“Sign in with Google” に深刻な問題：廃棄されたメアドでクラウドにログインできる？

Google’s “Sign in with Google” Flaw Exposes Millions of Users’ Details

2025/01/14 GBHackers —Google の認証システムである “Sign in with Google” に、重大な欠陥が発見された。この脆弱性の影響が及ぶ数百万人のアメリカ人が、データ窃取の危機に晒されているが、事業から撤退したスタートアップ企業の元従業員が、この欠陥の影響を受けやすいとされている。この欠陥の根本的な原因は、ドメイン所有権の変更に対して、Google OAuth ログインが適切に対応していない点にあると、Truffle Security は指摘する。

あるスタートアップが失敗して、そのドメインの購入が可能になると、新たにドメインを取得した者は、元従業員のメール・アドレスを再作成できる。そのように再作成されたメール・アカウントでは、過去のメール・データにアクセスすることはできない。しかし、その組織が使用していた、様々な SaaS 製品へのログインに使用できることが判明した。

この問題の深刻さを実証するために、Truffle Security のセキュリティ研究者たちは、撤退したスタートアップ企業のドメインを購入し、以下のような複数のサービスへのログインに成功した。

• ChatGPT
• Slack
• Notion
• Zoom
• 社会保障番号を含む人事システム

最も懸念されるのは、人事システムへのログインが達成されたことだ。人事システムには、社会保障番号／給与明細／保険の詳細／税務書類などの機密情報が保管されている。Truffle の研究者が、ログインに成功した面接プラットフォームには、応募者のフィードバックや採用決定に関する機密データなどが残っていた。さらにチャット・プラットフォームには、私的なメッセージなどの、機密性の高い通信が残されていた。

この欠陥が及ぼす影響の規模は驚異的である：

• 約 600万人の米国人が、テクノロジー系のスタートアップ企業で働いている。
• テクノロジー系スタートアップ企業の 90%は、最終的に撤退する。
• スタートアップ企業の 50%は、メールに Google Workspaces を利用している。

また、ベンチャー企業のデータベースである、Crunchbase のデータセットを分析したところ、現時点において、廃業したスタートアップ企業から 10万以上のドメインを購入できることが明らかになった。

仮の話だが、スタートアップの活動期間中に、平均して 10人の従業員が在籍し、10種類の SaaS サービスを使用したとする。その場合には、“Sign in with Google” の問題により、1,000万以上のアカウントの機密データに、流出の可能性が生じることになる。

この問題の核心は、Slack のようなサービス・プロバイダが、どのようにしてユーザーを認証しているのかにある。一般的に、これらのサービスの認証は、Google OAuth の２つの claim である、HD (hosted domain) claim と Email claim に依存している。

HD claim とは、特定のドメインの全ユーザーに対して、アクセスを許可する機能である。その一方で Email claim は、特定のアカウントにログインするユーザーのための機能である。しかし、ドメインの所有者が変わっても、これらの claim は変更されず、新しい所有者に対して、以前の従業員アカウントへのアクセスを許可してしまう。

Truffle Security が Google に提案した解決策は、OpenID Connect (OIDC) claim 内に、２つの固定識別子を実装することである。

1. 時間経過に影響されない、固定のユニークな User ID
2. ドメインに結びついた、ユニークな Workspace ID

この欠陥の報告を受けた、Google のセキュリティ・チームによる当初の対応は、「この欠陥は修正しない」というものであった。しかし、この問題が広く知られるようになってから、Google は対応を開始した。

現時点において、この問題に対する包括的な修正策は存在しない。Slack などのプロバイダーが、この欠陥を解決するには、Truffle Security が提案する OIDC claim の実装だけが解決策となる。

もう一度、この問題を整理すると、スタートアップ企業の元従業員たちは、退職するとデータ保護の管理権を失い、そのスタートアップ企業の将来やドメイン所有権に翻弄されるという結論に至る。

このセキュリティ上の欠陥が浮き彫りにするのは、より強固な認証システムの必要性と、サードパーティ・ログイン・サービスへの依存に伴う潜在的なリスクである。

テクノロジー業界が発展を続ける中で、Google のような企業に求められるのは、こうした脆弱性への対処を迅速に行うことである。そうすることで、ユーザーの機密情報を保護するだけではなく、自社サービスへの信頼を維持することが不可欠である。

とても便利な “Sign in with Google” ですが、なるべく使わないようにしてきました。この記事が示すような状況を、予測したわけではありませんが、便利なものには不都合が付きまといますね。この状況に対して、どのように Google が対処するのか、興味津々です。よろしければ、カテゴリ Privacy を、ご参照ください。