arXiv cs.CRは2026年9月13日(現地時間)、モバイルネットワーク事業者（MNO）ベースのシングルサインオン（MSSO）を利用するウェブサイトにおいて、広範なセキュリティ上の欠陥が存在することを指摘する研究論文を公開した。パスワード不要のMSSOがモバイルアプリからウェブサイトに拡大する中で、主流の展開における信頼性の欠陥を分析。ワンクリックで個人情報が漏洩する「One-Click-to-Leak（OCL）」攻撃が可能となる実態を明らかにした。
本研究は、MNO（モバイルネットワーク事業者）がアイデンティティプロバイダー（IdP）、サービスプロバイダー（SP）が認証アンカーとなるMSSO（MNOベースのシングルサインオン）の3段階ワークフローを詳細に分析し、信頼性ハイジャックを可能にする3つの信頼性欠陥を特定した。
研究チームは、大手セキュリティ企業と共同で、ウェブベースのMSSOに関する初の大規模かつ長期的な調査を実施した。受動的DNS（ドメインネームシステム）相関と検索データからのURL再構築を用いた階層的検出フレームワークを設計し、MSSO対応ウェブサイトを特定した。
1年以上にわたる調査の結果、729の頂点ドメインにわたる116,852のウェブサイトURLが特定された。これらのURLのうち、73.6%が少なくとも1つの信頼性欠陥を示していることが判明した。具体的には、69.4%で開発者認証情報が露出し、27.1%でユーザーの同意前に高権限トークンが発行されていた。これらは、ワンクリックで個人情報が漏洩するOCL（One-Click-to-Leak）攻撃を可能にする広範な信頼性欠陥の存在を強く示唆している。
また、729の頂点ドメインのうち31.8%がリセラーに依存しており、分析された認証フローにおいて、下流のSPがMNOから隠蔽される状況が確認された。スクリプト分析により、OCL攻撃の挙動と強く関連する101のウェブサイトが特定された。提携パートナーとの調査では、その後法執行機関に押収された代表的なアップストリームプラットフォームが追跡され、金銭化されたアンダーグラウンドエコシステムの存在が明らかになった。
匿名化されたバックエンドデータからは、このプラットフォームがわずか3日間で14,100人のユーザーの電話番号を収集し、閲覧活動などの機密情報と関連付けていたことが判明した。本研究は、ウェブベースのMSSO展開とセキュリティへの影響に関する包括的な調査を提供し、責任ある情報開示を通じてモバイル認証エコシステムのセキュリティ向上に貢献している。
この研究論文は、オランダのハーグで開催される2026 ACM Conference on Computer and Communications Security (CCS 2026)の議事録に掲載される予定である。
参考: arXiv cs.CR (アーカイブ) — 2026年9月14日 13:00 (JST)
原文ハイライト"One Click to Leak"