トレンドマイクロは、2012年5月中旬、Yahoo! Mail のユーザが影響を受けると考えられる脆弱性を確認しました。標的型攻撃に関連するメールを解析した際に、「差出人」の欄に含まれる不正な JavaScript を確認。この JavaScript は、メール受信者に対し「Document Object Model （DOM）」型の「クロスサイトスクリプティング（XSS）」を利用した攻撃を仕掛けるものでした。しかし、トレンドマイクロでは、この脆弱性を突く攻撃を再現することができませんでした。この問題について、Yahoo! に連絡を取っており、Yahoo! もまたこの攻撃の再現を試みましたが、不成功に終わりました。しかし一方でYahoo! は、このような問題からユーザを守るために、この不正な JavaScript を検知するフィルター機能を強化しました。
このように人気の Web メールにおいて脆弱性が確認された事例は、今回が初めてではありません。弊社は、約1年前の2011年6月、「Gmail」や「Hotmail」、「Yahoo! Mail」といった人気の Web メールすべてに、ユーザの E メールアカウント情報を改ざんしたりユーザのコンピュータを侵害したりする脆弱性が存在することを報告しました。多くのユーザがこのような無料サービスを利用し、そのサービス自体にセキュリティ上の問題があることなど想定してないため、人気の Web メールが標的となったことは、驚くには値しません。
トレンドマイクロでは以前から取り上げてきたように、このような脆弱性が標的型攻撃で利用されていることを指摘しています。利用される脆弱性が、ユーザのソフトウェアに存在するものであろうと、または無料 Web メールのようなクラウド型のサービスに存在するものであろうと、脆弱性を突く攻撃は、攻撃者が標的となったユーザに気づかれることなくコンピュータへ侵入することを可能にします。改ざんされた E メールのアカウント情報は、攻撃者が収集し、さらに標的者の連絡先に対するさらなる攻撃へ利用することができるため、このような脆弱性の利用は、攻撃者にとって非常に役に立つ手段なのです。
参考記事：
by Nart Villeneuve (Senior Threat Researcher)
翻訳：宮越 ちひろ（Core Technology Marketing, TrendLabs）