【注意喚起】「セブンイレブンの日」用無料クーポンアプリ、要求権限が「ツイッターアカウント乗っ取り」レベル

ポスト ツイート シェア はてブ LINEで送る コメント 6

ツイートやリツイートはもちろん、フォローやブロック、プロフの設定変更にDMまでほぼすべてを触れる権限を要求しています。認証する際には要注意です。

「セブンイレブンの日」だった7月11日から、セブンイレブンが無料引換クーポンが抽選で当たるTwitterキャンペーンを開始しています。
アサヒの十六茶が10万人、アサヒザリッチ缶350mlが40万人に当たるなど非常に太っ腹なのですが、実際応募してみようとすると公式アカウントのフォロー＆リツイートに加え、気になるアプリとの連携を求められます。

そのアプリは「セブン‐イレブンの日無料クーポンプレゼントキャンペーン」という本キャンペーン用と思われるもの。

そして気になるのが連携してアカウントへのアクセスを許可した場合のアプリの権限で、以下のとおり。

このアプリケーションは次のことができます。
・このアカウントのタイムラインに表示されるツイート（非公開ツイートを含む）や、リストとコレクションを確認する。
・このアカウントでプロフィール情報とアカウントの設定を確認する。
・フォロー、ミュート、ブロックしているアカウントを確認する。
・他のアカウントをフォロー、フォロー解除する。
・このアカウントでプロフィールとアカウントの設定を変更する。
・このアカウントでツイートを送信および削除する、他のアカウントのツイートをエンゲ・ージメント（いいね、いいねの取り消し、ツイートへの返信、リツイートなど）する。
・このアカウントでリストやコレクションを作成、管理、削除する。
・他のアカウントをミュート、ブロック、報告する。
・このアカウントでダイレクトメッセージを送信、確認、管理、削除する。

上の3つはまだギリギリ理解できなくもないのですが、他のアカウントのフォローや解除、プロフとアカウントの設定変更ができるとしており、おかしなことに。勝手に鍵を掛けたり全く違うプロフに書き換えられる可能性もあることになります。

さらにツイートやツイートの削除、いいねやリプライ、リツイートもできる他、リストやコレクションを勝手に作ったり削除し、ミュートやブロック、報告まで行えるとしています。自分がした覚えのないツイートがされるケースもあり得るということ。

極めつけはDMまで勝手に確認したあげくに自分のアカウントで勝手に送信や削除までされてしまうというもの。これはツイートと違って公開されていないものですが、それすら勝手に見られていじられることになります。

ツイッターでできることをほぼすべて要求する内容となっており、「連携アプリを認証」した時点でアカウントを乗っ取られたのと同じような状況になってしまいます。

ドリンク無料クーポンは確かに魅力的ですが、引き換えに求められているものは何なのか、認証する前に考えた方がよさそうです。