【注意喚起】SNSの友達リクエストを承認したら、連絡先情報を読み取られ、自分名義の招待メールが拡散！

「友人からの友達リクエストと思しきメールが届いたので承認をした。その後、Googleの連絡先（コンタクト）に登録しているアドレス宛に自分の名義で同様の友達リクエストのメールがばらまかれたようだ」といった趣旨の相談が10月に入り39件（10月23日現在）寄せられ、前月の3倍を超過しています（図1-1）。

また、JPCERT/CCによると、前述のような事案の被害に関して情報公開する組織が10月に入り急増し、18件（10月23日現在）と前月の2倍の件数となっています（図1-2）^{（*3 ）}。

図1-1.IPAに寄せられた相談件数

図1-2.被害に関して情報公開した組織数

この相談の友達リクエストのメールとは、各ネットサービスの一般的な機能である“サービス連携”によって海外のSNS が送信した招待メールです。この場合、海外のSNS から求められたサービス連携を許可するとGoogle の連絡先へのアクセスを許可してしまうことになります。

組織のメール機能をGoogle Apps で利用している場合、このサービス連携を不用意に許可すると、組織内で使用している連絡先情報等が読み取られ、自組織（独自ドメイン）名義の招待メールが送信されてしまいます。招待メールが取引先に届いた場合、さらに同じようにサービス連携を許可してしまうことでのメールの拡散や、場合によっては自組織の信用を損なう可能性も考えられますので、不用意にサービス連携を許可しないよう、注意喚起します。

・事前の対策

不用意にサービス連携を許可しない。また、組織の管理者は組織内に対して注意を促す。

・事後の対策

意図せず許可したサービス連携は削除する。

技術本部 セキュリティセンター　加賀谷／野澤

IPA 戦略企画部 広報グループ　横山／白石