広告を見るだけでスパイウェアに感染する攻撃が実際に確認されたので、仕組みを調べ、我が家のPCとスマホの防御を見直しました。なお、昨日のポストにアドバイスいただいたので対処方法を修正しています。ここでは攻撃の仕組みと研究者が推奨する対策、その限界、そして我が家で実施できる対策について整理していきます。 ◆何が起きたのか Citizen Labが「AdFection」と呼ばれる攻撃手法を報告しました。 ・オンライン広告を通じて、端末へ攻撃コードを配信する。 ・広告をクリックする必要はない。 ・ファイルをダウンロードする必要もない。 ・実際に商用スパイウェアによる感染が確認された。 これは「ゼロクリック攻撃」と呼ばれる攻撃で、ユーザーのクリックなどの操作を必要としないのが特徴です。 ◆感染の仕組み 通常のWebサイトやアプリでも、広告は外部の広告配信事業者から読み込まれます。ここではJavaScriptというプログラムなどが使われます。 今回の攻撃では、 ① ユーザーがWebサイトやアプリを開く。 ② 広告に組み込まれたコードが実行される。 ③ 広告配信側が端末の識別情報などを取得する。 ④ 攻撃者が標的を選別し、追加のコードを配信する。 ⑤ ブラウザやOSの防御を突破すると、スパイウェア感染に至る。 という経路が確認されました。 重要なのは、サイトやアプリ自体が悪意を持っていなくても、利用している広告配信網が攻撃経路になることです。 ◆標的型だから安全なのか？ 今回の攻撃は、特定の標的を狙ったものでしたが、攻撃側の能力を考える必要があります。 ・攻撃者は大量の端末へ広告を届けられる。 ・その中から特定の端末を選別して攻撃できる。 ・対象を限定していたことは、無差別攻撃ができないことを意味しない。 今回、広告に接触した人の多くが攻撃されなかったとしても、それは端末が安全だったという証明にはなりません。 攻撃者が誰を攻撃するか選べるからです。 ◆認証情報は盗まれるのか ここも重要でした。 関連する技術調査では、広告経由でCookieなどの情報が収集され、一部のWebサイトではログインセッション情報まで含まれていました。 Cookieとは、Webサイトがログイン状態などを管理するためにブラウザへ保存する情報です。 その中には、パスワードを入力し直さずに本人として利用を続けるための情報もあります。 つまり、パスワードが流出していなくても、セッション情報を悪用されれば、本人になりすまされる危険があります。 ◆ネット広告そのものへの懸念 今回、個人の端末以上に気になったのが、広告配信網への信用です。 多くのWebサイトや無料サービスは、広告収益によって運営されています。 しかし、広告を見るだけで感染する危険が広がれば、利用者は広告そのものを拒絶するようになるでしょう。 広告ブロックが普及すれば、広告収益に依存する媒体も影響を受けます。 個人のセキュリティ問題が、無料のインターネットを支える経済構造へ波及し得る点は、今後も警戒したいところです。 ◆研究者が推奨する対策 Citizen Labの原報告では、個人向けに次の対策が推奨されています。 ① 総合的なセキュリティ対策の強化 ② 信頼できる広告ブロッカーの使用 ③ プライバシーを重視したブラウザの使用の検討 ④ スマホの広告識別子の管理、広告トラッキングの無効化、アプリの追跡拒否機能の利用 ⑤ 家庭内ネットワークでの広告遮断、または広告遮断機能のある信頼できるVPNの利用の検討 広告識別子とは、広告の配信や効果測定などのために端末を識別する情報です。また、特に高度な攻撃を受ける危険がある人には、専門家への相談も報告内で推奨されています。 ◆推奨される対策の限界 今回の攻撃では、ブラウザ上の広告だけでなく、スマホのアプリ内広告にも広く攻撃者のコードが配信されていました。 調査された広告入札の約76.7％は、モバイルアプリ向けでした。 したがって、ブラウザの広告ブロッカーだけでは、通常のアプリ内広告に対処できません。 また、広告トラッキングを制限することは、利用者の識別を難しくする対策ですが、悪意ある広告コード自体を遮断するものではありません。 アプリ内広告への対策には、DNSやVPNなどを利用して広告通信を遮断する方法があります。しかし、正常なアプリの機能にも影響する可能性があり、ITに詳しい人でないと設定や管理が難しいかと思います。 広告ブロッカーやアプリ内広告への具体的な対策については、別途検討することにします。 ◆広告ブロッカー以外で我が家が採用した対策 総合的なセキュリティ対策の強化やプライバシーを重視したブラウザの使用の検討という指針を受け、我が家では、まずiPhoneのSafariとWindowsのChromeについて、標準セキュリティ機能を確認し、必要な設定を見直すことから始めました。 【iPhone・Safari】 設定 → アプリ → Safari ・「サイト越えトラッキングを防ぐ」をオン。 ・「IPアドレスを非公開」はトラッカーに非公開。 ・「詐欺Webサイトの警告」をオン。 ・「接続が安全でないときに警告」をオン。 ・iOSを最新の状態に維持する。 ※サイト越えトラッキング防止は、異なるサイトをまたいだ利用者の追跡を制限する機能で、広告自体を全面的に遮断するものではありません。（添付画像は我が家で設定を見直した後の状態です） 【Windows・Chrome】 設定 → プライバシーとセキュリティ → セキュリティ ・セーフブラウジングの標準保護を有効にする。 ・安全な接続を使用する設定をオン。 ・パスワード漏洩時の警告をオン。 ・セキュアDNSを有効にする。 ・ChromeとWindowsを最新の状態に維持する。 セキュアDNSは、接続先のドメイン名を調べる通信を保護する仕組みです。 特にOSやブラウザの更新は、攻撃に悪用される脆弱性を修正するという意味でも重要です。 なお、これらは広告ブロッカーの代わりになるものではなく、標準機能で行える防御の強化です。 ◆最終的な判断 今回の事件によって、新たな脅威を認識しました。 「怪しいリンクを踏まなければ大丈夫」という対策だけでは、すべての攻撃を防げません。 研究者は広告ブロッカーやネットワーク単位の広告遮断などを推奨していますが、一方で、個人がすべての対策を実施し、維持するのは簡単ではありません。防御には副作用も手間もかかり、普段利用しているサービスへの影響も考える必要があります。 そこで我が家では、 ・まず、標準機能でできる防御を整える。 ・OSやブラウザを最新の状態に保つ。 ・広告ブロッカーなどの追加対策は、具体的な導入方法と影響を検討する。 ・塞げない攻撃経路は残存リスクとして認識する。 という方針で進めます。 本件には、個人の努力だけでは対応できない部分もあり、広告配信網のセキュリティ強化は広告事業者に、端末そのものの防御強化はAppleなどのOS開発元に期待することになります。 塞げる攻撃経路は塞ぐ。塞げない経路は残存リスクとして認識する。 そのうえで、日常生活への負担も踏まえて、どこまで防御を追加するか判断していきたいと思います。 広告ブロッカーの具体的な選定や、アプリ内広告への対策については続報で詳しく書きます。