Детали статьи

私わたしはこれまでグーグルのセキュリティに関かんする多数たすうの記事きじを執筆しっぴつしてきたが、なかでも世界せかい最大級さいだいきゅうの無料むりょうメールサービスであるGmailについては、脆弱性ぜいじゃくせいや脅威きょういキャンペーン、パスワード流出りゅうしゅつといったリスクに関かんする警告けいこくを中心ちゅうしんに取とり上あげてきた。加くわえて、攻撃こうげきリスクの低減策ていげんさくについても、グーグルが発信はっしんする情報じょうほうをもとに、具体的ぐたいてきなアドバイスを提供ていきょうしてきたのである。しかし最近さいきん、読者どくしゃより「ハッカーによってGmailアカウントを奪うばわれ、あらゆる手段しゅだんを講こうじても再さいログインが不可能ふかのうとなった」との報告ほうこくを受うけた。この“完全かんぜんなロックアウト”という状況じょうきょうは、極きわめて深刻しんこくな懸念けねん材料ざいりょうであると言いわざるを得えない。さらにグーグルからも「現在げんざい調査中ちょうさちゅうであり、近ちかい将来しょうらい、具体的ぐたいてきなガイダンスを発表はっぴょうする予定よていである」との回答かいとうがあったことから、懸念けねんは一層いっそう高たかまっている。
本稿ほんこうでは、アカウントへの再さいアクセスを根本的こんぽんてきに不可能ふかのうにする新手あらてのGmailハッキング手法しゅほうと、被害ひがいを防ふせぐための対策たいさくについて考察こうさつする。
今回こんかい明あきらかになった手口てぐちは、本来ほんらいはアカウント保護ほごを目的もくてきとした機能きのうを悪用あくようし、アカウント所有者しょゆうしゃを完全かんぜんに締しめ出だすという極きわめて巧妙こうみょうなものであった。具体的ぐたいてきには、攻撃者こうげきしゃが被害者ひがいしゃのアカウントの年齢ねんれい情報じょうほうを10歳さいに書かき換かえた上うえで、自身じしんが管理かんりするファミリーアカウントの子こどもアカウントとして登録とうろくするという手法しゅほうである。実際じっさい、Reddit上じょうのGmail専用せんようフォーラムには、12年前ねんまえに作成さくせいされたアカウントが「10歳さい」とされ、所有者しょゆうしゃが完全かんぜんにアクセス不能ふのうとなった事例じれいが報告ほうこくされている。
論理的ろんりてきに考かんがえれば、12年前ねんまえに作成さくせいされたアカウントの所有者しょゆうしゃが10歳さいであるはずがないが、現行げんこうのシステムではこの矛盾むじゅんが自動的じどうてきに検知けんちされることはなかった。その結果けっか、攻撃者こうげきしゃによって子こどもアカウントとして設定せっていされた被害者ひがいしゃは、グーグルが提供ていきょうする多様たようなアカウント復旧ふっきゅう手段しゅだんを一切いっさい利用りようできない状態じょうたいに追おい込こまれてしまったのである。さらに、攻撃者こうげきしゃはアカウント解放かいほうの対価たいかとして被害者ひがいしゃにギフトカードの送付そうふを要求ようきゅうするなど、極きわめて悪質あくしつな行為こういに及およんでいる。
このような手口てぐちについて、他ほかのユーザーからも「子こどもアカウント機能きのうの悪用あくようはハッカーの間あいだで一般的いっぱんてきな戦術せんじゅつになりつつあり、現状げんじょうでは復旧ふっきゅうが極きわめて困難こんなんである」との指摘してきが相次あいついだ。また、「アカウントの生年月日せいねんがっぴを変更へんこうする際さいには、すべての認証にんしょう要素ようその再さい提示ていじを必須ひっすとすべきである」といった具体的ぐたいてきな改善かいぜん提案ていあんも寄よせられている。
グーグルの広報こうほう担当者たんとうしゃによれば、同社どうしゃセキュリティチームはこの問題もんだいを「一部いちぶのハイジャッカーによる既知きちの手口てぐち」として調査ちょうさしており、今後こんご詳細しょうさいなガイダンスを公表こうひょうする予定よていだという。ただし、現時点げんじてんでは比較的ひかくてきまれなケースであるとしつつも、今後こんごこの手法しゅほうが広ひろく知しられることにより被害ひがいが拡大かくだいする懸念けねんは否定ひていできない。
当面とうめんの対策たいさくとしては、二段階にだんかい認証にんしょうの有効化ゆうこうかやパスキーの導入どうにゅう、アカウントに紐付ひもづけられた端末たんまつや連絡先れんらくさき情報じょうほうの定期的ていきてきな見直みなおし、そして復旧用ふっきゅうよう連絡先れんらくさきの設定せっていなどが推奨すいしょうされている（詳細しょうさいはグーグルのサポートページ参照さんしょう）。
この種しゅの攻撃こうげきに対たいしては、そもそもアカウントが侵害しんがいされないように事前じぜんにセキュリティ対策たいさくを徹底てっていすることが何なによりも重要じゅうようである。したがって、今いますぐパスキーの設定せっていや二段階にだんかい認証にんしょうの導入どうにゅうを行おこなうことが強つよく求もとめられると言いえよう。