アカウント名:
パスワード:
Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。話がどうもよくわからん。
> Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。> 話がどうもよくわからん。
この辺が分かりやすい
http://www.appbank.net/2017/05/04/iphone-application/1341135.php [appbank.net]
仕組みとしては、もともとはGoogleアカウントに対する操作ができるサードパーティアプリの許可設定をするため
（例）・「Thunderbird」 が 「メールの送受信ができます」 許可しますか？YES/NO
などとなるところで、
・「GoogleDocs」 が 「アドレス帳の管理とメールの送受信ができます」 許可しますか？YES/NO
となるように「GoogleDocs」という名前の悪意あるアプリと、それが使う権限や注釈を書いてGoogle上に登録しておく
で、この「GoogleDocsという名前の悪意あるアプリに権限を付与するためのWebページへのURL」を「GoogleDocsでドキュメントが共有されました」という内容のメールをURL部分だけ改ざんして大量送信する
引っかかると「GoogleDocsという名前の悪意あるアプリ」にGoogleアカウント上のアドレス帳とメールの操作権限が渡される
同じようなことはGoogle以外のサービスでも可能なので、抜本的に対策しようとすると結構大変同じことがすでに行われてるGoogle以外のサービスもあるんじゃないかな
＞抜本的に対策しようとすると結構大変だから見て見ぬふりをしていた、というわけでもないんだろうけどhttps://it.slashdot.org/story/17/05/04/218210/google-was-warned-about-... [slashdot.org]何年も放置していたのはまずかったですねぇ。
15年くらい前に流行った、ActiveXのダイアログに「年齢認証」と表示するやつのWebアプリ版ってことね。歴史は繰り返す
IDとパスワードを盗み取らなくても、同等の権限を盗み取る、という意味ではいいんじゃなかろうか。まぁ、そもそもGmailの権限わたしたら終わりだけどさ。AmazonでもAppleでも、なんでもアカウント乗っ取られる。
自分は基本的にどんなアプリにもメールと連絡先の権限は渡さないことにしてるから引っかからない。
> 自分は基本的にどんなアプリにもメールと連絡先の権限は渡さないことにしてる
Thunderbirdさんがニコニコしながらあなたを見ているどうしますか？
あと気づいてない人が多いけどiPhoneでGmailアプリやGoogleカレンダーアプリなどを使えるように設定すると今回問題になっている権限の付与でいくつかが「iOS」に渡される
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
身近な人の偉大さは半減する -- あるアレゲ人
こういうのもphishingって言うの？ (スコア:0)
Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。
話がどうもよくわからん。
Re:こういうのもphishingって言うの？ (スコア:1)
> Googleの正規のログイン画面が表示されるのに、phishgingというのかしら。
> 話がどうもよくわからん。
この辺が分かりやすい
http://www.appbank.net/2017/05/04/iphone-application/1341135.php [appbank.net]
仕組みとしては、もともとはGoogleアカウントに対する操作ができるサードパーティアプリの許可設定をするため
（例）
・「Thunderbird」 が 「メールの送受信ができます」 許可しますか？YES/NO
などとなるところで、
・「GoogleDocs」 が 「アドレス帳の管理とメールの送受信ができます」 許可しますか？YES/NO
となるように「GoogleDocs」という名前の悪意あるアプリと、それが使う権限や注釈を書いてGoogle上に登録しておく
で、この
「GoogleDocsという名前の悪意あるアプリに権限を付与するためのWebページへのURL」
を
「GoogleDocsでドキュメントが共有されました」
という内容のメールを
URL部分だけ改ざんして大量送信する
引っかかると「GoogleDocsという名前の悪意あるアプリ」にGoogleアカウント上のアドレス帳とメールの操作権限が渡される
同じようなことはGoogle以外のサービスでも可能なので、抜本的に対策しようとすると結構大変
同じことがすでに行われてるGoogle以外のサービスもあるんじゃないかな
Re: (スコア:0)
＞抜本的に対策しようとすると結構大変
だから見て見ぬふりをしていた、というわけでもないんだろうけど
https://it.slashdot.org/story/17/05/04/218210/google-was-warned-about-... [slashdot.org]
何年も放置していたのはまずかったですねぇ。
Re: (スコア:0)
15年くらい前に流行った、ActiveXのダイアログに「年齢認証」と表示するやつのWebアプリ版ってことね。歴史は繰り返す
Re: (スコア:0)
IDとパスワードを盗み取らなくても、同等の権限を盗み取る、という意味ではいいんじゃなかろうか。
まぁ、そもそもGmailの権限わたしたら終わりだけどさ。
AmazonでもAppleでも、なんでもアカウント乗っ取られる。
自分は基本的にどんなアプリにもメールと連絡先の権限は渡さないことにしてるから引っかからない。
Re:こういうのもphishingって言うの？ (スコア:1)
> 自分は基本的にどんなアプリにもメールと連絡先の権限は渡さないことにしてる
Thunderbirdさんがニコニコしながらあなたを見ている
どうしますか？
あと気づいてない人が多いけど
iPhoneでGmailアプリやGoogleカレンダーアプリなどを使えるように設定すると
今回問題になっている権限の付与でいくつかが「iOS」に渡される