SHEINのAndroidアプリがクリップボードの内容を窃取、Microsoftが注意喚起

Microsoftは3月6日(米国時間)、「Protecting Android clipboard content from unintended exposure - Microsoft Security Blog」において、クリップボードの内容をリモートサーバに送信するAndroidアプリがあるとして、注意を呼び掛けた。古いバージョンのSHEINアプリでクリップボードの情報が窃取されていたことが明らかとなった。

SHEINはファッション通販Webサイトを運営している中国の企業。Androidユーザー向けとしてGoogle PlayストアでSHEINアプリが公開されており、これまで1億回以上のダウンロードが記録されている。このアプリにクリップボードの内容をリモートサーバに送信する機能が含まれたバージョンがあったことが、Microsoftの調査により判明している。

この動作について、悪意があったかどうかは確認されていない。しかしながら、アプリのタスクを実行するために必要な動作ではないと評価されている。Microsoftはこの調査結果をGoogle Playストアの運営会社であるGoogleに報告し、同社のAndroid Security Teamによる調査を依頼している。その後Googleから対応の連絡が入り、SHEINアプリから当該動作が削除されたことが確認されている。

モバイルユーザーがパスワードや支払い情報などの機密情報をコピー&ペーストするためにクリップボードを使用するケースは多い。クリップボードの情報がサイバー攻撃の魅力的なターゲットになっているとされ、脅威者がクリップボードを悪用することでターゲットの情報を窃取し、機密データを流出させることができると警告している。