Facebookの2要素認証(2FA)で不具合?返信メッセージがプロフィールに投稿される騒動

近年、Facebookは度重なるトラブルに見舞われています。今回の話題の中心となっているのは、同社が提供する二要素認証(2FA:Two-Factor Authentication)機能です。本来、2FAはアカウントへの不正ログインを防ぐための追加的なセキュリティ層として設計されているはずのものでした。ところが、ユーザーの同意がないまま自動返信がFacebookのプロフィールに投稿されてしまうという奇妙な事態が発生したのです。

2FA用の電話番号から届く通知

この問題に真っ先に気づいたのは、ベイエリア在住のソフトウェアエンジニアであるGabriel Lewis氏です。彼が発見したのは、二要素認証コードの送信に使われた電話番号と、友人の投稿に関する通知を送ってきた番号が同一だったという点です。

さらに驚くべきことに、「連絡しないで」「やめてください」といった内容でこれらのメッセージに返信すると、その返信がそのままユーザー自身のFacebookプロフィールページに公開されてしまいました。

Twitterも同じ問題を抱えていた

調査の結果、2FAを利用しているユーザーが、TwitterとFacebookの両方からスパム的な通知を受けていたことが確認されました。両ソーシャルメディアプラットフォームとも、ユーザーの電話番号をスパム通知の送信に利用していたのです。Lewis氏は、自身がモバイル通知を有効にした覚えはないと証言しています。

専門家からの厳しい批判

テクノロジー評論家であり社会学者でもあるZeynep Tufekci氏は、ツイートの中で、ユーザーエンゲージメントを不正な手段で獲得しようとするFacebookの手法を痛烈に批判しました。

過去にもあった同様の事例

実は、これがFacebookによる初めてのスパム行為ではありません。以前にも、ユーザーがテキストメッセージ通知をオプトインしていないにもかかわらず、誕生日のリマインダーを送信していたことが報じられています。

米国の「電話消費者保護法(TCPA:Telephone Consumer Protection Act)」では、ユーザーが明示的に同意していない限り、企業がその電話番号を使って通知やSMSを送信することは認められていません。こうした無断の活動により、Facebookはこれまで幾度となく法的な問題に直面してきました。

不具合か、意図的な仕様か

今回の一件が単なるシステムのバグなのか、それともFacebookが意図的に行ったものなのかは、現時点では明らかになっていません。もし後者が事実で、Facebookが2FAを利用してユーザーを「罠」にかけていたのだとすれば、同社は大量の訴訟に直面する可能性があります。

あわせて読みたい: Facebookのフラッシュバック(思い出)をフィルタリングして、悲しい記憶を表示させないようにする方法

企業側はまだ、自動通知がバグだったのか意図的なものだったのかについて明確な説明をしていません。現時点でFacebookは「この件について検討中」としており、二要素認証を利用したいユーザーに対しては、携帯電話番号を登録する代わりに6桁のコードを選択するよう案内しています。