Garmin Messengerアプリのユーザーは、アカウントへのアクセス手段としてSMS認証のみに過度に依存しているというプライバシー上のセキュリティリスクに直面しており、過去のユーザーに機密性の高い会話が漏洩する可能性があります。
この問題は、あるユーザーがRedditプラットフォームで報告したことで明らかになりました。そのユーザーは、新しいスマートフォンにアプリをインストールし、現在の電話番号を入力したところ、Garminの従来のアカウントパスワードを入力することなく、SMSで送信された認証コードを入力するだけで、以前の会話履歴全体を復元できたと報告しています。この挙動は、通信事業者が行う「電話番号のリサイクル」メカニズムに関連する深刻なセキュリティ上の脆弱性を露呈しています。
なぜこれが真の脅威となるのか？
通信事業者は、解約された電話番号を新しい加入者に再割り当てすることを日常的に行っています。現在のGarmin Messengerアプリの仕組みでは、以前の所有者が使用していた電話番号を取得した人物が、SMSで番号を認証するだけで、前の所有者の会話を復元できてしまう可能性があります。
この欠陥の危険性は、アプリの利用目的によってさらに高まります。冒険家やアスリートは、地理的位置情報データ、旅行計画、僻地での移動の詳細を共有するためにこのアプリを利用しています。権限のない第三者がこれらのデータにアクセスすることは、単なるプライバシーの侵害にとどまらず、ユーザーの現在地を追跡したり、将来の目的地を知られたりすることで、ユーザーの身体的安全に対する直接的な脅威となる可能性があります。
Garmin社の対応と現状
報告によると、Garminのサポートサービスは、この挙動は「設計通りである」と回答しましたが、同社は送信された調査結果を精査することに同意しました。また、著名なスポーツテックレビュアーであるRay Maker氏（DC Rainmakerとして知られる）も同社に連絡を取り、Garminがこの問題を専門チームに転送したことを確認しましたが、現時点では修正の予定や脆弱性の公式な認定は行われていません。
データを保護するために何をすべきか？
報告書では、アプリをアンインストールするだけでは、電話番号とアカウントの紐付けは解除されないと説明されています。電話番号を変更したり、番号を手放したりする際にデータ漏洩のリスクを回避するには、アプリ内で以下の手順を実行する必要があります。
- Garmin Messengerアプリを開きます。
- 設定（Accounts）に移動します。
- Garmin Messengerアカウントの管理（Manage Garmin Messenger Account）を選択します。
- Garmin Messengerアカウントの削除（Delete Garmin Messenger Account）を実行します。
Garminは、この手順により、inReachのサブスクリプションをキャンセルすることなく、アカウントから電話番号の紐付けが解除されるとしています。