イスラエルのモバイルセキュリティベンダーSkycureの共同創業者、アディ・シャラバニ最高経営責任者（CEO）とヤイル・アミット最高技術責任者（CTO）は、オランダのアムステルダムで開かれた「RSA Conference Europe 2013」でこの問題について講演し、一般的なURLキャッシュへのアプローチに起因するiOSアプリの脆弱性について解説した。アミット氏によると、この問題はiOSアプリの間であまりに広くまん延していたことから、脆弱性のあるアプリのベンダーに個別に通知するという通常の手段を取ることができなかったという。そこでRSA Europeのプレゼンテーションを通じてこの問題をベンダーに知ってもらい、両氏が提供するキャッシングエラー修正のためのコードをできるだけ早く実装してもらいたいと呼び掛けている。

　両氏が「HTTPリクエスト乗っ取り」と名付けたこの脆弱性は、まず中間者攻撃から始まり、攻撃者は公共の場でWi-Fiネットワークに接続して、被害者についての情報を気付かれないうちに収集する。モバイルアプリケーションがサーバからの情報リクエストを試みると、トラフィックに介入した攻撃者は、「301 Moved Permanently」（永久的な移転）のステータスを示すHTTPレスポンスをアプリに返す。これでアプリの通信ハブをベンダーのサーバから攻撃者のサーバに入れ替えることが可能になる。

　モバイルアプリでは被害者が同じWi-Fiネットワークに接続しているかどうかを問わず、301のレスポンスが恒久的にキャッシュされるため、このコーディングエラーはモバイルアプリにとって特に問題だとアミット氏は言う。Webブラウザでは閲覧しているサイトのURLがアドレスバーに表示されるのに対し、モバイルアプリでは通常、情報を取得しているサーバのURLは表示されず、被害者は自分が正規のコンテンツを見ているのかどうかを判断するすべがない。ユーザーがアプリをアンインストールしない限り、攻撃者はこの単純な脆弱性の悪用を通じてアプリをいつまででも制御できる。

　攻撃者がこの攻撃手法を選ぶ理由についてアミット氏は、Syrian Electronic Army（シリア電子軍）が米大手通信社Associated Press（AP）のTwitterフィードを乗っ取ってツイートを送信し、米株式市場を一時的に急落させた事件を引き合いに出した。攻撃だと分かった時点で市場は元に戻ったが、発見が早かった1つの理由は、この攻撃にAPの乗っ取られたアカウントが使われていたため、APが即座に問題に気付いたからだった。だが、アミット氏によれば、今回新たに見つかった脆弱性は、例えばウォール街の特定の投資家を狙い撃ちにできる可能性がある。アプリが乗っ取られた投資家のみに虚偽のコンテンツが表示されるため、見つかる確率は極めて低い。

　アミット氏は言う。「われわれはiPhoneやiPhoneのアプリにあまりに大きく依存し、アプリは確実なものと思っている。だが、今朝読んだあのニュースは本当のニュースだったのか。それとも攻撃者が自分に送り付けた虚偽の情報にすぎなかったのか」

　両氏がこの問題を確認したのはiOS向けのアプリのみだが、特定のAndroidアプリにも同じ脆弱性が存在する可能性はあるとアミット氏は解説する。いずれにしても、モバイルアプリのセキュリティは信頼されすぎていると同氏は言う。Appleと米Googleがそれぞれのアプリストアで講じてきた対策は、セキュリティの観点からは効果があったとしながらも、多くのユーザーはそのために、どんなアプリケーションにも起こり得る単純なコーディング問題を見過ごしていると同氏は指摘した。

　「10年前はWebアプリケーションの脆弱性はそれほど重大な問題ではないと誰もが思っていたが、今ではWebアプリケーションのセキュリティ対策の重要性と、それがいかに簡単に悪用され得るかは誰でも知っている。私の予想では、既にその傾向は拡大しつつあるが、モバイル端末のアプリケーションコードにも問題は出てくるだろう。AppleやGoogleはよくやっているが、これは避けられない。コーディング問題は常に発生し、セキュリティに影響を及ぼす」。アミット氏はそう話している。