パスワードを忘れた? アカウント作成
12566884 story
情報漏洩

Google Appsを利用した友達リクエスト承認についてIPAが注意喚起 40

ストーリー by hylom
適当に許可するな 部門より

海外SNSの「友達リクエスト」に承認した結果、Googleの連絡先に登録してあるメールアドレス宛に自分名義で招待メールが送信される、という事件が急増しているという(IPA(情報処理推進機構)の発表)。

Google Appsを使って企業などのメールを運用している場合、これによって企業内の連絡先情報が利用されて自組織名義の招待メールが送信されることがあるという。このような連絡先情報をSNSが利用すること自体は正当な手続きを経たものであるが、その結果何が起こるかに気付かずにサービス連携の許可を出してしまう行為が問題だろう。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • Fliporaにやられた (スコア:3, 参考になる)

    by w1allen (21025) on 2015年10月31日 8時10分 (#2909616)

    私も最近、FliporaというSNSサイトを通じて、友人から招待状が来たので、うっかり承認してしまいました。
    その後、私の友人に勝手に招待状を送られ、苦情が出てお詫びする事態になりました。
    一種のウイルス感染だなと思いました。

  • 「Google Apps for Work」を使っていないのでわからないのですが、Google Apps の管理者による設定でユーザーによる「サービス連携」を制限できないのでしょうか?

    もし、それができないのならば、グループウェアとしての要件を満たしていないと思うのですが。

  • by Anonymous Coward on 2015年10月31日 8時03分 (#2909615)

    AさんがBさんからのSNSリクエストを受け入れると、BさんがAさんの連絡先情報を用いて、Aさん名義でSNSリクエストを送ることができる。

    意図してなかったけど、そういう使い方できるよね、の場合
     →実装の致命的な欠陥
    そういう使い方意図してました、の場合
     →サービス仕様設計の致命的な欠陥
    権限リクエスト読めばわかるでしょ、許可したユーザーが悪い、の場合
     →サービス提供者としての考え方の致命的な欠陥

    • IPAの記事をみる限り、Googleはきちんとサービス連携の権限の確認を求めているので

      権限リクエスト読めばわかるでしょ、許可したユーザーが悪い、の場合
       →サービス提供者としての考え方の致命的な欠陥

      でしょうね。
      もっともこれを単にGoogleが悪いとしてしまうと、多くのWebサービスが同様の致命的な欠陥を持っていることになるので、そういう単純なことでもないと思います。

      親コメント
      • by Anonymous Coward

        WEBサービス全般を一度まるごとリセットして、そうした致命的欠陥をなくした新しい仕様にすることも

        イノベーションなんでしょ?

        • by Anonymous Coward

          メールシステムをspamの心配がないものに刷新するくらい無理ゲー

    • by Anonymous Coward

      「BさんがAさんの連絡先情報を用いて」ではなく、形式としては「Aさんが(おせっかいなSNSとGoogleの機能を使って)Aさんの連絡先情報を用いて」です。
      スマホアプリのlineやfacebookでもよく話題になる機能です。

      サービス側は明示しているとは言いますが、最初からチェックが入っていて、実質オプトアウトな点が問題でしょう。

      • by Anonymous Coward

        最初からチェックが入っていた場合「ユーザが自らの意志で許可した」とは言えない、ってのは屁理屈でしょうかね?
        現状からすると屁理屈になるんだろうなぁ。

  • by Anonymous Coward on 2015年10月31日 9時14分 (#2909638)

    LINEなんて電話帳の情報使って送るし。

    • by Anonymous Coward

      インストール直後に問答無用だっけ。
      https://twitter.com/tukigi246/status/654322196559433728 [twitter.com]

      • by Anonymous Coward

        嘘はいかんな。初期設定でアドレス帳を送信しないようにできるぞ。
        あと、LINEだけでなくSkypeやfacebookも端末のアドレス帳送信するから、SNS系はどこも同じ。
        SNS系アプリはどれも危険という話なら納得するが。

        • by Anonymous Coward

          Androidはインストール時にアクセス権わたしちゃうから、送信するしないの前に情報は握られるんだよね。本当に送信してないのかもわからないし。
          iOSは個別に拒否できるから、その点は安心。
          Androidも6でやっと個別設定できるようにするけど、
          6にアップデートできるのはNexusくらいだし、買い換えるしかないんだよな。

          ちなみに自分はどんなアプリにも連絡先だけはアクセス権わたさない。

          • by Anonymous Coward

            電話帳アプリとかだったらどうするんだろうか

            • by Anonymous Coward

              自作するか、ソース付アプリ確認にしてビルドしてインストールすればいい。

          • by Anonymous Coward

            > Androidはインストール時にアクセス権わたしちゃうから、
            > 送信するしないの前に情報は握られるんだよね。本当に送信してないのかもわからないし。

            信用できない開発元のアプリを入れる時点で前提が間違ってる

            > iOSは個別に拒否できるから、その点は安心。

            信用できない開発元のアプリが連絡帳以外について絶対におとなしくしているというソースをどうぞ
            つーかさ、お前前提が歪みすぎててもう論理として成立してないよ

            > ちなみに自分はどんなアプリにも連絡先だけはアクセス権わたさない。

            そうですね、連絡先を使うのが妥当なアプリは絶対に使わないんですね

            でもオナニーは一人でやっててください。公開オナニーやられてもそんなもんただの犯罪ですよ。
            それも理解できませんか?

            • by Anonymous Coward

              元コメじゃないけど、君も大概かと。

              >> Androidはインストール時にアクセス権わたしちゃうから、
              >> 送信するしないの前に情報は握られるんだよね。本当に送信してないのかもわからないし。

              > 信用できない開発元のアプリを入れる時点で前提が間違ってる

              「だから入れない」かもしれないので入れることを前提にしているのが間違っている。
              続くのが「iOSなら安心」と言っているのだから、iOSでしかやらないという事なのかもしれないし。

              >> iOSは個別に拒否できるから、その点は安心。

              > 信用できない開発元のアプリが連絡帳以外について絶対におとなしくして

              • by Anonymous Coward

                そもそもスマホなんか使うなって結論

          • 本当に送信したら、ステータスバーに表示します。
            個別にも拒否できるから、その点は安心。

            ただしSHARP機です。

        • by Anonymous Coward

          初期バージョンのLINEは問答無用でアドレス帳送信してたよ。
          問題とされて確認が入るようになったけど。

        • by Anonymous Coward

          嘘はいかんな。初期設定でアドレス帳を送信しないようにできるぞ。

          初期設定の前の時点で電話帳を利用して友達登録をしています。

          • by Anonymous Coward

            じゃあ、なんで俺のLINEには友達がいないんだろう?

        • by Anonymous Coward

          ソフト更新したら、アドレス帳を送信しないように設定してても送られたこともあるんだろ
          あくまでも「バグ」らしいので修正されたみたいだけど
          一度、送られて、あとで送られないようにできてもね・・・

  • by Anonymous Coward on 2015年10月31日 10時13分 (#2909656)

    前もって規約に同意したのだから完全にユーザーの責任。

    ということなのかな。使ってないから分からないけど。

    • by Anonymous Coward

      法的にはそうなんだろうけど、なんだか悪意を感じるんだよね。

    • by Anonymous Coward

      むしろ規約に同意して使ってもらってるはずなのにあとから文句言われるGoogleのほうが被害者。

      • by Anonymous Coward

        こういうのがサービス提供者としての考え方の致命的な欠陥の見本か

        • by Anonymous Coward

          保険の約款とかも致命的な欠陥ということかい?

          • by Anonymous Coward

            ユーザーの責任だとホンキで思ってる?
            そんなの、社会的に合意が得られるかどうか考えてみるといい。
            誰もがコンピュータ犯罪に詳しいわけじゃないんだ。

    • by Anonymous Coward

      基本そうかもしれないが、ほかの法律に違反してたらだめだろ。該当する法律はわからんが・・w

      あとよくある
      この規約は、ユーザーの確認なしに変更される場合があり、ユーザーはそれを承認したものとします。
      みたいなのがよく書いてあるが、
      それで料金が1億倍とかになっても、同意したのだからユーザーの責任にはならなかったはず。
      同意した内容が、その規約から想像もできないのもだめ。

      規約にちゃんと悪意をもって使用しますってかいとけば問題ない。

  • by Anonymous Coward on 2015年10月31日 10時56分 (#2909668)

    > ■対策
    > ・事前の対策
    > 不用意にサービス連携を許可しない。また、組織の管理者は組織内に対して注意を促す。
    > ・事後の対策
    > 意図せず許可したサービス連携は削除する。

    全然有効な対策になってないような...
    まあ、漏れて拡散したアドレスを変更するってのもあるけどコストが高すぎるからなあ。

    ・事前の対策
     Google Appsの利用を中止する

    が抜本的対策かな(代替サービス何?)

    • by Anonymous Coward

      > 代替サービス何?

      同様の致命的欠陥がないものという条件だと、少なくともクラウドサービスでは存在しない気がする

      • by Anonymous Coward

        抜本は根本によるわけで、何を根本とするかで変わってくる。
        他サービスが利用できるAPIがある事が根本ととらえるなら、そういうAPIを持たないサービス。
        外部にアドレス帳があることが根本ととらえるなら、ローカルとかLDAPとか。
        もしくはウィルスとかマルウェアによる流出も考えてオンプレミスとか。
        #そしてサーバ/ブラウザ更新が困難となり……

      • by Anonymous Coward

        そもそも権限てんこ盛りのSNSアプリ等は絶対に使わない、というのは当然として・・・。

        キャリアや端末によっては独自の電話帳だったりするじゃん?
        あれを他アプリケーションから参照されないものに置き換えるだけで多少マシになる気がするんだよね。

        • by Anonymous Coward

          SHは既に機能あり。Fもプライバシーモードを使えばできそう。
          SOは01Eの頃はなかった。

      • by Anonymous Coward

        Office365は?

        • by Anonymous Coward

          対策になってないでしょw

typodupeerror

私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson

読み込み中...