進むと、ログイン画面にリダイレクトされたそうなのですが、アカウントの連携を許可する画面では、「アプリがどのようなアカウント情報にアクセスするか」という注意書きが表示されなかったとのこと。Reeve氏がふと気になってGoogleアカウントの設定を見てみると、「Pokemon GoはあなたのGoogleアカウントのフルアカウントアクセスを付与されています」と以下のように表示されていたそうです。

!!! Pokemon Go doesn't just use Google for sign-in, they have access to your entire account (h/t @ConwayAnderson) pic.twitter.com/oWG15NfjWC
— SecuriTay (@SwiftOnSecurity)

Googleのサポートページによると、「アプリがフルアカウントアクセスを付与されている場合、Googleアカウントのほぼすべての情報を表示・変更できる」となっています。つまり、「Gmailのメールを読む」「Gmailでメールを送信する」「Googleドライブのファイルを閲覧・編集・削除する」「検索履歴や地図のナビゲーション履歴を閲覧する」「Googleフォトに保存されている非公開の写真にアクセスする」といったありとあらゆる権限が、自動的にPokémon Goアプリに許可されているということ。さらにGmailアドレスを他のアカウントの連絡用メールアドレスとして設定している場合、Pokémon Goと開発元のNiantic Labは、ユーザーが所持している他のアカウントにもアクセスできることになります。

Reeve氏はこの仕様に気付いた後、即座に自身のGoogleアカウント設定でPokémon Goのアクセス許可を取り消して、Pokémon Goのアプリ自体も削除してしまったそうです。Reeve氏は「NianticがPokémon Goを通じてユーザーの個人情報を収集しようとしているわけではないと思っているが、あまりにも不注意な仕様だ」と批判していて、Googleアカウントのアクセス許可設定については以下のページから変更可能だと説明しています。

個人情報とプライバシー設定
https://myaccount.google.com/intro/privacy?target=permissions#activity

なお、Android版のPokémon Goでは、iOS版のようにGogleアカウントのフルアカウントアクセスが自動的に承認されるわけではない模様。また、iOS版でも全てのユーザーに同じ現象が起こっているわけではなく、なぜこのような事態が発生しているのかという理由は不明とのこと。

android works fine without the app showing up in https://t.co/bAUUNAs8X7, iOS silently adds it as soon as you login again
— yan (@bcrypt)

ニュースサイトのTech Insiderは、「Pokémon Goにまもなくポケモン交換機能が搭載されるので、そのためにこういった権限が必要なのかもしれない」と推測しています。

Pokémon Go will get Pokémon trading - Tech Insider
http://www.techinsider.io/pokmon-go-will-get-pokmon-trading-2016-7

なお、Pokémon Goの開発元であるNianticは、「Pokémon GoのiOSアプリで、アカウント登録時に誤ってGoogleアカウントのフルアクセス権限を要求してしまう問題を発見しました。Pokémon Goでは、GoogleのユーザーIDとメールアドレスといった基本的な情報のみ使用していて、ユーザーのGoogleアカウントの情報を収集することはありません。現在、この問題を修正しています。また、Google側も、Pokémon GoやNianticがユーザーの個人情報にアクセスしていないことを確認しています」とコメントしています。

iOS version of Pokémon Go is a possible privacy trainwreck [Updated] | Ars Technica
http://arstechnica.com/gaming/2016/07/pokemon-go-on-ios-gets-full-access-to-your-google-account/