Magecartをめぐる混乱

F5

バーベキューや野球観戦、庭でのレジャーを楽しむ夏が近づくなか、昨年、小売、テクノロジー、製造業界で発生した侵害の最大の根本原因は何だったのか、ふと気になっても不思議ではありません。F5 Labsによると、それは「Magecart」です。

Magecartとは何でしょうか。Magecartとは、実際には複数のサイバー犯罪集団の総称です。少なくとも12のグループが関与しており、それぞれが独自の専門分野を持っています。たとえば、Group 5は2018年のTicketmasterへの攻撃に関与したとされています。しかし、この種の攻撃はGroup 1を皮切りに、2014年から発生しています。

このグループは、脆弱なサーバーを悪用したり、ショッピングカートのページを侵害したりすることから活動を始めました。コンテンツ、コード、スクリプトを独自のマルウェアで改変し、クレジットカード情報や個人データを窃取していました。

彼らの手口は進化し、現在では、第三者の広告サービスを介したWebコードインジェクション攻撃によって、決済情報をスキミングできるまでになっています。攻撃者は広告サービスを侵害し、悪意のあるコードを挿入します。侵害されたJavaScriptライブラリは、その広告サービスが広告を配信するECサイトに読み込まれます。顧客がクレジットカード情報を入力している間、バックグラウンドでスキマーが動作し、データを盗み取ります。データが取得されると、例の流れです。データはサーバーに保存されて攻撃者側に送信され、地下市場の売り手や買い手に渡ります。その後、商品購入に悪用されたり、無地のカードに磁気情報を書き込む「リストライプ」が行われたりしますが、被害者は何が起きたのかまったく気づきません。

Ticketmaster（前述）、New Egg、Sotheby’s、British Airwaysはいずれも被害を受けています。実際、Ticketmaster自体が直接侵害されたのではなく、同社のサードパーティサプライヤーが侵害されました。Ticketmaster向けに作成されたカスタムJavaScriptモジュールが、デジタルスキマーのコードに置き換えられていたのです。しかし、被害を受けたのはこれらの企業だけではありません。同様の手口により、数百ものサイトが侵害されています。

サードパーティのシステムを侵害することは、標的にアクセスするうえで非常に有効な手段です。こうしたサードパーティは小規模な企業であることが多く、セキュリティ対策も手薄です。しかも、標的に直接アクセスできます。適切にセグメント化されておらず、何らかの認証によって保護されてもいないバックエンドのネットワーク接続を介して攻撃が仕掛けられていた時代を覚えていますか？今ではデジタル広告が使われている点を除けば、ほぼ同じです。配信は別の誰かに任せればよいのです。

デジタルカードスキミングは、成功する可能性が高く、比較的容易なため、犯罪者にとって魅力的です。ほかの攻撃を成功させるには、マルウェアやシステムへの直接的な侵害、さらにはソーシャルエンジニアリングなどが必要です。時間と労力がかかり、場合によっては専門知識も求められます。しかも、Magecartと比べて成功率は低くなります。それなら、簡単に実行できて大きな利益を得られる手段を選ばない理由はないでしょう。

この攻撃が成功しやすいもう1つの理由は、顧客が検知することがほぼ不可能だからです。送料無料に心を躍らせながら決済情報を入力している間、スキマーは入力フィールド上に見えない形で潜み、データを盗み取ります。従来のスキマーは、ATM、ガソリン給油機、会計端末などに物理的に取り付けられる「後付け装置」でした。実際のカード挿入口を覆うものや、機器に溶け込むよう設計された薄い膜状のものなどがあります。カードを挿入する箇所をよく確認したり、挿入口を指でなぞって異物がないか確かめたりすることで、こうした物理的な脅威を防げます。一方、デジタルの場合は事実上目に見えません。インジェクション攻撃がOWASP Top 10の上位にとどまり続けているのも不思議ではありません。

攻撃者は検知を回避するため、常にコードを改良しています。難読化や暗号化に加え、サイト上ですでに動作している可能性のある他のカードスキミングソフトウェアを妨害し、無効化することさえあります。ある事例では、検知や分析を妨げるため、スクリプトがブラウザのデバッガーコンソールのメッセージを継続的に消去していました。TrendMicroによると、Group 12のスクリプトは「billing」「checkout」「purchase」などのキーワードがURLに含まれているかどうかまで確認します。さらに、買い物かごを意味するフランス語の「panier」や、会計を意味するドイツ語の「kasse」を組み込み、ローカライズにも対応していました。標的とする文字列を検出すると、スクリプトはスキミングを開始し、各被害者を識別するための乱数を生成します。被害者がブラウザを閉じるか更新すると、別のJavaScriptイベントが発生し、取得した決済データ、e-tag（乱数）、ECサイトのドメインがリモートサーバーに送信されます。

Magecart is a large active threat that could be bigger than the point-of-sale breaches at Target or Home Depot, according to RiskIQによると、Magecartは現在活発に活動している大規模な脅威であり、TargetやHome Depotで発生したPOS侵害を上回る可能性があります。研究者の間でこのリスクへの認識が高まりつつあるものの、すべての攻撃を検知できるとは限りません。犯罪者は巧妙です。

多くのセキュリティ脅威と同様に、階層型の多層防御アプローチが重要です。すべてのサーバーにパッチを適用し、機密性の高いシステムをセグメント化することは、言うまでもなく重要です。すべての拡張機能とサードパーティシステムを最新の状態に保つことも同様です。また、CDN（外部ソース）やその他のドメインを通じて配信されるコンテンツやファイルが改変されていないことを確認することも重要です。さらに、Magecartに悪用されている既知の脆弱性に特化したシグネチャやルールセットを備えたWAFも、対策に役立ちます。

こうした攻撃は絶えず進化し、巧妙化しながら、新たな標的を探しています。また、サプライチェーン攻撃では、犯罪者が一度に数千ものサイトへアクセスできるようになります。

最後に、どのような侵害も、クレジットカードの利用明細や銀行・金融機関の取引明細に不審な動きがないか定期的に確認することの大切さを教えてくれます。不審な動きを見つけたら、報告してください。

Magecartやその他のインジェクション脆弱性についてさらに詳しく知りたい方は、F5 Labsの「Application Protection Report 2019, Episode 3: Webインジェクション攻撃がさらに悪質化」をご覧ください。

著者について

F5

F5のその他のブログ記事