Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Google PlayにアカウントIDを収集するアプリ - 目的不明、30種類以上

Android端末上に登録されたアカウントのIDを収集する日本語アプリが、「Google Play」で複数確認された。アカウントIDを収集する目的はわかっていないが、悪用される可能性もあるとして、マカフィーでは注意を呼びかけている。

同社が確認した不審アプリは、占いアプリとして公開されている「極占」と出会い系アプリ「bB」。起動するとAndroid端末に登録されているアカウントのIDを取得し、外部サーバへ送信する。12月17日時点でいずれもすでに1〜5万回のダウンロードが行われていた。

同社では、これら以外にもアカウントIDやIMEI、IMSIを外部へ送信するアプリを30種以上を確認。開発者名は異なるが、データ送信のために実装されているコードや送信先が共通で、同じ開発者か関連するグループが作成していると分析。ダウンロード回数は、あわせて数百万回にのぼるという。

収集されたIDの使用目的は不明。不正行為なども現時点では確認されていないという。しかしながら、GoogleのアカウントIDは、Gmailアドレスとして利用されており、業者に売却されたり、スパムや詐欺メールが送信される可能性がある。

またAndroid端末にはFacebookやTwitterをはじめ、SNSやクラウドサービスなど、Google以外のアカウント情報を登録している場合もあり、これらIDが取得されるおそれもある。推測されやすいパスワードを設定している場合は、アカウントに不正アクセスされるおそれもあるほか、SNSなどでは、ID情報をもとに個人情報が検索される可能性もある。

こうした情報へアクセスする権限の許可を求める場合、機能を実現するための正当な要求なのか、情報収集を目的とした要求なのか判断は難しい。同社は、パスワードが盗まれるわけではないものの、セキュリティやプライバシーに対するリスクがあるとして、インストール時に権限が要求された場合は、注意するよう呼びかけている。

(Security NEXT - 2013/12/17 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

コンシューマー向けパスワード管理製品を発売 - カスペ
クラウドで管理するソフトウェアVPNサービス - DNP
スマートデバイス向けEDRをリリース - サイバーリーズン
国内モバイル端末狙う攻撃が活発化 - 背景に「Roaming Mantis」
PW管理製品に新製品、流出状況のチェック機能 - エフセキュア
MS、6月のセキュリティ更新を公開 - 脆弱性129件に対応
サイボウズの複数Androidアプリに脆弱性 - 修正版がリリース
複数の人気スマホ、地域による脆弱性格差が存在
Samsung製Android端末に深刻な脆弱性 - MMSで悪用可能
不正送金マルウェア - 企業狙いへシフトか