目次（6）
音声での匿名の出会い系アプリ BaseChat - Audio Dating App（Android 版 9.8.1）に、利用者の個人情報に関わる 3 つの問題が見つかりました。CERT/CC が VU#124705 として 2026-11-03 に公表し、JPCERT/CC も JVNVU#92281274（2026-11-04）で紹介しています。CERT/CC は、アプリの所有者である Mobile Trading GmbH に連絡がつかなかったとしており、修正版や回避策は示されていません。CVE 番号と CVSS は、11/7 時点で付いていません。
内容
CERT/CC の説明によると、問題は次の 3 つです。
- TLS 証明書の確認をしない（VU#124705.1）: バックエンド API への通信で、サーバー証明書を正しく確認せず、自己署名の証明書でも通ってしまいます。同じネットワーク上にいる攻撃者が通信を盗み見たり書き換えたりでき、セッションの認証情報を盗まれてアカウントを乗っ取られる恐れがあります。
- 電話番号で購入情報を引き出せる（VU#124705.2）: 有料会員のアカウントが、サブスクリプション管理の外部サービス（RevenueCat）に、電話番号（MSISDN）そのままの識別子で紐づけられています。アプリの APK に公開用の API キーが入っているため、そのキーで電話番号を指定して問い合わせると、その人の利用状況や購入履歴などのメタデータを取得できる恐れがあります。
- 電話番号がログに出る（VU#124705.3）: 製品版のアプリが、音声通話中に相手の電話番号を Android のシステムログに書き出します。匿名のはずの通話相手の電話番号を、端末のログから取り出せる恐れがあります。CERT/CC は、サーバーが他の利用者の電話番号をアプリに送ること自体も、プライバシーの侵害になるとしています。
CERT/CC は、3 件とも Android 版 9.8.1 で確認したとしています。
影響を受ける範囲
- 確認されているのは Android 版 9.8.1 です。
- ほかのバージョンや iOS 版への影響は、公表文に書かれていません（未確認）。
評価
| 指標 | 値 |
|---|---|
| CVE 番号 | 付いていません（11/7 に NVD を検索して該当なし） |
| CVSS | 付いていません（CERT/CC・JVN にも数値なし） |
| 攻撃の条件 | 1 は同じネットワーク上の攻撃者、2 は公開キーと対象の電話番号、3 は端末のログへのアクセス |
| 影響（CERT/CC） | 通信の盗み見・改ざん、アカウントの乗っ取り、電話番号と購入履歴などの個人情報の漏えい |
| EPSS | CVE 番号がないため値なし |
| CISA KEV | 掲載なし（11/7 確認） |
- 修正版がなく、利用者の電話番号という重い個人情報に関わるため、当サイトの基準では high を案とします。数値評価がなく、攻撃に条件があるため、medium にする考えもあります。
- CERT/CC は悪用の形跡について触れていません（未確認）。
修正と回避策
- 修正: 開発元に連絡がつかず、示されていません。
- 回避策: 公表文には書かれていません（未確認）。
利用者が考えられること
- 修正版が出るまでは、公共の Wi-Fi など信頼できないネットワークでこのアプリを使わないようにします。
- 通話中の電話番号がログに出るため、端末のログを外部に渡すツールや、デバッグ接続の使い方に注意します。
- 利用を続けるかを、扱う情報の重さと照らして判断します。やめる場合は、アプリ内のアカウントの削除や、購入のキャンセルの手順を確認します。
- 販売元の更新情報をストアで確認します。
未確認の点
- CVE 番号・CVSS の有無（11/7 時点で見当たらない）。
- 9.8.1 以外のバージョン、iOS 版への影響。
- 修正版の有無、回避策、開発元の対応状況。
- 悪用の有無。本稿は公開情報の読み取りで、再現はしていません。
- 報告者は CERT/CC の公表文に個人名で載っていますが、本稿には載せていません。
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が CERT/CC・JVN などの公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。
