[2021-02-20] Mac 標準メーラー・アカウントでGoogleカレンダー同期時情報漏えいの危険性

Macの標準メーラーを利用し、アカウント連携でカレンダーも同期しているとき、情報漏えいに繋がりそうな挙動があったので共有です。

※ あくまで私個人の環境で起きたことなので以下に示す環境下全てで発生するかは不明です。
※ Apple には別途報告します。

# 環境・再現確認した時刻など

再現時刻: 2021-02-20T8:30/2021-02-20T11:30
OS: MacOS Big Sur 11.2.1
メーラー: Version 14.0 (3654.60.0.2.21)

※ 少なくとも半年以上は私の手元では発生していました。

その他条件:
Mac 標準のメーラー・アカウントで以下のような利用方法をしている。
・Google workspace の組織が異なるアカウントを複数利用している
・上記アカウントのいずれか一つ(以上?)でカレンダー同期もしている

# 症状

組織Bに属する fuga@B.com のカレンダーに登録した予定『テスト予定』の通知が hoge@A.com から届く。

# 漏洩するかもしれない内容・相手

内容: Googleカレンダーの予定タイトル
相手:
  Google workspace 管理者
  アカウントを共有利用している場合その利用者全員

たとえばカレンダーの予定に『DEADBEEF株式会社面接』など入れていると、上記対象者に面接の事実など漏れる可能性があります。

※ 各カレンダーで特定ユーザーへの共有等を行っていると通知回数や対象に変化がある可能性があります。

# 対策

・Mac標準メーラーを利用しない => Gmail をそのまま使う
・複数のアカウントを利用しない
・離職者などのアカウントをパスワードリセットして他の人が引き継いだりしない
・カレンダーの同期を行わない(未検証)

# 再現手順

私が確認した状況を一部伏せて書いています。
状況であって必ずしも起き、最小限の要素とは限りません。

仮定
・組織Aに属する"hoge@A.com"アカウントが登録されている
・組織Bに属する"fuga@B.com"アカウントが登録されている
・"fuga@B.com"はカレンダーも同期している
・標準メーラーの左ペイン"Smart Mailboxes"の並びが次のようになる
  ・hoge@A.com
  ・fuga@B.com

参考) 赤枠内の黒く潰した部分の並び順です

画像1

確認手順
・fuga@B.comのカレンダーに『テスト予定』を登録する
・『テスト予定』のn分前に予定が通知される
  ・この時メール通知の From が hoge@A.com で To が fuga@B.com 
  ・通知メールの有無・タイミングが何に依存するか不明


以上です。
わかりにくいかもしれません。
不明点あれば文章、表現を改善していくのでご質問ください。

この記事が気に入ったらサポートをしてみませんか?