Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Google PlayにアカウントIDを収集するアプリ - 目的不明、30種類以上

Android端末上に登録されたアカウントのIDを収集する日本語アプリが、「Google Play」で複数確認された。アカウントIDを収集する目的はわかっていないが、悪用される可能性もあるとして、マカフィーでは注意を呼びかけている。

同社が確認した不審アプリは、占いアプリとして公開されている「極占」と出会い系アプリ「bB」。起動するとAndroid端末に登録されているアカウントのIDを取得し、外部サーバへ送信する。12月17日時点でいずれもすでに1〜5万回のダウンロードが行われていた。

同社では、これら以外にもアカウントIDやIMEI、IMSIを外部へ送信するアプリを30種以上を確認。開発者名は異なるが、データ送信のために実装されているコードや送信先が共通で、同じ開発者か関連するグループが作成していると分析。ダウンロード回数は、あわせて数百万回にのぼるという。

収集されたIDの使用目的は不明。不正行為なども現時点では確認されていないという。しかしながら、GoogleのアカウントIDは、Gmailアドレスとして利用されており、業者に売却されたり、スパムや詐欺メールが送信される可能性がある。

またAndroid端末にはFacebookやTwitterをはじめ、SNSやクラウドサービスなど、Google以外のアカウント情報を登録している場合もあり、これらIDが取得されるおそれもある。推測されやすいパスワードを設定している場合は、アカウントに不正アクセスされるおそれもあるほか、SNSなどでは、ID情報をもとに個人情報が検索される可能性もある。

こうした情報へアクセスする権限の許可を求める場合、機能を実現するための正当な要求なのか、情報収集を目的とした要求なのか判断は難しい。同社は、パスワードが盗まれるわけではないものの、セキュリティやプライバシーに対するリスクがあるとして、インストール時に権限が要求された場合は、注意するよう呼びかけている。

(Security NEXT - 2013/12/17 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

MS、ブラウザ「Edge」最新版を公開 - 独自5件含む24件の脆弱性を解消
最新Androidのプライバシー機能など解説 - JSSECオンラインセミナー
モバイルアプリ向けに不正検知SDKを提供 - セキュアブレイン
2Qの「JVN iPedia」登録は2735件 - 前期の1.6倍に
IIJmioの一部アプリで他ユーザー情報を誤表示
トレンドマイクロの「パスワードマネージャー」権限昇格の脆弱性
ワクチン予約受付を装うスミッシング、「不在通知」のグループ関与か
「Firefox 89」をリリース、9件の脆弱性を修正 - iOS版も更新
「Firefox 86」が公開、Cookie対策強化 - 脆弱性12件を修正
新型コロナのワクチン予約に見せかけた悪意あるSMSに注意