衝撃の報告書：AndroidアプリがユーザーデータとGoogleの機密情報を730TB超も漏えいした可能性――最悪の例をいくつか紹介…

大規模なセキュリティ調査により、Google Playストアで入手可能なAndroidアプリ180万本が分析され、特にAI機能を明示的にうたうアプリに焦点を当てた結果、機密情報を露出させかねない憂慮すべきセキュリティ欠陥が特定されました。

初期の調査対象から、Cybernewsの研究者は38,630本のAndroid向けAIアプリを特定し、露出した認証情報やクラウドサービス参照がないか内部コードを調査しました。その結果、個々の開発者のミスにとどまらない、広範なデータ取り扱いの不備が見つかりました。

全体として、研究者は分析対象のAndroid向けAIアプリの約4分の3（72%）に、アプリケーションコードへ直接埋め込まれたハードコードのシークレットが少なくとも1つ含まれていることを確認しました。さらに、影響を受けた各アプリは平均で5.1件のシークレットを漏えいしていました。

Android向けAIアプリではハードコードされたシークレットが依然として一般的

研究者はデータセット全体で197,092件のユニークなシークレットを特定し、長年にわたる警告にもかかわらず、安全でないコーディング慣行が依然として広く残っていることを示しました。

検出されたシークレットのうち81%以上はGoogle Cloudのインフラに紐づいており、プロジェクト識別子、APIキー、Firebaseデータベース、ストレージバケットなどが含まれていました。

検出されたハードコードのGoogle Cloudエンドポイントは26,424件でしたが、そのうち約3分の2はすでに存在しないインフラを指していました。

残るエンドポイントのうち、8,545件のGoogle Cloudストレージバケットは依然として存在し認証が必要でした。一方で、数百件は設定不備により公開状態のままになっており、2億件超のファイル、合計で約730TBのユーザーデータが露出している可能性があります。

この調査では、認証制御が一切ないFirebaseデータベースも285件特定され、合計で少なくとも1.1GBのユーザーデータが漏えいしていました。

これらの露出したデータベースの42%では、研究者が「proof of concept（概念実証）」とラベル付けされたテーブルを発見しており、攻撃者による過去の侵害を示唆しています。

別のデータベースには、攻撃者風のメールアドレスで作成された管理者アカウントが含まれており、悪用が机上の可能性ではなく、すでに進行していることを示していました。

侵入の明確な兆候があるにもかかわらず、多くのデータベースが未保護のまま残っており、一度きりのミスというより監視体制の不備を示唆しています。

AI機能への懸念がある一方で、漏えいした大規模言語モデルのAPIキーは比較的まれで、OpenAI、Google Gemini、Claudeといった主要プロバイダーに関連するキーは、データセット全体でもごく少数しか検出されませんでした。

一般的な構成では、これらの漏えいキーにより攻撃者が新たなリクエストを送信できる可能性はあるものの、保存された会話、過去のプロンプト、以前の応答へのアクセスはできないとされています。

最も深刻な露出の一部は稼働中の決済インフラに関わるもので、決済システムを完全に制御できる可能性のあるStripeのシークレットキーの漏えいも含まれていました。

そのほかに漏えいした認証情報により、通信、分析、顧客データプラットフォームへのアクセスが可能となり、アプリのなりすましや不正なデータ抽出が行える恐れがありました。

こうした不備は、露出が発生した後にファイアウォールやマルウェア除去ツールといった基本的な手段で軽減できるものではありません。

露出したデータの規模と、すでに侵害されているアプリの数は、アプリストアの審査だけではシステム的なリスクを低減できていないことを示唆しています。