Zalogowałeś się do Pokemon Go za pomocą konta Google? Lepiej to przeczytaj

Logując się do Pokemon Go przy pomocy konta Google, dajesz firmie Niantic pełny do niego dostęp (np. sprawdzanie i modyfikacja e-maili czy dokumentów Google).

Jeśli jesteś jedną z wielu osób, które nie chciały czekać na oficjalną, polską premierę Pokemon Go to zapewne już się z nią zapoznałeś. Jednak aby móc zagrać w najnowsze dzieło Niantic należy najpierw zalogować się do istniejącego konta w Trainer Club. Problem w tym, że serwery firmy wciąż bywają przeciążone, a w ostatnich dniach nijak można było stworzyć potrzebne konto przy pomocy tego rozwiązania.

Drugą możliwością stworzenia konta jest powiązanie gry z kontem Google’a. Większość użytkowników iPhone’ów napotykających na wyżej opisane błędy, spróbowało właśnie tej opcji. Teraz okazuje się, że w ten sposób firma Niantic otrzymuje pełny dostęp do konta Google. Łącząc konta, nic nie wskazuje na taką możliwość. Nie pojawia się żadna informacja, dzięki której użytkownik może dowiedzieć się o takim skutku.

Uzyskanie pełnego dostępu przez firmę Niantic umożliwia jej (teoretycznie) przeglądanie i modyfikowanie prawie wszystkich informacji na powiązanym koncie Google. Wobec powyższego, każda osoba, która ma dostęp do serwerów Niantica może przeglądać e-maile, dokumenty Google, historię przeglądania, prywatne zdjęcia i inne rzeczy znajdujące się na koncie użytkownika.

Na powyższe informacje zdążył już zareagować sam producent, który wykluczył chęć przeglądania e-maili i jakąkolwiek inną ingerencję w konto. Co więcej, problem z wysokim dostępem ma zostać rozwiązany w przeciągu najbliższych dni. Obecnie można manualnie zredukować poziom dostępu aplikacji Pokemon Go przechodząc pod ten adres.

Dla uspokojenia, deweloper Slacka Ari Rubinstein sprawdził token OAuth wykorzystywany przez grę. Rezultaty zamieścił na stronie GitHub. Wynika z nich, że problemem jest wykorzystanie przestarzałego API, które powoduje, że Google wyświetla informację „pełny dostęp”, aczkolwiek aplikacja Pokemon Go pobiera jedynie ID użytkownika oraz jego adres e-mail.

Źródło: adamreeve