Google、「Gmailの脆弱性」報告に反論

» 2008年11月26日 11時34分公開

[Brian Prince，eWEEK]

　米Googleの担当者が、Gmailのセキュリティ脆弱性がGeekCondition.comブログで取り上げられている問題の原因になっているとの主張に反論している。

　GeekCondition.comは11月23日の投稿で、この脆弱性を悪用すれば、攻撃者はGmailユーザーに知られずに不正なメッセージフィルターを作らせることができると警告している。それにより、攻撃者はユーザーのGmailアカウントに送られたメールをゴミ箱に入れ、メールのコピーを攻撃者自身に転送することでメッセージを盗むことができてしまうとこのブログには書かれている。

　だがGoogleは、この問題の原因はGmailの欠陥ではなく、攻撃者がWebドメインオーナーを不正なサイトに誘導して情報を盗むフィッシングの手口にあると説明している。

　「攻撃者はWebドメインオーナーにカスタマイズしたメールを送り、ユーザー名とパスワードを盗むためだけに設置したgoogle-hosts.comなどの偽サイトに誘導した」とGoogleのセキュリティブログで情報セキュリティエンジニアのクリス・エバンズ氏は述べている。

　「これらの偽サイトはGoogleとは何の関係もなく、今はアクセスできなくなっている」と同氏。「攻撃者はユーザー情報を手に入れて、そのアカウントを好きなように書き換えることができた。攻撃者はWebドメインプロバイダーからメッセージを転送するためのメールフィルターを設定していた」

　この攻撃の影響を受けるユーザーはごくわずかだと、Googleの広報担当者は話している。