APIの取り扱いミスが引き起こす問題【前編】
Booking.comの「Facebookでログイン」に実装ミス 起こり得た最悪の事態とは
宿泊施設予約サイト「Booking.com」に脆弱性が見つかった。「Facebook」などのソーシャルメディアのアカウント経由でログインするためのプロトコル「OAuth」の実装に問題があったという。その危険性とは。
2023年3月、宿泊施設予約サイトBooking.comにおいて、権限を認可するためのプロトコル「OAuth」（Open Authorization）の実装に重大な脆弱（ぜいじゃく）性があることが発覚した。OAuthは、ソーシャルメディアのアカウントを介してさまざまなWebサイトにログインすることを可能にする方法として普及している。その実装の何が問題だったのか。
「便利なOAuth」だからこそ招いた危険
調査を実施したのは、API（アプリケーションプログラミングインタフェース）セキュリティベンダーSalt Secutiryの研究部門であるSalt Labsだ。調査員は、Booking.comの認可処理中における特定の操作を改変することにより、ログインセッションを乗っ取って正規ユーザーになりすますことができることを発見した。これにより攻撃者は、個人を特定する情報をはじめ機密データを漏えいさせたり、宿泊施設の予約やキャンセルといったアクションをユーザーの代わりに実行したりすることが可能になる。
Salt Labsによると、ソーシャルネットワーキングサービス（SNS）「Facebook」のアカウントを介してBooking.comにログインするように設定しているユーザーは、誰でも被害に遭う可能性がある。Facebookアカウントによるログインの人気と、Booking.comの利用者数を考えると、悪用が成功した場合「数百万人が影響を受ける恐れがあった」とSalt Labsは見積もる。攻撃者は盗んだBooking.comのアカウントを悪用して、Booking.comの傘下にある旅行情報比較サイトKAYAKのユーザーアカウントにもログインできたことを考えると、事態はさらに深刻だ。
「OAuthはあっという間に業界標準となり、世界中のWebサービスが利用している」とSalt Securityのリサーチ担当バイスプレジデントであるヤニブ・バルマス氏は述べる。そのためAPIの取り扱いミスは、機密データを悪意のある者にさらし、企業と顧客の双方に重大な影響を与える原因になりかねない。「脆弱性はどのWebサイトにも存在し得る。急速に普及した結果、大半の企業が自分のWebサービスに潜む無数のセキュリティリスクに気付かないままでいる」とバルマス氏は指摘する。
次回は、Salt LabsとBooking.com運用元が脆弱性をどのように修正したのかを紹介する。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社キーエンス] 過去にRPA導入をあきらめた企業こそ知っておきたい 失敗しない自動化導入術 -
製品資料
[株式会社キーエンス] 自分ひとりでデスクワークを効率化 「AI＆ナビ搭載RPA」で実践する業務自動化 -
製品レビュー
[サイボウズ株式会社] 京セラコミュニケーションシステムに学ぶ、製造業の現場でAIを定着させる方法 -
市場調査・トレンド
[サイボウズ株式会社] 元ヤンマーCIOの矢島氏が語るDXの本質：日本企業が陥った4つの落とし穴と解決策 -
事例
[アルテリックス・ジャパン合同会社] 管理会計の変革で大幅な業務削減も？ 大日本印刷の事例に学ぶ脱Excelの実践術
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
鹿島建設のDXを阻む「10年前のAWS」 安全性と自由度を両立したモダナイズ
-
2
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
3
年収が増えても幸せになれない 給与増でエンジニアが直面する「幸福度の壁」
-
4
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
5
「Excel管理」では限界――製造現場の改善が進まない“隠れた原因”
-
6
便利機能が「裏口」に コンテナの安全を脅かす“監視の穴”とは
-
7
「法人向けPCおよび周辺機器の利用状況」に関するアンケート
-
8
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
9
年収700万超エンジニアに共通するスキルと「もっと勉強すべきだった分野」
-
10
NECの「BluStellar」に必要なデータ保護と活用のための技術とは
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
3
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
8
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
9
“あのファイル転送”で暗躍するノーウェアランサム
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー