AppleとGoogleの両社が、「Instagram」ユーザーのパスワードを盗んでいたアプリを削除した。

「Who Viewed Your Profile – InstaAgent」は、自分のInstagramアカウントを参照したユーザーを確認できるアプリとして提供されていたが、実際には、Instagramにログインしたユーザーのアカウント認証情報を取得していた。

取得したこれらの認証情報を、暗号化されない形式でサードパーティーサーバにアップロードしていたと、この悪質な活動を発見したPeppersoft開発者のDavid Layer-Reiss氏はツイートしている。

Googleは以前、徹底的な審査を実施せずに「Google Play」ストアに悪質なアプリを掲載したとして批判されたことがあるが、今回のケースではAppleもこのアプリを正しく審査できなかった。

このことは、巧妙な悪質アプリはAppleの厳格なガイドラインさえもかいくぐることが可能で、ユーザーはInstaAgentのような人気の高いモバイルアプリであっても、それをダウンロードすることによって危険にさらされることを示している。

MacRumorsによると、「Who Viewed Your Profile – InstaAgent」は米国ではそこまで人気は高くなかったものの、AppleとGoogleそれぞれのアプリストアから削除されるまでに英国とカナダでは無料アプリ第1位の人気を獲得していたという。

Google Playストアでは、50万人ものユーザーがこのアプリをダウンロードした可能性がある。AppleのApp Storeでも同程度のダウンロード件数があった可能性があるとLayer-Reiss氏は推測している。

「Who Viewed Your Profile – InstaAgent」をインストールしたユーザーは、直ちに削除するとともに、自分のInstagramパスワードを変更する必要がある。

同じパスワードを他のサイトでも使用している場合は、それも変更する必要がある。パスワードがアップロードされていたリモートサーバinstagram.zunamedia.comは、疑わしいフィッシングサイトとして特定されているため、これは強く推奨される対策だ。

Google PlayストアとAppleの「App Store」を検索すると、Instagramで自分のアカウントをフォローしている人を確認できるアプリはほかにも見つかる。しかし、Instagramによると、そうしたアプリには注意が必要だという。

Instagramの広報担当者は、「この種のサードパーティーアプリは当社のプラットフォームガイドラインに違反しており、ユーザーのアカウントに不適切な方法でアクセスしようとしている可能性が高い」と述べた。

「このようなサードパーティーアプリをインストールしないことを推奨する。既にこのアプリをダウンロードしているユーザーは、これを削除するとともに、自身のパスワードを変更する必要がある」（Instagramの広報担当者）

[引用/参照/全文：http://japan.cnet.com/news/service/35073359/]