類似ドメインのWebサイトに誘導し、個人情報を取得

写真：ネットワンシステムズの山崎文明氏

　Bit-Squattingについて説明する前に、まずはBit-Squattingによく似た攻撃手法である「Typo-Squatting」について見ていこう。

　Typo-Squattingは、ドメイン名をタイプミスしたエンドユーザーを意図しないWebサイトに誘導したりする攻撃手法である。攻撃者は、正規のドメイン名に類似したドメイン名（ドッペルゲンガードメイン）を取得する。「www.example.com」のaをeに変えただけの「www.exemple.com」といったドメイン名がドッペルゲンガードメインの一例だ。攻撃者はドッペルゲンガードメインに、正規サイトにそっくりな偽のWebサイトを用意する。間違ってドッペルゲンガードメインを入力してしまったエンドユーザーは、偽のサイトに誘導される。攻撃者は、エンドユーザーが偽のWebサイトに入力したIDやパスワードといった情報を盗む。

　Typo-Squattingが脅威となるのはWebサイトだけではない。メールアドレスの打ち間違いによる誤送信メールも攻撃者の標的となる。米コンサルティング企業Godai Groupが2011年9月6日に公表した実験結果は、その脅威を端的に示すと山崎氏は説明する。Godai Groupは実験で、実在する151社のドメイン名によく似たドッペルゲンガードメインのメールサーバを6カ月間設置。その結果、12万通以上のメールの収集に成功したという。収集したメールには、ネットワーク構成や従業員の個人情報、ユーザー名／パスワードといった情報が記載されていた。

熱や磁気が引き起こす「Bit-Squatting」

　本題であるBit-Squattingに話を戻そう。Bit-Squattingは、ハードウェアに発生するエラーを悪用して、エンドユーザーを意図しないドメイン名のWebサイトに誘導したりする攻撃手法である。Typo-Squattingと似ているが、Typo-Squattingの原因が人的ミスなのに対して、Bit-Squattingはハードウェアのエラーが原因であるという点が異なる。

　攻撃者が悪用するのは、コンピュータの内部メモリに発生するビットエラーにより、ドメイン名がビット単位で変化してしまう現象だ。ビットエラーとは、「0」であったはずのビットが「1」に変化するといったように、データを構成するビットが変化してしまうことを指す。コンピュータが発する熱や磁気、宇宙線といった自然界で起こる現象が原因で発生するため「Bit-Squattingの回避はほぼ不可能」だと山崎氏は指摘する。

　Bit-Squattingの原因となるビットエラーは、どの程度の頻度で発生するのだろうか。米セキュリティ調査会社であるRaytheonでセキュリティリサーチャーを務めるアルテム・ディナブルク氏によると、インターネットに接続している世界中のデバイスを合せると、1時間に約60万回のビットエラーが発生していると考えられるという。これは理論からはじき出した数値だが「実際に相当数のビットエラーが発生していると考えられる」と山崎氏は注意を促す。

　山崎氏は、「特にスマートフォンやタブレット端末のようなモバイル端末の場合、問題はさらに深刻になる」と警告する。「スマートフォンはサーバやクライアントPCのように冷却機能を持たない。熱によるビットエラーの発生をいかに抑えるかが課題となる」

Bit-Squattingにどう対処するか

　Bit-Squattingの発生自体を防ぐことは難しい。企業ができる対策とは何か。

　山崎氏は即効性のある対策として、エンドユーザーの入力間違いやBit-Squattingで誘導されるドッペルゲンガードメインを企業が自ら率先して取得する「プレレジスター」が有効だとアドバイスする。「例えばグーグルは『www.gooogle.com』や『www.goolge.com』といったドッペルゲンガードメインを取得し、正規ドメイン名である『www.google.com』にリダイレクトさせている。間違いやすいドメイン名は、可能な限り積極的に取得するのが望ましい」

　プレレジスターだけでなく、「ログインシールやパーソナルメッセージなど、本人だけが知る情報を基にした認証手段を設けることも有効な対策の1つ」だと山崎氏は指摘する。

　またスマートフォンの熱に対処するためには、「夏場に自動車の中にスマートフォンを放置しないようにするなど、高温環境に置かないよう配慮することが必要」と山崎氏は注意を促す。