PWAとNFCを使った攻撃キャンペーンの事例が興味深かった

Nov 17, 2024 22:45 · 1468 words · 3 minute read Security

PWAとNFCを使った攻撃キャンペーンの事例が興味深かったので情報を整理してブログに残します。

攻撃キャンペーン概要

攻撃者はSMSや電話、広告を使ってターゲットにPWAをダウンロードさせる。この事例の場合は銀行の認証情報を狙っている。下記のような誘い文句でアプリのインストールを促す。

この時、広告に銀行の公式キャラクターを入れるなどして、銀行からの正規の情報発信であるかのように装う。広告などからURLを踏ませるとGoogle PlayやApp Storeに似せたWebサイトを表示させ、インストールボタンからPWAをダウンロードさせる。

本物そっくりの偽のアプリストアからダウンロードさせることで、攻撃ターゲットの不信感を減らすとともに、アプリストアのセキュリティ制限を回避する。そしてPWA形式にすることで、通常アプリをインストールするときに必要な端末の各種権限の許可を回避する。

PWAの認証画面からターゲットの認証情報を取得する。攻撃に気づかれにくくするためにWeb APKの技術を使う場合もあるらしい。Web APKを使っている場合は、見た目から偽アプリを判断するのは不可能。

攻撃キャンペーン概要

PWAをダウンロードさせるところまでは事例1と同じ。 NFCを使う事例の場合、PWAをダウンロードしたあと、NFCを操作するNGateというマルウェアをインストールする。 NGateはNFCのテスト用に公開されているNFC Gateが組み込まれている。

NGateのインストールが完了すると、攻撃者は銀行員を装ってターゲットに電話をする。電話でPINを聞き出し、NFCでカードの情報を読み取り、読み取ったカード情報を攻撃者の機器に送信。攻撃者側の機器で決済をする。

NFCを使った決済以外にも、入館証などの非接触型カードのデータをコピーしてクローンを作成することで、本来制限された場所に侵入されるといった可能性もある。

事例1と事例2は2024年8月ごろにBleeping Computerで見かけて、「なるほどなぁ」と思った事例でした。ただ、記事を読むだけだと「NFCでカード情報を読み取ったあとのタイミングはどれくらいシビアなのか？」などのいくつかの疑問が残っていました。

CodeBlueのレポートを見ているときに、たまたまこの事例の発表内容を見つけ、疑問に思っていた内容のいくつかが解決しました。

今回記載した攻撃キャンペーンはまだ事例が少なく、攻撃に積極的に活用されているわけではありません。しかしPWAやNFCといった技術は攻撃者にとって便利なので、今後攻撃に活用される可能性も十分にあります。

身を守るためにはまずは攻撃者の手口を知っておく必要があるので、PWAのサンプルアプリを作って仕様や制限事項を確認しておきたいと思いました。