Facebook・Googleログインの落とし穴――SNSログイン機能に潜む3つのセキュリティリスク

「Facebookでログイン」「Googleでログイン」。多くのWebサイトは、ユーザーが手軽にサインインできるという利便性を利用して、訪問者を増やすと同時に、個人情報という大きなパイを分け合おうとしています。しかし、その利便性にはどのような代償が伴うのでしょうか?セキュリティ研究者は最近、数千規模のサイトに搭載されている「Facebookでログイン」機能に脆弱性を発見しました。同様に、Google Appsのドメイン名インターフェースのバグにより、数十万人分の個人情報が公開されてしまう事態も発生しています。

これらは、テック業界で最も名前の知られた二大企業が直面している深刻な問題です。脆弱性は適切な対応のもと修正されるでしょうが、一般ユーザーへの十分な啓発が行われていると言えるでしょうか?ここでは各ケースを詳しく見ながら、あなたのWebセキュリティにとって何を意味するのかを解説します。

ケース1:「Facebookでログイン」の脆弱性

この脆弱性は、Facebook本体のパスワードこそ漏洩しないものの、あなたのアカウント情報や、Bit.ly、Mashable、Vimeo、About.meなど、Facebookアカウントで登録したサードパーティ製アプリケーションの情報を露出させてしまう可能性があります。

この重大な欠陥を発見したのは、セキュリティ企業Sakurityの研究者Egor Homakov氏です。ハッカーはFacebookのコードにおける見落としを悪用できます。問題の根本原因は、「Facebookログイン」「Facebookログアウト」「サードパーティアカウント連携」の3つのプロセスにおいて、クロスサイトリクエストフォージェリ(CSRF)への適切な対策が講じられていなかったことにあります。この脆弱性により、許可なく第三者が認証済みアカウント内で任意の操作を実行できてしまうのです。これがどれほど深刻な問題か、お分かりいただけるでしょう。

ところがFacebookは、多数のサイトとの互換性が損なわれることを懸念してか、この問題に対してほとんど対応を行ってきませんでした。3つ目の問題は各サイト運営者が自身で修正可能ですが、最初の2つはFacebook自身しか解決できません。

Facebookの対応の遅さをさらに浮き彫りにする出来事もあります。Homakov氏は、このバグを悪用する「RECONNECT」というハッカーツールを公開しました。このツールを使うと、ハッカーはカスタムURLを作成・挿入し、サードパーティサイト上のアカウントを乗っ取ることができます。ツールの公開は無責任だという声もあるかもしれませんが、真の責任は1年以上前に指摘されていた脆弱性を修正しなかったFacebook側にあるのは明らかです。

それまでの間は、常に警戒を怠らないことが重要です。怪しげなページからの信頼できないリンクをクリックしたり、知らない人からの友達リクエストを受け入れたりしないようにしましょう。Facebookは以下のような声明も発表しています。

「これは十分に理解されている挙動です。Loginを使用するサイト開発者は、OAuth Login用に当社が提供している'state'パラメータを使用し、ベストプラクティスに従うことで、この問題を防ぐことができます。」

心強い限りですね。

ケース1a:「誰に友達解除された?」系サービスにご注意

他にも、サードパーティのOAuthログイン認証情報の窃取を狙った「サービス」の被害に遭うFacebookユーザーが後を絶ちません。OAuthログインは本来、ユーザーがサードパーティのアプリケーションやサービスにパスワードを直接入力することを防ぎ、セキュリティの壁を維持するために設計された仕組みです。

UnfriendAlertのようなサービスは、「自分のオンライン上の友人関係を誰が断ち切ったのか」を知りたいという心理につけ込み、ログイン認証情報の入力を求めます。そして入力された情報は、悪意あるサイトyougotunfriended.comへと送信されてしまうのです。UnfriendAlertは、意図的にアドウェアやマルウェアをインストールする「潜在的不望プログラム(PUP)」に分類されています。

残念ながら、Facebookもこうしたサービスを完全に阻止することはできません。だからこそ、ユーザー一人ひとりが警戒を続け、「良すぎる話には乗らない」ことが何よりも大切です。

ケース2:Google Appsのバグによる個人情報漏洩

2つ目の脆弱性は、Google Appsのドメイン名登録処理に関する不具合から発生しました。Webサイトを登録したことがある方ならご存じの通り、ドメイン登録では氏名、住所、メールアドレスなどの重要な個人情報の提供が必須となります。登録後は、時間さえあれば誰でもWhois検索でこの公開情報を調べることができます。ただし、登録時に個人情報を非公開にするよう申請しておけば別です。この機能は通常有料で、完全に任意の選択となっています。

ところが、eNom経由でドメインを登録し、かつWhois情報の非公開を申請していた人々のデータが、約18ヶ月にわたって少しずつ漏洩していたことが判明しました。2月19日に発見され、5日後に修正されたこのソフトウェアの欠陥は、ドメイン更新のたびに個人情報を漏洩させており、個人ユーザーをさまざまなデータ保護上の問題に晒す可能性がありました。

28万2000件分の一括レコード流出にアクセスするのは容易ではありません。Webを閲覧していて偶然出くわすようなものではないからです。それでも、これはGoogleの実績に残る消えない汚点であり、インターネットの広範囲に広がった情報を消し去ることもできません。仮に被害者の5%、10%、15%だけでも、標的を絞った悪質な「スピアフィッシング」メールを受け取り始めたら、この問題はGoogleとeNom双方にとって重大なデータ問題へと発展しかねません。

ケース3:なりすまし攻撃「Spoofed Me」

3つ目は、多数の人気サイトが採用しているサードパーティサインインシステムを悪用する、複数ネットワークにまたがる脆弱性です。ハッカーは、被害者のメールアドレス(対象の脆弱なサービスに既に登録されているもの)を使ってリクエストを送信します。その後、偽アカウントでユーザーの詳細情報になりすまし、メール確認済みの状態でソーシャルアカウントへのアクセスを得ることができてしまうのです。

この攻撃が成立するためには、対象のサードパーティサイトが、別のアイデンティティプロバイダーによるソーシャルログイン、またはローカルの個人サイト認証情報によるログインを、少なくとも1つサポートしている必要があります。Facebookのハッキング手法と似ていますが、こちらはAmazon、LinkedIn、MYDIGIPASSなど、より幅広いサイトで確認されており、悪意のある目的で機密性の高いサービスに不正ログインされる危険性があります。

不具合ではなく、仕様だった?

この攻撃手法に関係したサイトの中には、致命的な脆弱性を見逃していたわけではなく、システム自体に組み込まれていたケースもあります。一例がTwitterです。素のTwitterは、アカウントが1つなら十分に優秀です。しかし、異なる業界向け、異なるオーディエンス向けに複数のアカウントを管理するとなると、HootsuiteやTweetDeckのようなアプリケーションが必要になります。

これらのアプリケーションは、ソーシャルネットワークへの直接アクセスが必要なため、Twitterときわめて類似したログイン手順で通信し、ユーザーには同じ権限の付与が求められます。サードパーティアプリはソーシャルメディアの世界に多大な価値をもたらす一方で、ユーザーとプロバイダー双方にとって明らかなセキュリティ上の不便さを生み出します。多くのソーシャルネットワーク事業者にとって、これは難しい舵取りを強いられる状況なのです。

まとめ

今回は、3つ(と少し)のソーシャルサインイン脆弱性を紹介しました。今後はこれらを識別し、できれば回避できるようになるはずです。ソーシャルサインインを狙ったハッキングは一朝一夕になくなることはありません。ハッカーにとっての見返りがあまりにも大きいうえ、Facebookのような巨大テック企業がユーザーの最善の利益のために行動することを拒めば、それはデータプライバシーという玄関マットの上で彼らに足を拭わせるようなものであり、事実上ドアを開けっ放しにしているのと変わりません。

あなたのソーシャルアカウントはサードパーティによって侵害されたことはありますか?何が起きましたか?どうやって復旧しましたか?ぜひコメントで教えてください。