チェック・ポイント・リサーチ、Kindleの脆弱性を発見

脆弱性を悪用した脅威アクターから、デバイスの乗っ取りと情報窃盗の恐れを示唆

・電子書籍を開くだけでエクスプロイトが発生
・CPRはこのセキュリティ上の欠陥が特定ユーザーを標的とした攻撃に悪用されることを懸念
・CPRの調査結果をAmazonに報告後、Amazonが修正を行う
・2007年のリリース以来、Kindleの推定ユーザー数（https://goodereader.com/blog/electronic-readers/amazon-has-sold-between-20-million-and-90-million-kindles）は数千万におよぶ

包括的なサイバーセキュリティプラットフォーマーであるチェック・ポイント・ソフトウェア・テクノロジーズ(Check Point Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント、https://www.checkpoint.co.jp/)の脅威インテリジェンス調査部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、世界で最も人気のある電子書籍リーダーであるAmazonのKindleのセキュリティ上に脆弱性を発見したことを発表しました。この脆弱性は、エクスプロイトが成功すると脅威アクターに使用しているKindleが完全に乗っ取られ、Amazonデバイストークンやデバイスに保存されているその他の機密情報が盗まれてしまう恐れがあります。これらはKindleにて悪意ある電子書籍を1つ開くだけで、エクスプロイトが発生してしまいます。

CPRは今年ラスベガスで開催予定のセキュリティカンファレンス「DEF CON」でエクスプロイト攻撃の実演を行いました。

CPRのKidnle脆弱性の調査結果とその後の対応は以下の通りです。

●マルウェアとしての電子書籍
エクスプロイトは悪意のある電子書籍を送信することから始まります。配信された電子書籍を開くだけでエクスプロイトチェーンが作成されます。その他の意思表示や操作なくエクスプロイトは実行されてしまいます。CPRはKindleを標的としたマルウェア攻撃に電子書籍が悪用された可能性があることを示し、その結果、様々な影響を及ぼすと報告しました。実際に、ユーザーの電子書籍を削除したり、Kindleを悪意のあるボットに置き換えて、ユーザーのローカルネットワーク内で他のデバイスを攻撃するといった被害が発生しています。

●標的を言語別に絞り込み
セキュリティ上の欠陥によって脅威アクターは標的を非常に細かく絞ることができます。これはCPRが特に危惧している点です。たとえば脅威アクターが特定のグループや層を標的にした場合、人気の高い電子書籍とその書籍に関連する言語や使われている方言を選択することで、非常に的を絞ったサイバー攻撃を仕掛けることができます。

●スムーズな問題報告
CPRは2021年2月にAmazonに調査結果を報告しました。これを受けAmazonは2021年4月に、修正したKindleのファームウェアアップデート（バージョン5.13.5）をリリースしました。インターネットに接続されたデバイスへパッチを適用したファームウェアが自動的にインストールされます。

チェック・ポイントのサイバーリサーチ責任者ヤニフ・バルマス（Yaniv Balmas）は次のように述べています。「デバイスを乗っ取られてしまう恐れのある脆弱性をKindleで発見しました。Kindleユーザーにたった1つの電子書籍を送信するだけで、脅威アクターはAmazonのアカウント認証情報から支払い情報まで、デバイスに保存されたあらゆる情報を盗み出すことを可能とします。他のIoTデバイスと同様に、Kindleはセキュリティリスク上無害なものと考えられていましたが、今回の調査にて、形は違えど、どんな電子デバイスも結局はコンピュータの一種であることが明らかになりました。IoTデバイスは、コンピュータ同様に攻撃に対する脆弱性を持っています。コンピュータに接続されている限り、ユーザーはサイバー攻撃を受けるリスクがあること、そしてAmazon Kindleのような多くのユーザーを持つデバイスはそのリスクが特に高いことを認識する必要があります。今回、最も懸念したことはエクスプロイト攻撃の標的を非常に細かく絞ることができたという点です。当然ながら、セキュリティに脆弱性があると攻撃対象を詳細に選択することができます。たとえば脅威アクターがルーマニア人を標的にしたい場合、ルーマニア語で人気の高い電子書籍を無料で公開すればいいだけです。そうすれば被害者のほとんどがルーマニア人になると確信できます。サイバー犯罪やサイバー諜報活動の世界では、このように詳細に的を絞ることのできる攻撃能力が求められています。攻撃者がこのような能力を備えてしまえば深刻な被害をもたらすであろうと危惧しています。チェック・ポイントは、この種のセキュリティ脆弱性を検出することで、大きな被害が発生する前に確実にこのような攻撃を回避できることを示しました。Amazonは、チェック・ポイントからの報告に対し大変協力的でした。今回のセキュリティ問題に対するパッチを迅速に適用してくれたことを嬉しく思います。」

今回の調査に関する詳細は、米国カリフォルニア州で2021年8月6日（現地時間）に公開されたCPRのブログ（https://research.checkpoint.com/2021/i-can-take-over-your-kindle/）（英語）で、攻撃のデモ動画と共に確認できます。


チェック・ポイントの調査結果をフォロー
ブログ・・・https://research.checkpoint.com/
ツイッター・・・https://twitter.com/_cpresearch_

Check Point Researchについて
Check Point Researchは、チェック・ポイントのソフトウェアのお客様や脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。ThreatCloudに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを追跡しながら、自社製品に搭載される保護機能の開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながらサイバーセキュリティ対策に取り組んでいます。

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、世界各国の政府機関や企業など、あらゆる組織に対応するサイバー セキュリティ ソリューションを提供する大手プロバイダーです。業界随一の検出率を誇る先進のソリューションにより、お客様のネットワークを、マルウェアやランサムウェアなどの多岐にわたる第５世代のサイバー攻撃から保護します。企業のクラウドやネットワークのほかモバイル デバイスに保存されている情報を、今日の第５世代のサイバー攻撃を含めてあらゆる脅威から保護するため、第５世代の脅威に対応するマルチレベルのセキュリティ アーキテクチャを備え、直感的で操作性に優れた総合的かつ一元的なセキュリティ管理システムを展開しています。世界の10万以上の組織・企業がチェック・ポイント・ソフトウェア・テクノロジーズのセキュリティ製品を利用しています。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

企業プレスリリース詳細へ
PR TIMESトップへ