ハッカーの興味はAndroidに移行か？
ドライブバイ攻撃、アプリ経由の情報漏えい――米研究が発見した最新Android脅威
ウイルス対策製品を手掛ける米Dasientの研究チームが、Android端末に深刻な影響を及ぼすドライブバイ攻撃を実証した。
ウイルス対策製品を手掛ける米Dasientの研究チームが、Androidを搭載した携帯端末に深刻な影響を及ぼす「ドライブバイ攻撃」について発表した。この手口は、攻撃者がネットワークにアクセスして端末から情報を盗み出せてしまう恐れがある。
ドライブバイ攻撃などWebベースの脅威は、これまでデスクトップPCに限られてきた。しかしDasientのニール・ダスワニ最高技術責任者（CTO）は、ラスベガスで2011年8月に開かれたセキュリティカンファレンス「Black Hat 2011」でAndroid携帯に対する最新の攻撃について触れた。
「ユーザーが携帯電話でWebページを見ただけで、攻撃者がその携帯電話へのバックドアチャネルを開くことができてしまう攻撃を仕掛けることが可能だ」とダスワニ氏は言う。
同社の研究チームが発表したAndroid攻撃は、同スマートフォンのブラウザエンジンWebKitの脆弱性とSkypeのコーディングエラーを突いて、Androidに実装された隔離型セキュリティ機能のサンドボックスを迂回する。共通ブラウザエンジンのWebKitは、PC向けと携帯向けブラウザ多数に利用されている。Google Chrome、Apple Safari、HPのwebOSは、いずれもWebKitを使ってWebページを処理している。WebKitの脆弱性は過去にも発見され、その多くは修正されてきたが、一部の修正が極めて難しいメモリ破損問題は未解決のままだった。
Dasientの研究チームは、WebKitで浮動小数点を解析する方法に存在する問題を突いて（このコーディング技術は一般的にバッファオーバーフローの誘発に利用される）、攻撃者が悪質なコードを実行したり、ブラウザをクラッシュさせたりすることができるようにした。同様のWebKitの脆弱性は、過去にもAppleやGoogleが修正している。
「ブラウザに対し、浮動小数点を生成するよう指示を出す。しかしブラウザにはそれを正しく処理する方法が分からず、標的とした携帯電話へのネットワークアクセスを確立できるエクスプロイトの作成が可能になる」（ダスワニ氏）
同氏によると、携帯電話に対するドライブバイ技術は、過去にiPhoneで使われたことがあるという。あるWebサイトがドライブバイ技術を使い、ユーザーがそのサイトを見ただけでiPhoneのロックを解除して脱獄（Jailbreak）できるようにしていた。Android攻撃に関する詳細は、8月4日にBlack Hatが発表した。
Androidアプリ経由のプライバシー情報流出
Dasientはまた、何百というAndroidアプリからのデータ流出問題を発見した。同社の調査チームは1万本以上のAndroidアプリについて動作分析を行い、そのうち800本にプライバシー侵害問題があると報告している。この調査結果もBlack Hat 2011のプレゼンテーションで発表するという。
同社のチームは各アプリケーションのネットワーク関連の動作を調べた。中にはSMSと連動させたり、他のスマートフォンユーザーにメールを送るアプリケーションもあった。さらに、ユーザーの端末のIDとユーザー名、連絡先情報をさまざまなサーバに送信しているアプリケーションも見つかった。
多数のAndroidアプリに仕込まれているのが見つかったマルウェアの「DroidDream」と異なり、Dasientの調査で情報を流出させているのが発覚したアプリケーションの大半は、本来は悪質な意図を持っていたわけではなかった。ダスワニ氏によれば、多くはコーディングにミスがあり、中には開発者が重要なデータを保護するつもりで暗号の使い方を誤っていたケースもあった。別のケースではアプリケーションが重要な情報に何の安全対策も施さないまま暗号化せずに流出させていた。
「開発者がユーザーの個人情報に気を配っていないのは明らかだ。モバイルアプリケーションに対するユーザーの信頼を本当に維持したいのなら、アプリケーションのコーディングと開発にはもっと慎重になる必要がある」とダスワニ氏は話している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[ニュータニックス・ジャパン合同会社] クラウドネイティブ戦略ガイド：8つの主要課題と解決策を解説 -
製品資料
[ニュータニックス・ジャパン合同会社] プラットフォーム技術者のための「クラウドネイティブ」プレイブック -
製品資料
[ニュータニックス・ジャパン合同会社] ハイブリッドクラウドでハードウェア価格高騰のリスクを回避する方法 -
製品資料
[ニュータニックス・ジャパン合同会社] AI時代に必要なインフラモダナイゼーションの考え方とは？ -
製品レビュー
[Dropbox Japan株式会社] ランサムウェア対策で見直したい「復旧できるファイル基盤」とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
鹿島建設のDXを阻む「10年前のAWS」 安全性と自由度を両立したモダナイズ
-
4
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
7
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
8
「法人向けPCおよび周辺機器の利用状況」に関するアンケート
-
9
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
10
「野良Excelマクロ」に悩むSMBC日興証券が導き出した内製化の“現実解”
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
3
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
8
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
9
“あのファイル転送”で暗躍するノーウェアランサム
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー