LINEで意図に反する大量の「グループ招待」「友だち追加」 - バグ検証から拡大か

同社によると、今回悪用された脆弱性は「CLOVA Assistant」における一部APIの不具合に存在した。迷惑行為者があらかじめ収集していたLINEの内部識別子を使用し、「友だち」への登録や、「グループ」への招待などを行った可能性が高い。

今回利用された脆弱性は、10月15日に同社報奨金プログラムに対して報告が寄せられていたという。

同脆弱性の報告にあたっては、報告者が管理しないアカウントに対しても複数回の検証行為が行われていた。

同報告者が、第三者へ直接実証コードを共有したり、教唆などは行っていないが、検証の過程で再現方法を第三者が発見し、その後11月2日に発生した大規模な悪用につながった可能性があると同社では見ている。

同社は、原因となったAPIの脆弱性を修正し、自動登録を行っていたボットを削除した。大量のグループ招待を受けた利用者については、グループ招待のキャンセル処理を実施。ただし、グループへ参加済みの場合は利用者が退会処理を行う必要がある。

（Security NEXT - 2020/11/25 ）ツイート