ユーザーデータのセキュリティが弱いとの申し立てを受けてGoogle+が閉鎖

Googleは、Project Strobeと呼ばれるデータ保護イニシアチブの一環として、ソーシャルネットワークGoogle+を来年8月に閉鎖することを認めた。しかし、報告書によると、このイニシアチブ自体は、数百人の個人データが公開されることによる規制上の監視を避けたいGoogleによって引き起こされたと主張している何千人ものユーザーの。

プロジェクトストロボは説明されたGoogle フェローでエンジニアリング担当副社長のベン・スミス氏による「Google アカウントと Android デバイスのデータへのサードパーティ開発者のアクセスに関する徹底的なレビュー」と、2018 年の初めに開始されたアプリのデータアクセスに関する同社の哲学これには、プライバシー管理の運用、データプライバシーの懸念により API の利用が少ないプラットフォーム、開発者に「過度に広範なアクセスが許可されている」可能性のある領域などが含まれます。

Project Strobe の最初の「アクション」は、Google+ をシャットダウンするプロセスを開始することです。ブログ投稿によると、Googleは長年にわたりソーシャルネットワークの構築に力を入れてきたものの、「消費者や開発者に広く普及するまでには至っておらず、ユーザーとアプリのやりとりは限定的だった」という。

現在、消費者版の Google+ の使用率とエンゲージメントは非常に低く、ユーザーセッションの 90% は 5 秒未満であると言われています。 Google は今後 10 か月間で Google+ を終了し、2019 年 8 月に完全に閉鎖する予定です。

Google はまた、Google+ API にバグがあったことを認めており、そのバグにより、公開としてマークされていないプロフィールフィールドを含む、ユーザーのプロフィールデータへのフルアクセスを許可されたアプリが許可されていました。データは、名前、電子メールアドレス、職業、性別、年齢を含む静的なオプションのプロフィールフィールドのみに限定されていると言われていますが、アカウントデータ、電話番号、G など、Google+ に投稿または接続されているデータは含まれていません。スイートのコンテンツ、さらには Google+ の投稿やメッセージも含まれます。

Google は、2018 年 3 月にこのバグを発見してパッチを適用したと述べていますが、API ログデータが 2 週間しか保持されていないため、どのユーザーがバグの影響を受けたのかを確認することができません。パッチ適用前の 2 週間にわたる分析では、最大 500,000 の Google+ アカウントが影響を受けた可能性があることが示唆されていますが、最大 438 のアプリケーションが API を使用していた可能性がありますが、開発者がバグを認識していたり、API を悪用したり、あるいはそのようなことがあったという証拠はないようです。プロフィールデータが悪用された。

によると、報告からのウォール・ストリート・ジャーナル、バグは 2015 年に始まった可能性があり、データは 3 年間にわたって漏洩した可能性があります。

報告書に提供されたGoogleの法務・政策スタッフによる内部メモでは、この事件が「差し迫った規制上の関心」を引く可能性が高く、直接比較される可能性が高いため、上級幹部らに対し、この事件を公に公開しないよう勧告している。Facebookのケンブリッジ・アナリティカスキャンダル。この問題についてユーザーに通知しないという内部委員会の決定を受けて、Googleの最高経営責任者サンダー・ピチャイ氏は選択された行動方針を知らされたようだ。

メモでは、外部の開発者がデータを悪用した証拠はないと指摘する一方、データが悪用されていないかどうかを確実に知る方法がないことも認めている。報道関係者によると、社内の弁護士は同社に対し、このインシデントを開示する法的義務はなく、データ開発者が何を見たのかについての知識が不足しているため、バグを通知しても「エンドユーザーにとって実用的な利益」がないことを意味していると社内弁護士がアドバイスしたという。

ユーザーデータの暴露の暴露は、アルファベット/グーグル、アマゾン、ツイッター、AT&T、チャーターコミュニケーションズ、アップルの代表者が上院商業科学運輸委員会でプライバシーの問題について証言した直後に行われた。公聴会中、アップルのソフトウェア技術担当副社長、ガイ・「バド」・トリブル氏は、アップルのサポートを示唆した。連邦プライバシー法ユーザーが自分のデータが悪用されていないことを確認できるようにします。

Project Strobeの発表では、Googleが各アプリとどのアカウントデータを共有したいかについて、よりきめ細かい制御をユーザーに提供するつもりであることも明らかになった。アプリは 1 つの画面で要求するのではなく、要求された各権限を一度に 1 つずつ表示し、個別の権限の種類ごとに応答が必要になります。

また、消費者向け Gmail API のユーザーデータポリシーも更新され、消費者向け Gmail データへのアクセス許可を求めるアプリが制限され、電子メール機能を直接強化するアプリのみがデータにアクセスできるようになります。クライアント、バックアップサービス、生産性向上サービスを含む同じアプリも、Gmail データの処理に関する新しいルールに同意する必要があり、セキュリティ評価の対象となります。

リストの最後のアクションは、Android デバイスで通話ログと SMS のアクセス許可を受信するアプリの機能を制限することです。また、Google は Android Contacts API を介して連絡先のやり取りデータを利用できなくなります。