ゼロクリック脆弱性とは：ゼロクリック攻撃の仕組みと重要性

F5の解決方法を見る

ゼロクリック攻撃とは、ユーザーが何かをクリックしたり、開いたり、ダウンロードしたり、操作したりすることなく、システムやデバイスを侵害するサイバー攻撃を指します。この攻撃は、ソフトウェアが受信データを自動処理する仕組みを悪用し、通常の動作中に悪意のあるコードを密かに実行させます。

ゼロクリック攻撃とは？

ゼロクリック攻撃は、脆弱性のあるアプリケーション、サービス、またはシステムコンポーネントが悪意のある入力を処理した際に自動的に実行される、一種のサイバー攻撃です。フィッシングやドライブバイマルウェアとは異なり、ゼロクリック攻撃はユーザーを欺く手法やユーザーの行動をきっかけとする仕組みに依存しません。通常のバックグラウンド処理中に脆弱性が悪用され、多くの場合、ユーザーが認識できる兆候は現れません。

ゼロクリック攻撃は、一般に次の3つの関連概念を用いて説明されます。

ゼロクリック脆弱性とは、メッセージの解析、通知のレンダリング、メディア処理など、ソフトウェアが受動的に受信するデータを処理する方法に存在する欠陥です。
ゼロクリックエクスプロイトとは、データを自動的に受信または解釈することで脆弱性を悪用する手法です。
ペイロードとは、その後に生じる悪意のある結果であり、データへのアクセス、監視、リモート制御などが含まれる場合があります。

場合によっては、脆弱性の悪用により、スパイウェアやリモートアクセスツールなどのゼロクリック型マルウェアが展開されます。ただし、すべてのゼロクリック攻撃が永続的なマルウェアを展開するわけではありません。短期間のアクセスや情報収集のみを目的とするものもあります。

ゼロクリック攻撃の一般的な侵入口には、メッセージングプラットフォーム、VoIPサービス、プッシュ通知ハンドラー、画像および動画のパーサーのほか、データを自動的に受信して処理するバックグラウンドサービスがあります。こうした脆弱性は、多くの場合、信頼されたシステムコンポーネント内のメモリ破損バグ、パーサーのロジックエラー、サンドボックスエスケープを可能にする状態に起因します。より広いサイバーセキュリティの観点では、ゼロクリック攻撃は、ソーシャルエンジニアリングから、ユーザーやシステムが本質的に信頼する自動化されたワークフローの悪用へと攻撃手法が移行していることを示しています。

ゼロクリック攻撃が重要な理由

ゼロクリック攻撃が重要なのは、セキュリティチームが侵害の検知と防止において前提としている多くの事柄を覆すためです。

第1に、ユーザーの行動を防御の手がかりとして利用できなくなります。クリック、プロンプト、警告が発生しないため、従来のセキュリティ意識向上トレーニング、エンドポイントアラート、ユーザーからの報告では、ほとんど防御できません。そのため、自動メッセージや通知を継続的に処理するモバイルデバイスやコラボレーションプラットフォームにとって、ゼロクリック攻撃は特に危険です。
第2に、ゼロクリック攻撃は検知が困難です。多くの場合、信頼されたプロセスや暗号化された通信経路内で脆弱性が悪用されるため、生成されるログやセキュリティテレメトリはごくわずかです。多くの組織では、データ流出や、その後の「セキュリティ侵害」がすでに発生してから、初めて攻撃に気付きます。
最後に、ゼロクリック攻撃は、影響の大きい攻撃キャンペーンでますます利用されるようになっています。最近のAIセキュリティに関する知見によると、攻撃者は、ユーザーのミスへの依存を減らし、複雑な環境全体でより確実に拡張できる、自動化された失敗駆動型のエクスプロイト手法への投資を進めています。こうした攻撃は、経営幹部、ジャーナリスト、企業などの価値の高い標的に向けられることが多いものの、一般消費者向けデバイスや一般ユーザーも例外ではありません。

ゼロクリック攻撃の仕組み

ゼロクリック攻撃は、実環境におけるパフォーマンスとユーザビリティの制約下で、ソフトウェアが受信データを自動処理する仕組みを悪用します。メッセージングクライアント、VoIPサービス、メディアハンドラーなどのアプリケーションは、ユーザーの操作なしにコンテンツを受信して解析するよう設計されているため、気付かれないまま脆弱性を悪用される可能性があります。

攻撃者は、メッセージ通知、VoIP通話、プッシュサービス、メディアファイルなどの信頼されたチャネルを通じて、細工したデータを送り込みます。データが解析される際に、メモリ処理、ロジック検証、またはプロトコル実装の脆弱性が誘発されます。その結果、意図しないコード実行や制御フローの操作が発生する可能性があります。プラットフォームやコンポーネントによっては、メモリ破損、整数オーバーフロー、ロジック上の欠陥、サンドボックスエスケープの手法が悪用される場合があります。

ゼロクリック攻撃の検知が難しい理由

実行が通常のバックグラウンド処理中に行われるため、ゼロクリック攻撃は、セキュリティチームが直接調査することの少ないシステムフレームワークやサービス内で進行する場合がよくあります。ユーザー操作を伴わないため、一般的な検知シグナルの多くが得られません。侵害の痕跡は、異常なネットワークトラフィック、予期しないプロセスの挙動、不正なデータアクセスなどの二次的な影響として、後になって初めて現れることがあります。このように可視化が遅れることが、ゼロクリック攻撃による脆弱性悪用の大きな特徴です。

ゼロクリック攻撃を防ぐ方法

ゼロクリック攻撃は、直後にフォレンジック上の証拠をほとんど、あるいはまったく残さず、ソーシャルエンジニアリングにも依存しません。そのため、予防では、外部に露出する攻撃対象領域の縮小、適時のパッチ適用の徹底、異常な挙動の検知に重点を置きます。効果的な防御に向けた現在のベストプラクティスでは、これらが優先事項とされています。

ファームウェアとソフトウェアを最新の状態に保つ
ゼロクリック攻撃のエクスプロイトは、サードパーティ製アプリケーションではなく、オペレーティングシステム、ベースバンドファームウェア、バンドルされたライブラリの脆弱性を標的とすることがよくあります。セキュリティパッチを適用することで、安全でないメモリ処理、権限昇格につながる経路、ロジックエラーが確実に悪用される前に対処できます。パッチ適用の遅れは、特に脆弱性の公開後や実際に悪用されている場合に、攻撃にさらされるリスクを大幅に高めます。組織は、自動更新を必須とし、パッチ適用状況を追跡するとともに、ファームウェアとモデムの更新を標準的な保守サイクルに組み込む必要があります。
ネットワークレベルの保護とトラフィックフィルタリングを使用する
ネットワーク制御は、ゼロクリック攻撃におけるエクスプロイトの配信や、関連するコマンド＆コントロール通信のブロックに役立ちます。ファイアウォール、セキュアWebゲートウェイ、DNSフィルタリングにより、脅威インテリジェンスで特定された既知の悪意あるインフラストラクチャへの接続を防止できます。デバイスが侵害された場合、ネットワークセグメンテーションによってエクスプロイト後のアクセスをさらに制限できるほか、ネットワークテレメトリは調査と対応を支援します。
高リスクのアプリとサービスを制限する
ゼロクリック攻撃では、メッセージング、音声、メディア処理サービスなど、信頼できないデータを自動的に解析するアプリケーションやサービスが標的となるのが一般的です。有効にするコミュニケーションアプリの数を減らすことで、悪用される可能性のある経路を減らせます。組織は、リスクへの露出を最小限に抑えるため、不要なサービスを無効にし、メディアのプレビュー機能を制限するとともに、管理対象デバイスに許可リストを適用する必要があります。
モバイル脅威防御とゼロトラスト制御を導入する
モバイル脅威防御ツールとエンドポイント検知ツールは、異常なメモリ使用量、予期しないプロセスの実行、権限昇格、不審なネットワーク接続などの振る舞いを示す指標に重点を置いています。ゼロトラスト制御では、デバイスの状態を継続的に評価し、リアルタイムのシグナルに基づいてアクセスを制限することで、リスクをさらに抑えます。これらのアプローチは、最初のエクスプロイトを直接観測できない場合でも、侵害の特定に役立ちます。
デバイスの堅牢化とアクセス制御の強化
デバイスを堅牢化すると、侵害されたコンポーネントのアクセス範囲が制限され、悪用が成功した場合の影響を抑えられます。標準的な対策には、不要なシステムサービスの無効化、バックグラウンド実行の制限、アプリケーション権限の厳格化、サンドボックス分離の適用などがあります。機密データは、セキュアコンテナ、ハードウェアで保護された鍵ストレージ、厳格なアクセス制御を使用して保護する必要があります。強力な認証と条件付きアクセスポリシーにより、ラテラルムーブメントとデータ漏えいのリスクをさらに低減できます。

企業におけるゼロクリック攻撃のリスク

前述のとおり、企業や組織にとって、ゼロクリック攻撃は多くの従来型セキュリティ制御を回避し、ユーザーの操作なしに発生するため、特有のリスクとなります。管理対象かどうかを問わずデバイスが侵害される可能性があり、防御手段としてのセキュリティ意識向上トレーニング、エンドポイントでのプロンプト、ユーザーによる報告の有効性が低下します。

ゼロクリック攻撃による脆弱性の悪用が成功すると、次のような結果を招く可能性があります。

メール、メッセージングプラットフォーム、コラボレーションツールなどの企業内コミュニケーションへの不正アクセス
認証情報および認証ワークフローの漏えい（特に多要素認証に使用されるモバイルデバイス）
検査が困難な暗号化チャネルを介した監視またはデータ流出
信頼されたセッションやデバイスポスチャを悪用した、企業環境内でのラテラルムーブメント

ゼロクリック攻撃は、検知、対応、コンプライアンスも複雑化させます。多くの場合、信頼されたシステムコンポーネント内で脆弱性が悪用され、生成されるログも最小限にとどまるため、組織は次のような課題に直面する可能性があります。

検知の遅延（侵害が特定されるのは、二次的な兆候が現れた後に限られる）
アクセスが発生した時期や影響を受けたデータに関するフォレンジック上の可視性が限定的
規制上および法的なリスクの増大。特に、侵害の範囲と発生時期を明確に特定する必要がある規制対象業界では、そのリスクが高まります

企業にとって、ゼロクリック攻撃の主なリスクは、影響の大きさではありません。侵害されたデバイスが少数であっても、価値の高いデータが漏えいし、重要なビジネスシステムへの信頼が損なわれる可能性があります。

F5はゼロクリック攻撃にどう対処するのか？

F5は、ゼロクリック攻撃で回避されるユーザー操作に基づくシグナルに依存するのではなく、自動データ処理が行われるアプリケーションおよびネットワークの制御ポイントでセキュリティ制御を適用することで、ゼロクリック攻撃に対処します。

アプリケーションデリバリーレイヤーでは、F5® BIG-IP®がインラインでトラフィックを検査し、ポリシーを適用することで、不正な形式のデータや悪意のあるデータが脆弱なサービスに到達するのを防ぎます。プロトコルの動作、リクエスト構造、データの整合性をリアルタイムで分析することで、BIG-IPは、ゼロクリック攻撃で標的となることが多い、信頼されたアプリケーションワークフローやバックグラウンド処理パスを悪用するエクスプロイトの試みを特定するのに役立ちます。

分散型およびクラウドネイティブ環境では、F5® Distributed Cloud Servicesが、モバイル、SaaS、マルチクラウドの各アーキテクチャ全体にこうした保護を拡張します。これらの環境では、暗号化チャネルやリモートアクセス経路を介してゼロクリック攻撃が行われることが少なくありません。エッジやワークロードの近くで一貫したセキュリティポリシーを適用することで、Distributed Cloud Servicesは、受動的なデータ処理や自動化されたサービス間通信によって生じる可視性のギャップの縮小に役立ちます。

これらの機能を組み合わせることで、ユーザーによる直接の操作やエンドポイントからのアラートがない場合でも、組織は重要な制御ポイントで脅威を早期に検出し、ポリシーを適用できるため、企業アプリケーション、リモートユーザー、管理対象外のエンドポイントに及ぶゼロクリック攻撃の影響範囲を抑えられます。