iOS向けChromeユーザーは特に注意、ConfiantがiOSのユーザーを狙った不正広告を注意喚起
Confiantは、iOSのユーザーを狙った不正な広告が横行し、ユーザーセッションが乗っ取られる被害が多発しているとブログで伝えた。その中でもiOS向けChromeに存在するセキュリティ問題が不正広告に悪用され、ポップアップ防止機能がかわされていたことが分かった。
不正広告対策を手掛けるセキュリティ企業のConfiantは2019年4月16日のブログで、iPhoneやiPadに搭載されている「iOS」のユーザーを狙った不正な広告が横行し、ユーザーセッションが乗っ取られる被害が多発しているとブログで伝えた。
Confiantによると、今回発見された不正広告キャンペーンは、連休や週末を狙って攻撃を仕掛けることで知られる「eGobbler」と呼ばれる集団が関与しているという。同集団は、不正なコードを正規の広告に隠して、ユーザーがWebブラウザで閲覧しているWebサイトをリダイレクトしたり、ポップアップを表示させる手口を使って、ユーザーセッションを乗っ取ったりしているとのこと。
ConfiantがさまざまなOSやWebブラウザでこのコードをテストした結果、Googleが提供するiOS向けのWebブラウザ「Chrome」では、内蔵されているはずのポップアップ防止措置が機能していないことが分かった。
また詳しく調べたところ、iOS向けChromeでユーザーがアクティベートするポップアップ検出に関するセキュリティ問題が悪用され、ポップアップブロックがかわされていたことが判明。さらに、こうした悪用防止を目的としたセキュリティ機能のサンドボックスでも、eGobblerの不正な広告が阻止できていないことが分かった。
Confiantは、2019年4月11日にコンセプト実証コード(PoC)を添えてChromeチームにこの問題を報告し、同チームからはすぐに返答があったという。現在Chromeチームは調査を行っている段階だが、Confiantによれば、4月16日の時点でこの問題はまだ解決されていない。
eGobblerの不正広告は主に米国が標的とされている他、欧州でも影響が広がっている。4月6日から始まった一連の攻撃では、5億を超すユーザーセッションが影響を受けたとConfiantは伝えている。
関連記事
- 「iPhoneだから安全」とたかをくくってませんか?
ほかのスマホと違って、iPhoneはセキュリティが強固だから安全――そんな話、聞いたことありますよね。それってホントなの? - Google、「Chrome 72」の脆弱性を修正 デスクトップとAndroid向けのアップデート公開
デスクトップ向けのアップデートでは、危険度「高」の脆弱性が修正された。 - 「Google Chrome 72」の安定版公開、TLS 1.0とTLS 1.1が非推奨に
Chrome 72ではTLS 1.0とTLS 1.1が「非推奨」となった。デスクトップ版では計58件の脆弱性を修正している。 - Windows 7に未解決の脆弱性、Google Chromeのゼロデイ攻撃で組み合わせて悪用
Google Chromeで発覚したゼロデイ攻撃では、その時点で未解決だったChromeの脆弱性と、Windowsの未解決の脆弱性を組み合わせて悪用していた。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.