Office Mobile (iPhone版）のセキュリティ上の問題点

日本時間の先週3月28日に公開されたOffice Mobile (iPhone版）にはセキュリティ上の問題点がいくつかあります。そのうちの一つがデータが自動的にiPhoneの中でキャッシュ化され、さらにそのデータ自体が暗号化されていません。このため、端末を紛失等した場合に、iExplorer等のサードパーティのツールによってデータが抜き取られてしまう危険性があります。

iExplorerはiPhone自体にパスコードロックをかけてもデータを抜き出すことが可能です。

画面右上にエクセルがプレビューにて表示されています。

 

 

 上記の通り完全にファイルを取り出すことが出来ました。

 

 

 

さらにiExplorer上のフォルダ構成は、SharePointのディレクトリ構成と同じです。つまり、SharePoint Onlineの中のどこにそのファイルがあるのかのわかってしまいます。

 

 

 

 

さらに別のファイルにはSharePointのURLとログインしたIDまで表示されていました。

 

 

弊社が企業ごとにカスタマイズ対応を行う場合には、キャッシュを残すか残さないか指定をすることがアプリの開発時に指定していただけます。キャッシュを残す利点としては、結果としてオフライン環境でも利用出来ることになります。

金融系の御客様の中には一切キャッシュを残すことが出来ないので、既にOffice Mobileは利用できないとお話されている御客様もいらっしゃいます。

またたとえ、キャッシュ化する、つまりオフラインや電波状況が悪くても閲覧をしたい御客様には、URL、ID、パスワードを含むデータ全てに暗号化処理を施し、紛失したとしても、第三者に対して情報漏えいが発生しないようにします。

 

 なお、本件はマイクロソフト社のOffice 365サポート窓口にて報告をさせていただきました。Customer Voiceとして、今後の製品改善に役立てていただけるとのことですが、実際にいつ改善されるかはその御担当者もわからないとのことでした。
 

フェアユース株式会社　代表取締役　足立洋介