シマンテックが最近の動向を解説

「Web攻撃」は怪しいサイトではなく正規サイトを使う

2009/03/19

　シマンテックは3月19日、Webサイトを介してユーザーのPCにマルウェアなどを送り込む「Web攻撃」の現状についての説明会を開催した。

　同社によると昔は、電子メールやいかにも怪しいサイトを介した攻撃が主流だった。しかし最近では、オンラインショッピングサイトやニュースサイトなどの正規のWebサイトが改ざんされ、不審に思うことなくアクセスしてきた一般ユーザーのPCが悪意あるソフトウェアに感染するケースが増えている。同社の調査によると、2008年には80万8000個のドメインが攻撃を受け、Webページが改ざんされた。

　このように正規サイトが頻繁に悪用される理由として、同社Symantec Security Responseの浜田譲治氏は、正規サイトの方が、警戒心を持たずに幅広いユーザーがアクセスするためだと述べた。また、「最近はサイトが高度に進化しており、動画などさまざまな要素を取り入れている。また、ほかのドメインのコンテンツを取り入れて表示するサイトも増えている。こうしてサイトが複雑化すれば、脆弱性も増える」（浜田氏）。

　改ざんされたWebページには、脆弱性を狙って自動的に感染するマルウェアが仕込まれることもある。また、「動画を見るのに必要なソフトウェア（コーデック）です」「あなたのPCはマルウェアに感染しています、対策ソフトを購入してください」といったダイアログでユーザーをだまし、自らインストールさせるソーシャルエンジニアリング的な手口が用意されることもある。

　こうした攻撃を防ぐには、エンドユーザー側、Webサイト側両方の対策が必要だ。エンドユーザー側では、パッチの適用や最新のセキュリティソフトの利用といった対策を取る必要がある。

　一方Webサイト側では、クロスサイトスクリプティングやSQLインジェクションといったWebアプリケーションの脆弱性を作り込まないような設計、開発が求められる。

　ただ、Webアプリケーションの脆弱性診断・検査サービスに携わっているアイザック・ドーソン氏（同社グローバルコンサルティングサービスジャパンプリンシパルコンサルタント）は、「SQLインジェクションのような単純な脆弱性を狙った攻撃は減っていると期待したいところだが、現実には増えている。というのも、脆弱性を修正するよりも早く、攻撃者らがそれを見つけ出すツールを開発しているからだ」と述べた。さらに、攻撃者が仕掛けて来るであろうありとあらゆる攻撃に開発者側が備えるのは困難なことであり、「真剣にセキュリティに取り組んで教育を行わない限り、こういった単純な脆弱性は減らないだろう」（同氏）という。