私たちは、採用するテクノロジーによって評価されます……
F5 Networksでは、周囲はテクノロジーに情熱を注ぐ人たちばかりです。職場での会話にたまたま居合わせると、たいてい聞こえてくるのは、アプリ……よりスマートに……より高速に……より安全にという言葉です。
このような仲間に囲まれていると、訓練を積んだ経験豊富な人でもマルウェアの餌食になり得ると話した際、疑いの目を向けられることがあります。ならば、その挑戦を受けて立ちましょう。出来の悪いスマートデバイスで常時つながっていたいという欲求が、いかに私たちを格好の標的にするのかを証明する計画を立てます。
行動計画
昔ながらの常套手段は、相手が最も無防備なときを狙うことです。現代では、インターネット接続を断つだけで簡単に相手をその状況に追い込めます。出張が仕事に欠かせない場合、望まないにもかかわらず、こうした無防備な状況に陥ることが想像以上に多いと気づきます。
そこで、標的を1人選び、同僚にも協力を頼みました。少し下調べをしたところ、向かう空港では無料か有料かを問わず、インターネットを利用できないことが分かりました。
孫子の兵法にならい、私たちは事前に戦場へ赴き、制限なく使える無料Wi-Fiを用意しました。
幸いにも、標的は数人の見知らぬ人とともに、まんまと罠にかかります。無料Wi-Fiに接続し、利用規約に同意して、かけがえのないインターネット接続を得るためのプログラムをインストールします。
そこで、その日はほかの選択肢もいくつか分析してみることにしました。無料Wi-Fiは、ショッピングモールやレストランなど、至る所にあります。しかし、機密性の高い認証情報を収集するのに特に適した場所は、飛行機の機内でしょう。そこで、次のような攻撃ベクトルを考えました。
機内WiFi
多くの航空会社では、機内で映画や音楽などのメディアやインターネットを利用できるWiFiを提供しています。通常は2つの簡単な手順で接続できます（手順は航空会社によって異なる場合があります）。
ステップ1：無料WiFiに接続
ステップ2：映画などをストリーミング再生するためのアプリケーションをインストールします
ステップ3：（任意）料金を支払い、プレミアムコンテンツを購入する
このハッキングで被害をもたらすのに必要なのは、悪意を持つ人物とノートPC、そしていくつかのソフトウェアだけです。そこで、攻撃者になりきって攻撃経路を設計しました。
- 利用者の関心を引く名前（AIRLINENAME_MEMBERSHIP_BETA_FREE_INTERNET）でWiFiアクセスポイントを設置します。この名前なら、航空会社が提供するほかのWiFiアクセスポイントに紛れ込ませることができます。
- このアクセスポイントでは、ユーザーがマイレージプログラムの会員情報を使用して認証する必要があります。
- 攻撃の効果を高めるため、アクセスポイントからユーザーにソフトウェアのインストールを求めることができます。この攻撃ベクトルでは、フィッシングによってユーザーを誘導し、Androidデバイスにマルウェアをサイドロードさせることが容易になります。
- BETA High Speed WiFi Access Pointのユーザー数が上限に達したことを示すエラーメッセージを表示し、別のアクセスポイントを試すよう案内します。
本日の獲物: ボット経済を支える、マイレージサービスの認証情報、クレジットカード番号、侵害された可能性のあるエンドポイント
この話の教訓
投稿したいツイートも、Instagramにアップしたい最高の自撮り写真も、送信したい重要な仕事のメールも、すべて後回しにできます。接続しようとしている無料WiFiアクセスポイントが安全かどうかを確認してください。
どのような認証情報であっても、提供する前によく考えてください。サイバー犯罪者が狙うのは、金融関連の認証情報だけではありません。マイレージがAmazonクレジットに交換できることも忘れないでください。
常に警戒を怠らず、標準的な手順を回避してソフトウェアをインストールしないでください。アプリのサイドローディングは、大きなリスクを伴います。
著者について
Shahnawaz Backerは、F5 Labsのプリンシパルセキュリティアドバイザーを務めていました。最新のアプリケーション開発、デジタルアイデンティティ、不正行為の手口に強い関心を持ち、セキュリティインテリジェンスをソリューションに組み込むことに注力するとともに、自動化されたプロアクティブな防御の重要性を強く信じています。
Shahnawaz Backerのその他のブログ記事関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。