悪意ある攻撃者が攻撃によってアプリケーションを悪用する手口

F5エコシステム | 2022年10月11日

現在、多くのアプリケーションは小規模なコンテナクラスターで構築され、さまざまな場所に分散してデプロイされています。この分散型アプローチは、パフォーマンスとレジリエンスの両方の向上に寄与します。一方で、アプリケーションの保護を困難かつ複雑にもします。

一方、アプリケーションとそのエコシステムを狙う攻撃は、より広範かつ巧妙になっています。

サイバー犯罪者は、アプリケーションの脆弱性を日常的に悪用し、多くのセキュリティ制御を容易に回避しています。進化する脅威への警戒を強め、レジリエンスを高めるには、サイバー犯罪者の思考や行動、アプリの悪用手法を理解する必要があります。

サイバー犯罪者は金銭を追う

攻撃者自身に高度な技術力が必要とは限りません。攻撃者が利用し、日常的に共有している無料のツールやサービスが数多く存在するためです。

通常、攻撃者は金銭を目的に行動します。デジタル経済では、Webアプリケーションやモバイルアプリケーションを標的にして脆弱性を悪用し、アプリケーションロジックを不正利用してアクセス権を得ることを意味します。

サイバー犯罪者は、アプリケーションの弱点を絶えずスキャンし、開放されている、または脆弱なアプリケーションゲートウェイを探しています。代表的な攻撃を、巧妙さと標的の潜在的価値が低い順に3つ紹介します。

一般的な攻撃は、OWASP Top 10に示されているような既知の脆弱性を標的とします。
ゼロデイ攻撃は、まだ知られていない、または予測されていない脆弱性を標的とします。
高度な持続的攻撃は、国家が支援している可能性もある巧妙な攻撃キャンペーンです。

また、サイバー攻撃はWebアプリケーションやモバイルアプリケーションだけでなく、サーバーインフラストラクチャ、データ、デバイスも標的にする点に注意が必要です。このブログではアプリケーションに焦点を当て、一般的な攻撃のいくつかを詳しく見ていきます。

アプリケーションには攻撃対象が豊富に存在

攻撃者がアプリケーションを悪用するのは、サイバー犯罪者が攻撃への転用や利益獲得に利用できる膨大な価値あるデータへの侵入口となるためです。

ハッカーが標的とする領域には、アプリケーションコード自体、アプリが稼働するサーバーインフラストラクチャ、アプリに機能を追加するアドオン（コードライブラリやプラグインなど）が含まれます。

F5 Labsの「2022年アプリケーション保護レポート」によると、フィッシング、クレデンシャルスタッフィング、インジェクション攻撃など、アクセスに関連する侵害が主要な攻撃ベクトルであり、Webアプリ侵害全体の約25%を占めています。僅差で続くのがマルウェアで、Webアプリ侵害の24%を占めています。前述のとおり、こうしたアプリ攻撃の目的は、最も価値の高いデータに、できる限り容易な方法でアクセスすることです。

アプリケーション攻撃がもたらす壊滅的な影響

基本的なインジェクション攻撃でよく見られるシナリオを簡単に見ていきましょう。まず、攻撃者はボットを活用して大規模な自動偵察スキャンを実行し、脆弱性を探します。

攻撃者は、通常、アプリケーション内のセキュリティで保護されていないゲートやアクセスポイントなど、侵入可能な箇所を特定します。
次に、攻撃者はその脆弱性を悪用して悪意のあるコード（マルウェア）を注入し、リモートからコマンドを実行するための足掛かりを確立します。
悪意のあるコードが実行されると、攻撃者は、さらに深く侵入し、コマンド＆コントロール、偵察やスパイ活動、窃取を行うために、アクセス権をさらに拡大する手段を探す可能性が高くなります。
アプリとその基盤となるデータは、この時点で侵害されています。

上記のシナリオは非常に単純なものです。実際のインジェクション攻撃は、はるかに巧妙で脅威となる場合が少なくありません。攻撃者がアプリ内のすべてのデータを削除するコマンドを挿入し、デジタル製品やサービスを完全に停止させるケースを想像してみてください。あるいは、コマンドによってクレジットカード情報を格納したデータベーステーブルが公開されるケースも考えられます。

このような攻撃は、深刻な被害につながる可能性があります。アプリの停止は、収益や信用の喪失を招くだけでなく、復旧に数百万ドルもの費用がかかる場合があります。消費者にとっては、ユーザー体験の悪化、さらには個人情報の窃取につながるおそれがあります。

その他の一般的な攻撃タイプを理解する

攻撃者はアプリケーションへの侵入に成功すると、多くの場合、Webアプリを介してブラウザの脆弱性を悪用します。その目的は、後にアカウントを乗っ取るためにユーザーの認証情報を盗むこと、またはユーザーのセッションをリアルタイムで直接乗っ取ることです。

攻撃者は、被害者のブラウザで悪意のあるコードを実行し（一般にフォームジャッキングと呼ばれます）、正規のユーザーから送信されたように見える不正なリクエストを送信することもできます。これは、個人（不正な口座開設やクレジット申請に本人の身元情報を悪用される）と組織（多くの場合、損失の負担を余儀なくされる）の双方に深刻な影響を及ぼす可能性があります。そのため、個人利用か業務利用かを問わず、誰もがフィッシング攻撃に警戒し、パスワードを決して使い回さないことが極めて重要です。

広く用いられているもう1つの攻撃は、サービス拒否（DoS）攻撃です。ボットによる自動リクエストをアプリケーションに大量に送り付けて負荷をかけ、動作を遅くしたり、さらに深刻な場合には機能しない状態にしたりします。ボットネットと呼ばれる複数のコンピューターから実行される分散型サービス拒否（DDoS）攻撃は、一般にさらに大きな効果を及ぼします。ボットネットのノード（コンピューター）には、マルウェアに感染した消費者のデバイスが使われることも少なくありません。このことからも、マルウェアやその他のサイバー攻撃からデバイスを保護する重要性が明らかです。

サイバー犯罪者の動機や攻撃手法はさまざまですが、こうした一般的な攻撃の種類と防止方法について基本的な知識を身につけておくことが役立ちます。

サイバー防御では、誰もがそれぞれの役割を担っています。以下の動画では、悪意のある攻撃者がアプリケーションの悪用に用いる一般的なフィッシング、スミッシング、ソーシャルエンジニアリングの手口から身を守るための基本的なポイントをいくつかご紹介します。