個人電話番号漏洩バグ

https://techcrunch.com/2025/06/09/google-fixes-bug-that-could-reveal-users-private-phone-numbers/

個人電話番号漏洩バグ

1. 主なテーマ
   Googleアカウントのセキュリティ脆弱性: Googleのアカウント復元機能におけるバグが、ユーザーのプライベートな復元用電話番号を悪意のある第三者に露呈させる可能性があった。
   個人情報漏洩のリスク: 漏洩した電話番号は、SIMスワップ攻撃などの標的型攻撃に悪用され、ユーザーの他のアカウントが乗っ取られるリスクがある。
   脆弱性報奨金プログラムの有効性: 独立したセキュリティ研究者による発見と報告が、一般公開前に問題を修正し、ユーザーを保護する上で重要な役割を果たした。
2. 最も重要なアイデア／事実と引用
   a. 発見されたバグとその悪用方法
   バグの内容: 「セキュリティ研究者が、Googleアカウントのほぼすべてのプライベートな復元用電話番号を、所有者に警告することなく明らかにするために悪用される可能性のあるバグを発見した。」
   攻撃手法: 独立した研究者「brutecat」によって発見されたこのエクスプロイトは、「複数の個別のプロセスが連携して動作する『攻撃チェーン』」に依存していた。これには、標的アカウントのフル表示名の漏洩、Googleが実装したアンチボット保護メカニズムのバイパスが含まれる。
   ブルートフォース攻撃: 「レート制限をバイパスすることで、最終的に研究者は短時間でGoogleアカウントの電話番号の考えられるすべての組み合わせを循環させ、正しい数字にたどり着くことができた。」
   攻撃の時間: 「スクリプトで攻撃チェーンを自動化することで、研究者はGoogleアカウント所有者の復元用電話番号を電話番号の長さにもよるが、20分以内にブルートフォースできると述べた。」TechCrunchの検証でも、提供されたメールアドレスから電話番号が特定され、「bingo :)」と確認された。
   b. 個人情報漏洩による潜在的なリスク
   標的型攻撃への露出: 「プライベートな復元用電話番号を明らかにすることは、匿名であろうGoogleアカウントでさえも、アカウント乗っ取りなどの標的型攻撃にさらす可能性がある。」
   SIMスワップ攻撃: 「誰かのGoogleアカウントに関連付けられたプライベートな電話番号を特定することで、熟練したハッカーがSIMスワップ攻撃を通じてその電話番号を乗っ取ることを容易にする可能性がある。」
   アカウント乗っ取り: 「その電話番号を制御すれば、攻撃者はその電話番号に送信されるパスワードリセットコードを生成することで、その電話番号に関連付けられたすべてのアカウントのパスワードをリセットできる。」
   c. Googleの対応と脆弱性報奨金プログラムの重要性
   Googleによる修正: 「Googleは、研究者が4月に会社に警告した後、バグを修正したことをTechCrunchに確認した。」
   Googleのコメント: Googleの広報担当キンバリー・サムラ氏は、「この問題は修正されました。当社は脆弱性報奨金プログラムを通じてセキュリティ研究コミュニティと協力することの重要性を常に強調しており、この問題を指摘してくれた研究者に感謝したい」と述べた。
   ユーザー保護への貢献: 「このような研究者の提出は、ユーザーの安全のために問題を迅速に発見し、修正できる多くの方法の1つです。」
   実際の悪用は未確認: サムラ氏は、「現時点では、この問題に対する確認された直接的な悪用へのリンクは確認されていません」と述べている。
   報奨金: Brutecatは、この発見に対してGoogleから「5,000ドル」のバグ報奨金を受け取ったと述べた。
3. 結論
   今回の事例は、Googleのような大手テクノロジー企業でさえ、ユーザーのプライバシーとセキュリティに影響を与える重大な脆弱性を抱える可能性があることを示している。同時に、独立したセキュリティ研究者による献身的な努力と、企業が提供する脆弱性報奨金プログラムが、これらの問題を一般公開前に発見し、修正するために不可欠であることを強調している。これにより、広範なユーザー基盤が潜在的なサイバー攻撃から保護される。