Bitlyの短縮URL悪用事件に見る、正しい短縮URLの使い方：有名サイトでも過信は禁物

米国のテレビ局MSNBCを標的としたサイバー攻撃は、ニュース放送局やニュースWebサイトに寄せられる一般からの信頼がサイバー犯罪者によって悪用されたことを意味するとWebsense Security Labsは指摘する。

[Warwick Ashford，Computer Weekly] PC用表示関連情報

LINE

Hatena

　米Websense Security Labsの研究員が、MSNBCのWebサイトから悪意のある偽のニュースサイトに読者をリダイレクトする、「今までに類のない」スパム攻撃を見つけた。この攻撃は、独自の短縮URLを作成する米BitlyのAPIキーを悪用して被害者をリダイレクトするものだという。

Computer Weekly日本語版　9月3日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　9月3日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

Computer Weekly日本語版　9月3日号：企業はApple製品を受け入れるべきか？

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　Websense Security Labsはこれまでに、悪意のあるリンクを含むスパムメッセージが「Googleグループ」「Yahooグループ」および電子メールを通じて拡散されていることを特定している。

　Bitlyは、URLを使いやすい形式に短縮するサービスだ。短縮URLは文字数が少ないため、やりとりが容易になる。

　企業は、自社の「短縮ドメイン」を設定し、DNSの設定をBitlyのサーバに変更できる。Bitlyの各顧客には、完全なURLから短縮URLを生成する際に使用する専用のAPIキーが提供される。

　専用の短縮ドメインを設定したアカウントにAPIキーが関連付けられていれば、カスタム短縮ドメインを使用した短縮URLが生成される。例えば、MSNBCのBitlyアカウントにAPIキーが関連付けられている場合、“hxxp://bit.ly/”ではなく“hxxp://on.msnbc.com/”を使った短縮URLになる。

　今回の攻撃では、Bitly APIキーが公になったため、スパムの発信者に悪用されて“hxxp://on.msnbc.com/”から4段階のリダイレクトチェーンを経由してリダイレクトされた。

　ただし、Websenseのブログ記事によると、Bitlyはリダイレクト先ページをブロックすることでユーザーを保護しているという。

　Websenseのセキュリティ調査部門シニアマネジャーのカール・レオナード氏は、今回の事件はニュース放送局やニュースWebサイトに対するユーザーの信頼をサイバー犯罪者がいかに悪用しているかを明らかにしたと話している。

　「MSNBCのように誰もが知っているブランドの短縮URLがサイバー犯罪者に悪用されていると疑う読者はほとんどいないだろう」

　「単純な戦術転換だが、犯罪者はこれまでMSNBCが培ってきた視聴者からの信頼を悪用して、読者に疑われることなく強力なマルウェアに感染させることができた」

　また、犯罪者がMSNBCのログアウトページにあるリダイレクトの未検証の欠陥を悪用して、知らない間に読者を悪意のあるWebサイトにリダイレクトしていることもWebsense研究員が突き止めている。具体的には、以下のような仕組みになっている。