「200万人以上の情報が丸見え」報道の位置情報アプリ「NauNau」、調査結果を発表 300万人以上の現在地などが丸見えだった

200万人以上のユーザーの位置情報やチャット履歴が外部から閲覧できた可能性があるとして、提供元による調査が進んでいた位置情報アプリ「NauNau」。提供元のSuishow（東京都品川区）と親会社のモバイルファクトリー（同品川区）は12月7日、調査で分かった、外部から不正に閲覧可能な状態だった情報を公開した。 アクセス可能だった時期と情報、影響囲の推定値は下記の通り。ただし、いずれも実際に情報が漏えいした事実は確認できなかったとしている。 2022年9月29日から2023年5月8日：推定304万ユーザーの現在地 2022年9月29日から2023年3月2日：推定167万ユーザーのチャット内容と画像 2022年9月29日から2023年10月20日：推定283万ユーザーの生年月日 2022年9月29日から2023年10月20日：推定380万ユーザーの個人情報に当たらない情報（アプリの起動回数など）

[ockeghem]

リリースから察するにOWASP API Top 10の「オブジェクトレベルの認可の不備」ではないかな

[ykhmfst2012]

id:entry:4743905077133417647調査結果。外部からの指摘があり開発内で中止すべきとの声があったのに上層部が「サービスの中止だけはできない」と拒んだ件、こっそり修正して6月に会社売り飛ばした件、忘れない。

[ghostbass]

自分のデバイスの通信が解析できるからと言ってなんだというのか？まさかパラメータを適当に設定すればなんでもアリだったとかいわないよなあ？

[nekoluna]

不正アクセス禁止法が出来てから外部チェックが入りづらくなり、ガバガバになってるなってずっと思ってる

[IGA-OS]

不備

[Falky]

おいおい、「経緯及び対応」のスタートが2023年10月20日って何？NHKの報道によれば2022年12月には事象認知してたはずでは？なに早急に対応した風に見せてんの？？？ https://www3.nhk.or.jp/news/html/20231021/k10014232891000.html

[lb501]

提供元のSuishow（東京都品川区）と親会社のモバイルファクトリー（同品川区）

[queeuq]

単にfiddler噛ませれるかどうかみたいな話かねこれ。ほぼ誰でも可能だったと同義か。別にアプリ側解析してもいいだろうしなぁ/"SSL/TLS を利用したモバイルアプリの通信を傍受し解析する知識"