IDEAS + INNOVATIONS

WIRED VOL.12

WIRED VOL.12

WIRED VOL 12
 
NEWS

Gmailに、ユーザーのアドレスを収集できるバグ

Gmailのアドレスを、短期間のあいだに数百万単位で抽出できるバグが発見された。すでに修正ずみだが、数年間にわたって悪用されていた可能性もあるという。

 
 
このエントリーをはてなブックマークに追加

TEXT BY ANDY GREENBERG
IMAGE BY WIRED
TRANSLATION BY MIHO AMANO/GALILEO

WIRED NEWS(US)

グーグルの「Gmail」に、短期間で数百万単位のアドレスを抽出できるバグが発見された。

このバグを見つけたのは、イスラエルのセキュリティ企業Trustwave社のために侵入テストを行っているオーレン・ハフィフだ。バグはすでに修正されたが、数百万単位のGmailアドレスを、わずか数日から数週間のうちに抽出できるもので、実際に使われていた可能性は否定しきれないという。

※参考記事:Gmailで送受信される内容はすべて分析されます:グーグル、利用規約に追加

パスワードが流出するバグではないので、アカウントに簡単にアクセスされるわけではないが、ユーザーはスパムやフィッシング、あるいはパスワード推測攻撃に脆弱になっていたと考えられる。

今回のバグは、Gmailのあまり知られていないアカウント共有機能が関係していた。ユーザーが自分のアカウントへのアクセス権を、他のユーザーに「委任」できるという機能だ(以下の動画)。

ハフィフ氏は2013年11月、他のユーザーに委任されたアカウントにアクセスを拒否されたときに表示されるウェブページのURLを操作できることに気づいた。そのURLの文字をひとつ変更したところ、そのページには、アクセスを拒否されたはずのアドレスが表示された。この文字変更を「DirBuster」というソフトウェアを使用して自動化することで、ハフィフ氏はおよそ2時間で37,000のGmailアドレスを入手できたという。

ハッカーならこのバグを使用して、グーグルを自社の電子メールのホストに使用しているすべての企業のアドレスを入手できただろう、とハフィフ氏は述べている。そうした企業には、もちろんグーグル自身も含まれる。

次のページの動画は、このハッキングがどのように行われるかを説明している。

 
 
このエントリーをはてなブックマークに追加
 
LATEST NEWS

ARCHIVE

 
SHARE A COMMENT

コメントをシェアしよう

 
WIRED Vol.12 Gallery Interviewbanner

BACK TO TOP