この欠陥はThe Smartphone Champが発見したもの。昨日ご紹介した方法はルートアクセスおよび多少のブルートフォースを必要としたが、それとは異なり、このハッキングはその必要がほとんど無い。携帯電話にアプリケーション・データのリセットを命じるだけで良いからだ。それによりPINがワイプされるが、カードの詳細はワイプされないため、新たなPINが入力され、ただちにトランザクションが可能になるのだ：
Googleは声明を出すことで、これに反応しているようだ。もし友達に端末を譲る予定があるか、電話を盗まれた場合に問い合わせできる電話番号（855-492-5538）を、そこで提供しているからだ。Googleは次に、ウォレットをタップすることで電話が支払いに使用されるのを防ぐべく、プリペイドカードを使用停止にするだろう。
このような状況がどのように起きたのかを推測するのは簡単だ。Googleが何故、もっと前にこの問題に気づかなかったかを理解する事は、より難しいが。Androidアプリケーション・マネージャーは、アプリのアンインストールのほか、アプリのキャッシュをクリアし、特定のアプリケーションに関連する全データをワイプすることを可能にする。そしてGoogle Walletアプリが、ユーザーのPINをファイルに保存しており、そのデータをワイプすると、PINもワイプされることを我々は知っている。
ところが、カードの詳細そのものは、携帯電話のファイルシステムには保存されておらず、Secure Elementで安全に保存されている。よって「アプリケーション・データ」が削除されようと、それはワイプされないのだ。
データの削除後にGoogle Walletを実行すると、それは初めて実行されたと考え、律儀にもユーザーにPINを作成するよう求める。次インプリペイドカードを追加するよう求め、既にSecure Elementにインストールされているのを発見し、使える状態にする。
こんな事で、Google Walletの安全性が本物の財布よりも低くなることは無い。実際、若干セキュアであることに変わりはないし、このような（銀行、支払い処理機構、信頼できる第三者機関を含む）複雑なアーキテクチャを実装する際に起きる、典型的な初期の困難と言える。しかし極めて厄介であり、販売が思いのほか容易ではないことが、既に分かっているテクノロジーの将来を脅かしてはいる。
※本記事は有料版に全文を掲載します
© The Register.
（翻訳：中野恵美子）
略歴：翻訳者・ライター
