第22回情報セキュリティ・シンポジウム

スマホマルウェアなどの脅威とその対策
KDDI株式会社 サービス統括本部 サービス開発1部
エキスパート 本間 輝彰
teruaki@kddi.com

2021年9月10日

自己紹介

1氏

名 本間 輝彰業

務 スマホやIoT機器のセキュリティ対策の推進およびセキュリティコンサルなど

社外活動

セキュリティ関連記事監修やコラム投稿など

一般社団法人 日本スマートフォンセキュリティ協会（JSSEC) 副会⾧・理事・幹事

au、auone-netのメール開発に従事

セキュリティエキスパー
トとしてセキュリティ対策全般に従事

スマホ/IoTデバイスのセキュリティ対策に従事 安心・安全に使えるスマホの世界を目指す!

 迷惑メールとの闘い!
 迷惑メール対策協議会などで活動© 2021 KDDI

安心・安全なスマホの世界を目指して!

参考資料

2

iPhoneのウイルス対策は? スマホの対策事情とすぐできる感染防止方法を解説
https://time-space.kddi.com/mobile/20200629/2930
スマホのフィッシング詐欺とは?あなたを守る対策と人間心理をついた手口を解説
https://time-space.kddi.com/it-technology/20200904/2968
スマホの偽警告（フェイクアラート）詐欺とは?カレンダーの悪用など最新事例と対策を解説
https://time-space.kddi.com/mobile/20210514/3109
不在通知を悪用するスマホのスミッシング詐欺とは?その対策と最新事例を解説
https://time-space.kddi.com/mobile/20210810/3156

コラム

スマートフォン・サイバー攻撃対策ガイド 一般社団法人 日本スマートフォンセキュリティ協会

SMS認証の悪用、スミッシング(SMS+フィッシング)

https://www.jssec.org/column/20201130.html

マルウェア・bot対策

https://www.jssec.org/column/20210311.html

偽警告・偽契約詐欺対策

https://www.jssec.org/column/20210412.html© 2021 KDDI

スマホマルウェア及びスマホへの攻撃手段
金融系サービスに対する脅威
OSのセキュリティ対策
対策一例
まとめ主な攻撃の種類と主な攻撃の流れ
攻撃の入口

攻撃の手段

SampleSample攻撃のゴール

攻撃者
フィッシングメール（迷惑メール）
スミッシングメール

4

フィッシングサイト

不正な正規
アプリ
インストール（アプリ課金による）

マルウェア
インストール（スミッシング送信、DDoS攻撃、等）

不正アプリ
DLサイト

不正決済

Sample

偽警告画面
乗っ取ったSNS
なりすましSNS

詐称

Sample

偽情報投稿
偽情報DM

Sample

偽懸賞サイトSampleSampleWebアクセス（主に不正コンテンツ）© 2021 KDDIbotとして利用

金銭搾取（iTuneカード購入など）

個人情報売買アカウント悪用（不正投稿、物品購入）

金銭搾取（個人情報と引換）

正規Sample

個人情報搾取ID情報搾取金銭搾取（サブスクリプション詐欺）

ゼロ・ワンクリック詐欺

金銭などの直接要求

金銭搾取

スマホマルウェアとは?

5

その名の通り、スマホを対象としたマルウェア。スマホは、OS側のセキュリティ対策が施されていることから、PCと比較してマルウェアに感染しにくいが、一方で利用者を巧みにだましてマルウェアに感染させているのが現状である
スマホのマルウェアは主に以下のような攻撃を行うことが一般的である


個人情報の搾取(アドレス帳、アカウント情報）
SMSの送信
SMSの盗聴（SMS認証のSMS搾取が目的）
ワンギリ発信
位置情報の搾取（アフェリエイト収入目的）の広告表示
DDoS攻撃SMSや音声に関しては、スマホならではの特徴となる

個人プロファイルの取得
アドレスリストの取得
SDカード内の情報取得

スミッシングなどのSMS送信

ボットネット

指示
・制
御命令

攻撃者

ワンギリ発信/DDoSなど

C&CサーバSMS（ワンタイムパスワードのSMS含む）の傍受© 2021 KDDI

警告・広告などの画面表示

SMS
ワンタイムパスワード

マルウェア感染まで手順例

6

スミッシングから偽警告詐欺によるマルウェア感染まで手順例を下記に示します

送信者が電話番号となっていて、配達者がSMS送信しているようにみせかけている

偽警告を出してChromeのアップデートを要求③apkフィルのダウンロード①スミッシングSMS受信②Chromeのアップデート要求© 2021 KDDI

Google PlayからのアプリDL
ではないため、OS機能で警告は表示

左記と同様にGoogle Playからのアプリではないので、インストール時に、OS機能で警告は表示④インストール警告マルウェア感染まで手順例 ～つづき

7

インストール後、初回起動時にマルウェアとして活動するためのパーミッションを取得する

インストールするために、不明なアプリのインストールを許容する

アドレス帳への搾取が可能
ワンギリ発信等が可能
ストレージ内のデータ搾取が可能(bot)スミッシング送信が可能
SMSの盗聴が可能⑤不明なアプリのインストール許可⑥マルウェアインストール

この時点でマルウェアに感染したがって、HPを閲覧しただけでマルウェアに感染するということはない

利用者が一覧の操作を実行してしまっていると推測される© 2021 KDDI

⑦アプリ起動＆パーミッション取得

マルウェアが完全に機能するのはパーミッションを取得後となる

マルウェアによる権限取得 －サンドボックス機能の回避
iOS/Androidではサンドボックス機能により、各アプリは閉じた空間で動作し、共通データや共通機能を利用するにも承諾が必要となる
サンドボックス機能
サンドボックス

サンドボックス

アプリ

アプリ

アプリ
DATA

アプリ
DATA
アクセスするには利用者同意が必要電話帳、画像、カメラ、位置情報、SMS送受信、等

OS
各アプリの実行空間は分離されており、アプリ間の連携が難しい。システム間で共通して利用なデータや機能は利用者同意をする事で利用可能となる© 2021 KDDI

マルウェアであっても、権限取得は必要

マルウェアと気づいていない利用者は、アプリ利用の為と同意してしまい、マルウェア感染となる

8

スマホマルウェアおよびスマホへの攻撃手段

金融系サービスに対する脅威
OSのセキュリティ対策
対策一例
まとめ

金融系サービスに対する攻撃
スマホのOSは各種セキュリティ対策が施されてとり、サンドボックス機能等によりマルウェアが直接金融系のアプリを乗っとるなどの攻撃を受ける可能性は限りなく低く、想定される攻撃としては以下が考えられる
 IDを取得する、クレジットカード情報を取得する
 サービスの脆弱性を突いて攻撃する
 悪意のある3 rd Party SDKによる攻撃
いわゆるアプリの脆弱性をついた攻撃ではなく、人の脆弱性やサービス仕様の脆弱性をついた攻撃が主流となると推測される© 2021 KDDI

12

ID情報の取得例（2段階認証の無効化）13

フィッシングメール・スミッシングSMSを送信し、フィッシングサイトに誘導し、被害者が入力した情報をバックグランドで正規サイトに情報を送り、攻撃を成立させる
攻撃事例
ユーザ

フィッシングサイト
攻撃者

金融機関

ID/パスワードを入力してください

お送りしたワンタイムパスワードを入力下さい① 偽メール・SMS送信② URLクリック③ 偽ログイン画面表示

不正送金④ ID/パスワード入力⑤ 入手したID/パスワー
ドで不正ログイン② URLクリック③ 偽画面表示④ ID/パスワード入力① 偽メール・SMS送信⑥ ワンタイムパスワード要求⑦ ワンタイムパスワー ⑧ ワンタイムパスワー
ド入力
ドを入力し、不正ログイン完了⑦ ワンタイムパスワード入力

攻撃者

被害者

⑥ ワンタイムパ
スワード要求© 2021 KDDI

⑤ 入手したID/パスワー
ドで不正ログイン

正規サイト⑧ ワンタイムパスワードを入力し、不正ログイン完了

クレジットカード情報取得例

14

偽SMSでフィッシングサイトに誘導し、クレカ情報を含む個人情報を取得。取得したクレカ情報を悪用し、金品価値のある製品を購入

メールアドレスを攻撃者のアドレスに変更してサービスに登録することで、被害者はカード請求などを見るまで被害にあっていることに気づかない偽装したSMSを送信

正規サイト
一部情報を書換えて悪用（メールアドレス、住所など）

他サービス
入手した個人情報をもとにサービス登録し悪用
公式サイトを模倣した偽のログイン画面と情報入力ページ© 2021 KDDI

クレジットカード情報などの入力
https://is702.jp/news/3804/

サービスの脆弱性を突いた攻撃
サービスのデジタル化に伴い、セキュリティ設計は機密性・完全性・可用性の概念だけでなく、プライバシー・安全性・ユーザ信頼性等の観点の考慮が必要となっている
これららの考慮をおこたる、技術的には問題がなくても、サービス仕様として欠陥を抱えた状態でサービスを提供する可能性がある

攻撃者は、サービスの脆弱性を虎視眈々と狙っており、実際にサービス仕様の脆弱性を突かれた攻撃により社会的問題となった例も存在している

サービス仕様の脆弱性、特にID管理や金融連携に不備があると攻撃の的になる可能性が高くなる© 2021 KDDI15

3 rd Party SDK での問題事例

16

もし、3 rd Party SDKによる悪意のあるコードが埋め込まれていた場合、該当のSDKを組込んだアプリはデータ等を悪用される可能性がある
百度（Baidu）のアプリに組み込まれていた、百度のSDKが各種個人情報の収集を行ってたことを、Unit 42が発見。結果、Google Playは、アプリの削除を一旦実施

2020年8月1日の朝日新聞記事で、一部アプリにてWi-Fiの接続状況から位置情報を取得しているが、その旨の記述がないアプリが多数あることが指摘されている

https://unit42.paloaltonetworks.jp/android-apps-data-leakage/© 2021 KDDIhttps://www.asahi.com/articles/ASN815TD1N6ZUUPI005.html

スマホマルウェアおよびスマホへの攻撃手段
金融系サービスに対する脅威

OSのセキュリティ対策
対策一例
まとめ

マーケットの対策
Google Play、App Storeともに年々マーケットのポリシーを強化し、不正なアプリが審査を通過しないように取組をおこなっている。また掲載されたアプリのパトロールを強化し、不審なアプリは排除するように努めている※ ただし、それを掻い潜ってくるケースはある
Google Playのポリシーの一例
マーケット登録時に、ポリシーに違反していないかの審査を行い、問題がある場合は拒否を行う※ App Storeも同様の取組をおこなっている© 2021 KDDI18

セーフブラウジング

20

安全ではないWebサイトを特定し、ユーザーやWeb管理者にその有害性を知らせる機能。
Webアクセス時に該当のURLの問題有無を確認し、問題がある場合にはブラウザ上に警告を表示し利用者に危険なサイトへのアクセスを抑止させるための機能
警告メッセージ

警告内容

アクセス先のサイトで不正なソフトウェアを検出しました

アクセス先で不正なソフトをインストールさせる可能性がある際に表示偽のサイトにアクセスしようとしています

フィッシングサイト等、偽サイトにアクセスした際に表示不審なサイト（理由は問わず）安全ではないと判断されたサイトにアクセスした際に表示

この先のサイトには有害なプログ
ラムがありますユーザーをだまして、問題を引き起こすプログラムをインストールさせようとする可能性がある際に表示

このページは承認されていない
ソースからのスクリプトを読み込もうとしています

安全と判断出来ないスクリプトを実行している際に表示もしかして: [サイト名] またはこのサイトは正しいですか?

意図したサイトと異なる紛らわしいサ
イトの可能性がある際に表示

Chrome警告一覧© 2021 KDDI

AndroidiPhone

Google Play Protect
2017年7月よりAndroid OSがデフォルトで提供しているセキュリティ機能（Windows 10のMicrosoft Defenderに近い機能）。なお、本機能はデフォルトオンで提供されている
 Google Play プロテクトの仕組み

ユーザーがアプリをインストールする際に、そのアプリをチェックする。
また、デバイスを定期的にスキャンする。有害な可能性のあるアプリが検出された場合は、次のような処理を行う


ユーザーに通知を送信する ー ユーザーは通知をタップして [アンインストール]をタップするとアプリを削除可能
アプリがアンインストールされるまで無効にする
アプリを自動的に削除する

Google Play ストア以外の不明な提供元からアプリをインストールする場合、[有害なアプリの検出精度を改善] をオンにすると、Google Play プロテクトから不明なアプリが Google に送信され、有害なアプリを回避しやすくなる

https://support.google.com/googleplay/answer/2812853?hl=ja© 2021 KDDI21

スマホマルウェアおよびスマホへの攻撃手段
金融系サービスに対する脅威
OSのセキュリティ対策

対策一例
まとめ

利用者への継続的な啓発

24

IPAが実施した、2020年度情報セキュリティの脅威に対する意識調査の結果
では、ある程度認知されている脅威もあるが、全体的には高い認知度とは言い難い結果となっている
攻撃のメインは、“人の脆弱性”を突いた攻撃と推測される

各サービス提供者が利用者に、 わかり易く効果的、且つ、継続的に啓発し続けることが重要© 2021 KDDI

「2020年度情報セキュリティの脅威に対する意識調査」報告書
https://www.ipa.go.jp/files/000088916.pdf

サービスセキュリティ対策の推進

25

サービスを安全かつ継続的に提供するため、Security / Privacy by Designの考えに則り、企画・開発段階で、リスクを定義し、守るものを定め、リスクの分析を行い、必要な対策を実施することで、サービス仕様や技術的対策の不備を防ぐ可能性が高くなる
Security by Design

Privacy by Design

リスクの定義（脅威）

リスクの分析

リスクの評価守るもの

リスクの分析

リスクの評価

探すリスクを定める

扱うデータ、経路を見極める

リスクの見える

漏洩時の影響の明確化

対策方法の決定対策方法の決定

顧客が利用するデジタルサービス等 において発生するセキュリティインシ デントを対象としにセキュリティ対策を検討するSSIRT（DSIRT)※を構築し、 安全なサービス企画・設計、サービスの悪用/炎上を想定した対応計画の策定、大規模なサービス悪用/炎上発生時の対応を行う組織を構築し、サービスの仕様を含め問題がないか判断をする組織の設置が推奨される
サイバーセキュリティ体制構築・人材確保の手引き
経済産業省 商務情報政策局サイバーセキュリティ課 ／ 独立行政法人 情報処理推進機構（ＩＰＡ）
https://www.meti.go.jp/press/2021/04/20210426002/20210426002-1.pdf※© 2021 KDDI

SSIRT（DSIRT):Service（Digital) Security Incident Response Teamの略

ID等が漏洩する前提でのサービス仕様の策定
フィッシング・スミッシング詐欺、偽警告詐欺など、人の脆弱性をついて攻撃が多く、技術だけで完全に防ぐことは不可能に近いしたがって、考えうるリスクを想定し、ID等が漏洩することを前提に、利用シーンや扱う情報の重要性を踏まえて対策を行うことが重要となる
 多要素認証・多段階認証の導入
 デバイス制限機能の導入（事前に登録したデバイス以外のアクセス拒否）
 （複数手段での）取引通知機能の提供
金融サイト

金融サイト
通知
ログイン

ログイン

振込

ID/Pass搾取

ID/Pass搾取

被害者

攻撃者

ID/Passが搾取されて、サイトには接続可能となるが、振込のような重要手続きは、別の手段での確認を行うことで、被害を最小化する© 2021 KDDI

多層防御の採用、さらには利用者が被害を検知出きる
仕組みも重要被害者

攻撃者

サイトにログイン、取引実施した際に、登録済
みのメアドなどに通知メールなどを送信することで利用者が不正な接続に気づかせる

利用者がID/Passwordを意識しない仕組みも考える必要26

アプリが利用するSDKの確認
スマホアプリでは、3 rd Party SDKを利用して開発するケースが多い。これらSDKは仕様がブラックボックスなケースもあり、開発者が意図しない動作となる可能性があり、外部的脅威の観点に加え、設定不備等がないかチェックする必要がある古いバージョン（脆弱性があるバージョン）を利用していないか?
継続してメンテナンス行われている体制になっているか?

© 2021 KDDI27

セキュアコーディングの実践
悪意のある攻撃者やマルウェア等による攻撃に耐え得る、堅牢なプログラミングとして、セキュアコーディングの実践が推奨されている

さらには、アプリの脆弱な実装を見つけるために、セキュアコーディング診断を行うことが推奨される

日本スマートフォンセキュリティ協会では、Android開発者向けに、セキュアコーディングのノウハウをまとめたセキュアコーディングガイドを公開している
https://www.jssec.org/activities#cn02© 2021 KDDI28

スマホマルウェアおよびスマホへの攻撃手段
金融系サービスに対する脅威
OSのセキュリティ対策対策一例

まとめ

まとめ
マルウェアなどからの攻撃リスク• スマホ（OSなど)のセキュリティ強化によりマルウェアからアプリが攻撃を受ける可能性は限りなく低い• 狙いはマルウェアのインストールに加え、ID/Passwordを含む個人情報の搾取が主と推測される

スマホへの攻撃方法• フィッシング・スミッシング詐欺、偽警告詐欺など、人の脆弱性をついた攻撃が主流である• サービスの脆弱性を狙われるケースもある• 信頼できない3 rd Party SDKの利用は危険性を含んでいる

安全なスマホ利用環境を目指すには• 人の脆弱性を突かれるため、利用者へのセキュリティ啓発が何よりも重要• 企画・開発段階からサービスや設計仕様のリスク評価が必要• ID情報等が漏洩することを前提とした実装も重要である• セキュアコーディングやセキュアテストなどによる対策も必要となる© 2021 KDDI30