TikTokのAndroidアプリに1クリックでアカウント侵害可能な脆弱性──Microsoftが報告（修正済み）

Android版TikTokアプリに1クリックでアカウントを乗っ取れる脆弱性があった。Microsoftが発見してTikTokに報告し、既に修正済み。悪用されると、乗っ取られたアカウントから勝手に動画やメッセージを送信される可能性があった。

[ITmedia]

　人気アプリTikTokのAndroid版に、1クリックでアカウントを侵害できてしまう深刻度の高い脆弱性があったと、米Microsoftが8月31日（現地時間）に発表した。MicrosoftはTikTokに2月に報告し、TikTokは「脆弱性に対処するための修正をリリースすることで迅速に対応した」としている。

　影響を受けるAndroid版TikTokアプリは、これまでに累計15億回以上インストールされている。MicrosoftはAndroid版TikTokアプリのユーザーに対し、アプリの最新版にアップデートすることを勧めている。この脆弱性が実際に悪用された証拠は見つからなかったとしている。

　ユーザーが仕掛けられたリンクをクリックするとアカウントが乗っ取られる。攻撃者は被害者のアカウントで動画を投稿したり他のユーザーにメッセージを送信できるだけでなく、アカウントに保存されている非公開の動画の表示も可能になるというものだった。

　この脆弱性は、Androidアプリのディープリンク機能に関連する。ディープリンクは、例えばWebサイト上の「このアカウントをフォローする」ボタンをタップするとTwitterアプリが開いてそのアカウントをフォローできるようにすることなどに使える。この機能には本来、検証プロセスが含まれるが、脆弱性を悪用するとこの検証プロセスをバイパスできた。Microsoftの研究者らは概念実証攻撃で悪意あるリンクを作成し、このリンクをクリックするとTikTokアカウントの略歴が「SECURITY BREACH」に改変されることを示した。

侵害されたアカウントの画像（提供：Microsoft）

　Microsoftはアプリユーザーに対し、以下のセキュリティガイドラインを提示した。

• 信頼できないソースからのリンクをタップしない
• 端末とアプリのバージョンを常に最新に保つ
• 信頼できないソースからのアプリをインストールしない
• アプリが自分で行った設定変更以外の異常な動作をしたらすぐにベンダーに報告する