PR
PayPalのXSS脆弱性を突くフィッシング詐欺で送られた偽メール(英Netcraftの情報から引用)
PayPalのXSS脆弱性を突くフィッシング詐欺で送られた偽メール(英Netcraftの情報から引用)
[画像のクリックで拡大表示]

 英Netcraftは現地時間7月20日,同社が6月に警告した米PayPalのWebサイトの脆弱性(セキュリティ・ホール)は,2年間放置されていた可能性があることを明らかにした(関連記事:フィッシング詐欺に新手法)。PayPalでは同社サイトに見つかったクロスサイト・スクリプティング(XSS)の脆弱性を6月に修正したが,この脆弱性自体は2年前に第三者によって報告されていたという。

 PayPalのWebサイトに見つかったようなXSS脆弱性を悪用すれば,攻撃者は細工を施したリンク(URL)をユーザーにクリックさせることで,任意のスクリプトやHTMLをユーザーのブラウザに送り込める。これにより,本物のWebサイトから偽サイトへユーザーを誘導することが可能となる。つまり,フィッシング詐欺に悪用できる。

 このXSS脆弱性を突くフィッシング目的の偽メールが出回ったことで,Netcraftは脆弱性の存在を確認し,同社サイトなどで警告。これを受けてPayPalでは脆弱性を修正したとされている。

 Netcraftによると,この脆弱性はあるユーザーによって2年前に発見されており,2004年6月,そのユーザーはPayPalに報告しているという。だが,対応した同社スタッフはXSS脆弱性を理解できず,この脆弱性を突く検証コードを送るという申し出に対しても,会社のポリシーで禁止されているとして断った。

 そこで発見者は,自分のWebサイトにおいて,脆弱性および検証コードの詳細を公開したものの,PayPalからは連絡がなかったとしている。

 今回の脆弱性を突いたフィッシングについて,同社のスポークス・パーソンは何人が被害に遭ったのかは分からないと答えたという。Netcraftでは,ログを解析すれば被害に遭ったユーザーを特定できて,適切な対応を取れただろうとしている。

英Netcraftの情報