有名サイトでも過信は禁物

Bitlyの短縮URL悪用事件に見る、正しい短縮URLの使い方

米国のテレビ局MSNBCを標的としたサイバー攻撃は、ニュース放送局やニュースWebサイトに寄せられる一般からの信頼がサイバー犯罪者によって悪用されたことを意味するとWebsense Security Labsは指摘する。

　米Websense Security Labsの研究員が、MSNBCのWebサイトから悪意のある偽のニュースサイトに読者をリダイレクトする、「今までに類のない」スパム攻撃を見つけた。この攻撃は、独自の短縮URLを作成する米BitlyのAPIキーを悪用して被害者をリダイレクトするものだという。

　Websense Security Labsはこれまでに、悪意のあるリンクを含むスパムメッセージが「Googleグループ」「Yahooグループ」および電子メールを通じて拡散されていることを特定している。

　Bitlyは、URLを使いやすい形式に短縮するサービスだ。短縮URLは文字数が少ないため、やりとりが容易になる。

　企業は、自社の「短縮ドメイン」を設定し、DNSの設定をBitlyのサーバに変更できる。Bitlyの各顧客には、完全なURLから短縮URLを生成する際に使用する専用のAPIキーが提供される。

　専用の短縮ドメインを設定したアカウントにAPIキーが関連付けられていれば、カスタム短縮ドメインを使用した短縮URLが生成される。例えば、MSNBCのBitlyアカウントにAPIキーが関連付けられている場合、“hxxp://bit.ly/”ではなく“hxxp://on.msnbc.com/”を使った短縮URLになる。

　今回の攻撃では、Bitly APIキーが公になったため、スパムの発信者に悪用されて“hxxp://on.msnbc.com/”から4段階のリダイレクトチェーンを経由してリダイレクトされた。

　ただし、Websenseのブログ記事によると、Bitlyはリダイレクト先ページをブロックすることでユーザーを保護しているという。

　Websenseのセキュリティ調査部門シニアマネジャーのカール・レオナード氏は、今回の事件はニュース放送局やニュースWebサイトに対するユーザーの信頼をサイバー犯罪者がいかに悪用しているかを明らかにしたと話している。

　「MSNBCのように誰もが知っているブランドの短縮URLがサイバー犯罪者に悪用されていると疑う読者はほとんどいないだろう」

　「単純な戦術転換だが、犯罪者はこれまでMSNBCが培ってきた視聴者からの信頼を悪用して、読者に疑われることなく強力なマルウェアに感染させることができた」

　また、犯罪者がMSNBCのログアウトページにあるリダイレクトの未検証の欠陥を悪用して、知らない間に読者を悪意のあるWebサイトにリダイレクトしていることもWebsense研究員が突き止めている。具体的には、以下のような仕組みになっている。

この記事の著者

新着ホワイトペーパー PR

• 製品資料
  [株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる
• 製品資料
  [株式会社キーエンス] なぜRPA導入は頓挫する？　シナリオ作成の壁を乗り越える解決策とは
• 製品資料
  [株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？　PLMとの融合で実現する高速開発
• 事例
  [日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？　「新たな働き手」を支える3要素とは
• 製品資料
  [日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣