] 【Bitdefender海外ブログ】オンライン犯罪者にとって都合のいいIoTアプリが多すぎる | SECURIE(セキュリエ)-BEST SECURITY FOR EVERYONE-

事例Use case

【Bitdefender海外ブログ】オンライン犯罪者にとって都合のいいIoTアプリが多すぎる

2019.2.18

ツイート シェア 送る はてブ

mitm.jpeg

悪質なアプリはなかったが、攻撃に脆弱なアプリは調査対象の80%にのぼる

IoTデバイスの操作に使用されるスマートフォンアプリのセキュリティについて、再び注意喚起がありました。多くのアプリで基本的なセキュリティやプライバシー対策が施されていないことが確認されています。

"Pradeo Lab"の調査員は、サーモスタット、電動ブラインド、ベビーモニターなど、さまざまなIoTデバイスの操作に使用される代表的なモバイルアプリ100個を調査しました。

そのすべてのアプリは、私たちが一定レベルの品質管理ができていると信じるGoogleやAppleの正規ストアからインストールしたものです。

明らかに悪質と分類できるアプリは1つもありませんでしたが、攻撃に脆弱であるか、ユーザーの個人情報の取扱い方法で明らかに問題のある「スマート」ホームデバイス操作用モバイルアプリについて、懸念される証拠が見つかりました。

調査対象アプリの80%に、脆弱性が発見され、1つのアプリケーションにつき平均15個の問題が見つかりました。


脆弱性が利用されると乗っ取られる可能性もある危険なアプリも存在

研究者によると、発見された脆弱性の15%は、ハッカーにIoTデバイスとそのスマートフォンアプリ間の通信を傍受されるだけでなく、犯罪者がそこに悪質なコマンドを送信して操作を乗っ取る中間者(MITM)攻撃に繋がる可能性のあるものでした。

woman-smartphone.jpegまた、第三者のリモートサーバーに送信されるデータにも懸念があります。アプリケーションの8%(12個中1個程度)が、「情報を不正入手されそうになった」もしくは、「認証されていないサーバーに接続していました。」"Praedo"によると、認証のない一部のサーバーには、有効期限が切れても売りに出されているため、不正者が買い占め、受信したあらゆるデータにアクセスすることもできてしまいます。

本レポートの最後には、今回発見された問題のあるアプリから流出した幅広いデータの種類についての記載がありました。それによると、アプリの90%が、以下のいずれか(または複数)のデータを流出させています。


アプリケーションファイルのコンテンツ:アプリケーションの81%
ハードウェア情報(デバイスメーカー、商品名、充電ステータスなど):73%
デバイス情報(OSのバージョン番号など):73%
暫定ファイル:38%
通話ネットワーク情報(サービスプロバイダー、国コードなど):27%
動画および音声記録:19%
アプリの静的データから送られてくるファイル:19%
位置情報:12%
ネットワーク情報(IPアドレス、2Dアドレス、Wi-fi接続状態など):12%
デバイスID(IMEI):8%

多くのIoTデバイスやその関連アプリが、適切なセキュリティやプライバシーよりも価格を優先していることは明らかです。適切なセキュリティが搭載されているかどうか信用できないメーカーの製品には、追加対策を講じて「スマート」ホームのプライバシーを守るか、そのガジェットをゴミ箱に捨てる必要があります。

翻訳元記事:Too many IoT smartphone apps making life easy for online criminals


SECURIEで不審な通信をブロック

1. フィッシング詐欺・オンライン詐欺から保護。「URLフィルタリング機能」
Bitdefender BOXにつながるデバイスがアクセスする、すべてのWebサイトの安全性をチェック。クラウドデータベースで悪意のあるサイトと定義されていた場合、そのWebサイトへのアクセスをブロックします。ブロックされたサイトが誤検知と思われる場合には、アプリ上で該当のWebサイトをホワイトリストへ登録し直すこともできます。

img_modal03.jpg

2.機密データ保護
クレジットカード情報やパスワードが暗号化されていない通信で送信されるのをブロックします。暗号化などセキュリティ保護がされていなくとも問題ないWebサイトは自由に閲覧できますが、機密データを漏えいし、外部に送信しようとすると警告ページにリダイレクトされます。

securie_service.PNG