50億以上のインストール数を誇るGoogle（グーグル）の名を冠したAndroidアプリに、最近まで攻撃者が被害者のデバイスから個人情報をこっそり盗み出すことができる脆弱性があったことが明らかになった。
モバイルセキュリティを専門とするスタートアップOversecuredの創業者であるSergey Toshin（セルゲイ・トーシン）氏は、ブログ記事の中で、この脆弱性は、Googleアプリがアプリ自体にバンドルされていないコードに依存していることと関係があると述べている。Googleアプリを含む多くのAndroidアプリは、Android端末にすでにインストールされているコードライブラリに依存することで、ダウンロードサイズや実行に必要なストレージ容量を削減している。
しかし、Googleアプリのコードにあった欠陥のため、正規のコードライブラリではなく、同じ端末上の悪意のあるアプリからコードライブラリを引き出すように騙される可能性があったという。すると悪意のあるアプリがGoogleアプリの権限を継承し、ユーザーのデータにほぼ完全にアクセスできるようになっていた。このアクセス権には、ユーザーのGoogleアカウント、検索履歴、メール、テキストメッセージ、連絡先、通話履歴へのアクセスの他、マイクやカメラの起動、ユーザーの位置情報へのアクセスなどが含まれる。
攻撃が機能するためには悪意のあるアプリを一度起動する必要がある、とトーシン氏は述べているが、この攻撃は被害者の知識や同意なしに行われるという。悪意のあるアプリを削除しても、Googleアプリから悪意のあるコンポーネントを取り除くことはできないとのこと。
Googleの広報担当者はTechCrunchに対し、同社は2021年5月にこの脆弱性を修正しており、この欠陥が攻撃者に悪用されたという証拠はないと述べている。Androidに内蔵されているマルウェアスキャナー「Google Play Protect」は、悪意のあるアプリのインストールを阻止するためのものだ。しかし、どんなセキュリティ機能も完璧ではなく、これまでにも悪意のあるアプリがその網をすり抜けたことがあった。
トーシン氏によると、今回のGoogleアプリの脆弱性は、2021年初めに同社がTikTok（ティックトック）で発見した別のバグと類似しているという。そちらのバグは、悪用されると攻撃者がTikTokユーザーのセッショントークンを盗み、そのアカウントを支配することが可能になるというものだった。
OversecuredはAndroidのGoogle Playアプリや、最近ではSamsung（サムスン）のモバイル端末にプリインストールされているアプリなど、他にもいくつか同様の脆弱性を発見している。
関連記事
・TikTokがアカウント乗っ取りにつながるAndroidアプリのセキュリティバグを修復
・Androidのセキュリティバグで悪質なアプリがユーザーの個人情報を吸い取っている可能性
・サムスンのプリインストール済み純正アプリに7つのセキュリティ上の欠陥
カテゴリー：セキュリティ
タグ：Android、アプリ、Google、バグ
画像クレジット：Nicolas Economou / Getty Images
［原文へ］
（文：Zack Whittaker、翻訳：Aya Nakazato）
