ビールメーカーBrewDogは脆弱性にどう対処したのか【前編】
ビール愛好家が攻撃の的に 「BrewDogモバイルアプリ」脆弱性とは何だったのか
英国ビールメーカーBrewDogのモバイルアプリケーションに脆弱性が見つかった。個人情報の流出の恐れがあったこの脆弱性はどのようなものだったのか。発見の経緯とともに説明する。
英国ビールメーカーBrewDogは、同社のモバイルアプリケーションに脆弱（ぜいじゃく）性が見つかったため、同アプリケーションを更新した。この脆弱性によって、同社が運営するクラウドファンディングサイト「Equity for Punks」の利用者約20万人や同社顧客の個人情報が流出する恐れがあったという。
対象の情報には氏名や生年月日、性別、メールアドレス、住所、電話番号、クラウドファンディングの出資者番号、ビール購入歴などが含まれていた。BrewDogによると、これらの情報は少なくとも18カ月間、アクセス可能になっていた。
URLの末尾を変えるだけで顧客情報が閲覧可能に なぜ、そうなっていたのか
今回の脆弱性を発見したのは、サイバーセキュリティコンサルティングを手掛けるPen Test Partnersの調査員だ。同社によると、BrewDogのモバイルアプリケーションは、API（アプリケーションプログラミングインタフェース）認証用のベアラートークン（持参人トークン）を全てのユーザーに付与していた。ベアラートークンは通常、認証要求に成功した場合にのみ、特定ユーザーに付与するトークン（認証情報）だ。
BrewDogのモバイルアプリケーションは、ベアラートークンをソースコードに埋め込んでいた。そのためユーザーはAPIエンドポイント（APIにアクセスするためのリソース）のURLの末尾に入れる顧客IDを変えることによって、他のユーザーの情報にアクセスできた。攻撃者が顧客IDを総当たりすれば、BrewDogのモバイルアプリケーションの全ての顧客情報を入手することも可能になっていたという。
Pen Test PartnersとBrewDogは、顧客情報にアクセスされた痕跡はないと説明している。Pen Test PartnersはBrewDogに対し、徹底した調査を実施し、被害状況を詳細に確認することを求めている。BrewDogのモバイルアプリケーションの不備は今回問題になったベアラートークン以外にもあるとみて、アプリケーション開発プロセスの改善に取り組むべきだとも指摘している。
「BrewDogにとっては、セキュリティ担当者が直接アプリケーション開発に関わったり、セキュリティリスクが発見された際に迅速に対策を講じたりするための体制づくりが急務だ」。Pen Test Partnersの調査員はこう言う。
後編は、脆弱性の発見を受け、BrewDogはどう対処したかを見る。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly発 世界に学ぶIT導入・活用術
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
なぜワンキャリアは障害復旧を3時間から1時間以内に短縮できたのか -
製品資料
自社のDevSecOpsはどこまで進んでいる？ 進捗を測る指針“成熟度モデル”とは -
製品資料
実際に悪用される脆弱性は4％前後 優先的に対処すべき脆弱性を把握するには？ -
事例
三菱ケミカルが脆弱性への迅速な対応フローを実現した方法とは？ -
技術文書・技術解説
MDMだけでは防げない？ Appleデバイスに潜む5つのセキュリティギャップ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
IT人材の42％が転職予備軍 辞めさせない組織の4つの共通
-
2
LLMの「過学習」、正しく説明している文章はどれ？
-
3
契約作成からKYCまでAIが完結 独金融大手が3000人を削減してまで狙う破壊的効率化
-
4
「HDD終了」は本当か 巨大クラウド2社が下した大容量フラッシュへの決断
-
5
「業務改善とツール活用」に関するアンケート
-
6
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
7
【漫画付き】"RAG導入失敗3例"と処方箋 「入れても使われない」を終わらせる
-
8
GitHub Copilotを使いこなす第一歩 初めてのプロンプト6つのコツ
-
9
急増する「AIはこう言ってる」マン 判断を狂わせる「AI忖度」を防ぐには？
-
10
ただで使い「12時間以内の復旧」を迫る 無償OSSを商用扱いする日本企業の末路
ホワイトペーパーランキング PR
-
1
属人化や仕様バグはなぜ起きる？ AI時代に必須のドキュメント文化の作り方
-
2
「NAS」「SAN」「DAS」は何が違う？ いまさら聞けないストレージの基礎
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
財務を戦略的組織へ進化させるAI活用術、4つの主要な障壁と解消方法
-
5
中小企業必見、Microsoft 365でゼロトラストセキュリティを実現する方法
-
6
セキュリティソフトをすり抜ける標的型攻撃メール、不審メールの見破り方とは？
-
7
“あのファイル転送”で暗躍するノーウェアランサム
-
8
5分で分かる「AI駆動開発エージェント」 要件定義から設計・実装・テストまで
-
9
動画で知るランサムウェア被害企業のリアル、会計データが無事だった理由とは
-
10
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー