全2177文字
PR

 突然、パソコンのデスクトップに「マルウエア(コンピューターウイルス)に感染している!」といったセキュリティーの警告が表示される。セキュリティーソフトやWindowsの通知だと思ってユーザーが慌ててクリックすると、悪質なサイトに誘導される──(図1)。このような相談が相次いでいるとして、情報処理推進機構(IPA)は2021年3月に注意を呼びかけた。

図1●Webブラウザーではなくデスクトップに表示される
図1●Webブラウザーではなくデスクトップに表示される
デスクトップに表示されるため、セキュリティーソフトやWindowsなどの正規の警告に見える。警告をクリックすると、偽のセキュリティーソフト販売サイトなどに誘導される。
[画像のクリックで拡大表示]

 この手口のポイントは、デスクトップに警告などが表示される点だ。Webブラウザー内に偽警告を表示するサポート詐欺などを知っている人でも面食らうだろう。

 しかも、Webブラウザーを一度終了させたりパソコンを再起動させたりしても、Webブラウザーを再度起動すると警告は再び表示される。このため本物の警告だと信じても不思議はない。

 だが慌てる必要はない。「Web Push(Webプッシュ通知)」というWebの仕様(仕組み)が悪用されているだけで、パソコンに問題が発生しているわけではない。

サーバーからプッシュで通知

 この手口で使われているWeb Pushとは、文字通りサーバーからクライアントに対してプッシュで情報を送る仕様である。2016年以降、関連技術の標準化文書(RFC)が順次公開されており、現在では主要なWebブラウザーすべてが対応している。

 Web Pushの流れは次の通り(図2)。WebサーバーはJavaScriptを使って、ユーザーに通知許可を求めるダイアログをWebページ中に表示する。ユーザーが許可すると、サーバー側から通知が送信されて表示されるようになる。

図2●Webブラウザーの「許可」をクリックすると通知が配信
図2●Webブラウザーの「許可」をクリックすると通知が配信
Web Pushの利用例。Webブラウザーに表示されたダイアログで「許可」をクリックすると、そのWebページを離れても、デスクトップに通知が表示されるようになる。最新のニュースを伝えるためにメディア系のWebサイトがよく利用している。
[画像のクリックで拡大表示]

 Web Pushの特徴はJavaScriptを動作させるWebページを開いていなくてもユーザーに通知できるという点だ。通知を許可したWebページから移動していても、許可したときのWebブラウザーが起動していれば、OSやネーティブアプリによる通知と同様にデスクトップ上に表示される。