Google アカウント復旧機能に脆弱性 電話番号漏えいの恐れ：セキュリティニュースアラート

あるセキュリティ研究者が、Google アカウントにひも付けられた電話番号が漏えいする可能性のある脆弱性を報告した。検証では電話番号形式が限られる国において、1件当たりの特定に要する時間が15秒未満だったとしている。

[後藤大地，有限会社オングス]

　「X」（旧Twitter）などで「skull」（別名：brutecat）という名前で活動するセキュリティ研究者は2025年6月9日（現地時間、以下同）、「Google アカウント」にひも付けられた電話番号が漏えいする可能性のある脆弱（ぜいじゃく）性について報告した。

　JavaScript無効化状態で動作するGoogle アカウント復旧用のバックアップフォームを悪用し、特定のユーザーの電話番号を推測するという。

JavaScript無効でも動作　Google アカウントの思わぬ落とし穴

　skull氏はJavaScriptを無効にしたWebブラウザでGoogleのサービスを調査中にこの復旧フォームが意図に反して機能していることを発見した。そのフォームは入力された名前と電話番号の一部に基づき、該当するGoogle アカウントが存在するかどうかを示す挙動をしていたという。

　この仕組みを利用することで複数のリクエストを組み合わせて送信し、アカウントの表示名と電話番号の一部が一致するかどうかを確認できることが判明している。Google アカウントに設定されている回復用電話番号はユーザーが日常的に使用している主要な電話番号であることが多く、これを特定されることで個人情報が漏えいする可能性がある。

　この脆弱性を悪用するにはターゲットのGoogle アカウントに設定された表示名とパスワード再設定画面などで表示される電話番号の末尾2桁といった情報が必要になる。skull氏はGoogleの「Looker Studio」を利用し、相手に通知を送ることなく表示名を取得する方法も確認している。

　この他、一連の手法を自動化するため「gpb」と呼ばれるツールを開発し、国別の電話番号形式や桁数に基づいて電話番号を推測できるようにしている。検証ではオランダのように電話番号形式が限られる国において、1件当たりの特定に要する時間が15秒未満だったと報告している。

　Googleはこの報告を2025年4月14日に受け取り、調査を経て同年5月22日までに問題のエンドポイントを無効化した。同年6月6日時点でJavaScript無効時のユーザー名復旧フォームは全てのユーザー向けに無効化され、脆弱性の悪用は不可能になっている。