AFPが報じたGoogle＋（グーグルプラス）の個人情報流出が大きな話題となっている。翻訳元の記事を調べた限り、騒ぎになるような事態とは思えないので見解をまとめる。
概要
【Google+終了へ「非常に低調」】https://t.co/AUoim5sy8D
米Googleが「Google+」の消費者版サービスを終了すると発表。最大で50万件ものアカウントの個人情報が漏えいした恐れがあり、バグの修正を行っていたことも明らかにした。
— Yahoo!ニュース (@YahooNewsTopics) 2018年10月8日
話題になっているのはAFP（フランス通信社）の日本語版ニュース配信サイト「AFPBB News」が報じた内容。”「グーグルプラス」終了へ、最大50万件の個人情報漏えいも認める”という衝撃的なタイトルでアクセスを稼いでいるが実態は大きく異なる。
問題ない理由
「個人情報漏えい」「Google＋終了」がリンクしてGoogleが不祥事を起こしてサービス撤退した印象が強いが、実際は騒ぎになるような話ではない。理由を解説してみる。
流出は確認されていない
Google+の「情報漏えい」の件、実際に情報が漏洩したわけではなく、「情報漏洩に至るバグを自ら発見し、修正したが、公表しなかった」ということなので、公平に見て、脆弱性ハンドリングとしてはごく普通の対応だと思います。ただ、恣意的に情報公開を遅らせたとすれば、公正な対応ではない
— 徳丸 浩 (@ockeghem) 2018年10月8日
AFPの日本語版や一部ニュースサイトは「50万件の個人情報漏えいも認める」と誤ったタイトルを付けてるが、実際は「個人情報漏洩し得るバグが存在した」というのが正しい。ありがちな
- 情報流出
- 情報の悪用
- 悪用された事実を確認
という流れではない。上記で言うところの１が起こりうるAPIバグが「存在した」に過ぎず、Googleが調べた限り悪用された証拠も見つかっていない。
バグの内容も限定的
バグの内容はWSJ本家の図で解説されているな。サークル機能のバグか。:Google Exposed User Data, Feared Repercussions of Disclosing to Public – WSJ https://t.co/6gVafvLrQL
— l.b. (@l_b__) 2018年10月8日
AFPの元記事はこちらだが、見ての通り具体的なAPIバグの内容も公開されていない。より詳しい解説はWSJの記事及びGoogle公式の告知を確認すると良いだろう（参考：WSJのフル記事を読む方法）。記事によるとソーシャルバグの内容は下記の通り。
- ユーザーAがGoogle＋に登録（個人情報入力）
- ユーザーAのプライバシー設定でユーザーBを含む特定の友達のみプロフィールデータを閲覧可能に
- ユーザーBがGoogle+のAPIを利用するアプリを利用し権限を付与
- アプリ開発者はユーザーBのデータを収集、不具合によりユーザーAの個人情報も収集可能だった
つまり、あなたの個人情報データを閲覧可能だったユーザーBがAPIを使用したアプリ（最大438件）で許可を与えない限り個人情報は漏れない。かつ漏洩したデータに「電話番号」「メッセージ内容」等は含まれずGoogle＋に表示される下記のデータに限定されている。
- 名前
- メールアドレス
- 職業
- 性別
- 年齢
もともと貴方の上記データを閲覧可能だったBさんが世界に最大438件しか無いアプリを利用する確率は極めて低い。登録したが殆ど活用していないGoogle+ユーザーはまず心配ないだろう。
ユーザー数は20億人
そもそもGoogle＋は毎月4億人のアクティブユーザーが利用し、世界中で20億人以上のユーザーが登録している。今回の50万件は全体の0.025％に過ぎない上に上記の方法で利用されてたAPI（438件）の中に攻撃者が存在した場合の最大値でしかない。「最悪のケース」かつ「全員悪者」だったら50万件という話は現実的ではなく、誇張された記事の多くでは数字のインパクトが優先されている。
上記の前提条件を考慮した上でGoogleが調査し悪用を「確認できなかった」のだから個別のユーザー通知を行わないのは当たり前ではないだろうか。情報公開したところで今回のような無意味な混乱を招くだけであり、実益が伴うとは到底思えない。
感想
誇張された記事タイトルでPV数を稼ぐのはアフィリエイトブログの常套手段だが、今回のケースはFacebook事件からの先行イメージが強いように思う。相次ぐ個人情報流出に「天下のGoogleまで…」と勘違いした人は多いはず。限定的な条件下で個人情報が流出しうるバグが存在した時期があったー程度の話でしか無い。少なくともトレンド一位入りして皆で騒ぐような事件ではないだろう。公式ブログの案内にもある通り、今後はユーザーに対するアクセス許可の警告も強化され安全性は更に高まる。
この手の記事を見かけるたびに思うが利用者は必ず翻訳元のソースを確認し、技術情報・論文を理解した上で誤った情報に踊らされないように注意して頂きたい。
関連記事
