Pokémon GO の話題は、何らかの形で耳にしたことがあるのではないでしょうか。この最新アプリは至る所でスマートフォンで使われています。初めて話を聞いたとき、サイバーセキュリティに高い関心を持っている私は好奇心をそそられました。すぐさまこのゲームの仕組みや遊び方、ゲームに伴う潜在的なセキュリティリスクの調査に取り掛かりました。
まず大切なのは、このゲームはよくあるスマートフォン用ゲームとは違うということをしっかり理解することです。Pokémon GO には実生活とテクノロジーを融合させた拡張現実（AR）というテクノロジーが使われています。多数の層に分かれており、リアルタイムの GPS ロケーション、ジオキャッシング技術、ユーザーの周りの現実の世界を利用します。このアプリを使う際には、作用する要素がたくさんあります。その特徴を徹底的に調査し、ゲームをするときのサイバー領域と実世界のリスク、そして子供たちの安全性について考察していきます。
リスクとは?
このゲームは文字どおり、一夜でPokémon GO旋風を巻き起こしました。サイバー犯罪者はさまざまな方法でこのとてつもなく大きなチャンスを利用しようとしています。
悪意のあるアプリ:
正規の Pokémon GO アプリが配信されてからわずか数日で、Proofpoint 社の研究員がトロイの木馬が仕込まれたバージョンを発見しています。Proofpoint 社のブログ（リンクは外部）によると、「この不正な APK は、In-the-Wild リストでは確認されていないものの、Pokémon GO がニュージーランドとオーストラリアで正式にリリースされてから 72 時間以内に不正なファイルリポジトリサービスにアップロードされました」と書かれています。そこで、一番大事なことから実行しましょう。アプリをダウンロードする場合は、Google Play ストアや Apple App ストアなどの信頼できるサイトから必ずダウンロードしてください。さらに、悪意のある Android アプリからは、ノートンが皆さんを守ります。アプリアドバイザー機能（リンクは外部）が自動スキャンを実行して、ユーザーのスマートフォンにダウンロードされる前にGoogle Play ストア内で悪意のあるアプリを検出します。
最新の最も危険な悪意のあるアプリが 7 月 15 日にセキュリティ研究員のグループによって発見されました。この偽のロック画面アプリは「Pokémon GO Ultimate」と呼ばれ、Google Play ストアで初めて発見されました。幸いなことに、発見した研究員が速やかに Google へ連絡を入れたことから、その後、アプリストアから削除されました。この脅威に関して詳しくは、こちら（内部リンク）をお読みください。
オンライン詐欺:
人気のあるゲームについては例外なく言えることですが、ユーザーはネット上の不正行為やハッキングの有無を確認するためにインターネットをくまなく調査する必要があります。特に詐欺行為には注意してください。アンケート回答や疑わしいウェブサイトへの訪問の対価としてポケコインやパワーアップアイテムをゲーム内で提供するというポップアップ画面が、すでに偽のウェブサイトによって表示されています。アンケートは一見無害なようですが、ユーザーの個人情報をしっかり収集できます。そして、その情報がなりすまし犯罪に使われる可能性があるのです。
おいしすぎる話に思えるときは、おそらく詐欺話だろうということを心にとめておいてください。現時点では、アプリ内購入のほかに、ポケコインを獲得するための合法的な方法や「ハッキング」はありません。
プライバシーのリスク
アプリ許可の確認:
アプリをインストールしたときは、そのアプリに必要なアクセス先を必ず評価することが大切です。ユーザーデバイスの領域に対するアクセスをアプリに許可すると、ユーザーの個人情報だけでなく、他人の個人情報までもが危険にさらされてしまう可能性があります。納得がいかないのであれば、ユーザーのスマートフォンや SMS 機能へのアクセス許可を求めるアプリなどに対して、使用しているスマートフォンの対象領域に対するアクセスを拒否してもかまいません。ただし、その場合にはアプリの機能が制限されたり、要求されたアクセスなしではまったく機能しなかったりする可能性があることを忘れないでください。ゲームで公開するプライバシーの範囲はユーザーが決めますが、少なくとも通知されるように設定してください。
現在、一部の iOS ユーザーや Android ユーザーは、アプリにアクセスを許可してもよいかどうかを一切質問されない状況となっています。Google 経由でサインインしている場合、ゲームにユーザーの Google アカウントへのフルアクセスが許可される可能性があります。つまり、アプリがユーザーの連絡先や電子メール、Google Drive の文書などにアクセスできるということです。
Niantic 社はこの問題を修正したとする声明文を発表しました。
以下は、開発者の声明文の全文（リンクは外部）です:
「iOSでのアカウント作成時に、Googleアカウントへ権限のフルアクセスをリクエストするエラーが発生していることが判明しております。 Pokémon GOはGoogleアカウントの基本情報 (ユーザーIDとメールアドレス) のみを必要とし、その他のGoogleアカウント情報へのアクセスや収集は必要ではありません。こちらの事象に対して、必要とするデータを Google の基本情報のみアクセスするよう、クライアント側で修復を進めております。Googleより、Pokémon GOまたNianticより必要な情報以外のアクセスがないことが確認されました。 GoogleはPokémon GOが必要とする基本情報のみをアクセスする処置をとっておりますので、ユーザー側で追加のご対応は必要ございません。」
ユーザーはこのページ（リンクは外部）で Google アカウントから Pokémon GO のアクセス許可を無効化できます。
プライバシーポリシーとサービス利用規約:
プライバシーポリシーや利用規約などの文書を検証して、アプリがユーザーの個人情報を使って何をしようとしているのかを確認することが重要です。
アプリ内部に置かれたサービス利用規約について特筆すべき問題は、Pokémon GO トレーナーガイドラインとプライバシーポリシーへのリンクがハイパーリンク化されていないのに、ユーザーはゲームプレイの前に、サービス利用規約、プライバシーポリシー、トレーナーガイドラインの 3 つすべてに同意する必要があることです。
Pokémon GO のサービス利用規約
https://www.nianticlabs.com/terms/pokemongo/ja（リンクは外部）
サービス利用規約では、ゲームプレイ中の危険が至る所で強調されています。特に目を引いたのは次のくだりです:
「お客様は、お客様による本アプリの利用及びゲームプレイはお客様自身の責任で行うこと、並びに、本サービスの利用中にお客様が被る可能性のある損害に関してお客様が合理的に必要であると考える健康保険、損害賠償保険、災害保険、人身傷害保険、医療保険、生命保険及びその他の保険契約をお客様の責任において維持することに同意するものとします。」
ゲームプレイ中に発生するかもしれない損害や傷害の結果として保険契約を結ぶことを推奨するサービス利用規定を、私はこれまで見たことがありません。しかし、逆にこの一節からは、ユーザーが自分の行動に注意を怠った場合に、このゲームがどれだけ危険なものになり得るのかがはっきり伝わります。
Pokémon GO トレーナーガイドライン
https://support.pokemongo.nianticlabs.com/hc/ja/articles/221993967（リンクは外部）
サービス利用規約によると、ユーザーはトレーナーガイドラインを守る必要があります。規約に同意しなければアプリケーション内のトレーナーガイドラインの URL にアクセスできないため、関連文書のすべてに目を通し、同意する内容をきちんと把握するのがよいでしょう。
Pokémon GO プライバシーポリシー
https://www.nianticlabs.com/privacy/pokemongo/ja （リンクは外部）
この記事を書いているときに、Niantic 社とThe Pokémon Company International 社は以下の声明文を発行しました:
「Pokémon GO を楽しむユーザーの皆さんに次のことをお願いします。自分の周囲に注意しながらプレイしてください。行ったことのない場所や見知らぬ場所に出かけるときには複数の友達と一緒にプレイしてください。安全を確認し、常に注意を怠らないでください。Pokemon GO に対する予想以上の好意的な反響に私たちは恐縮すると同時に、多くのファンの支援にたいへん感謝しております。」
リスクがあっても、新しいテクノロジーにひるむことはありません。最も大切なことは、ユーザー自身がリスクについて学び、認識することです。その知識をしっかり身につけたら、Pokémon GO という新しいテクノロジーを利用して、ミュウツーを捕まえに出かけましょう。
ポケモンGOに関連するその他のストーリーをチェック:
Pokémon GO をお子様が安全に利用するための保護者向けガイド
PokPokémon GO 実世界のリスクと安全のヒント
ノートン モバイル セキュリティで、偽ポケモンGo！アプリをやっつけろ