11,000台の電話がハイジャック可能な状態に： 通信事業者のエクスポージャ発見の詳細

通信会社は現代のデジタル社会の中心的な存在になっています。モバイル接続を提供し、経済を支え、スマートホームから国家インフラに至るまであらゆるものの実現に寄与しています。しかし巨大な規模とレガシーシステムが広く混在する環境では、従来のツールだけでは監視がほぼ不可能な攻撃サーフェスという大きな代償が伴います。

ULTRA REDは先日、ヨーロッパの大手通信プロバイダの社内ポータルに重大な脆弱性があることを発見しました。11,000台以上のリモート管理された電話機が完全に不正コントロールできる状態になっていたのです。認証情報は不要で、アラート発出もなく、ブラウザとバイパス手段があればエクスプロイト可能な状態でした。

発見の経緯：不正アクセスの仕組み

通信インフラストラクチャ全体で自動スキャンを行ったところ、ULTRA REDは、不正アクセス可能な管理者画面が社内向け「Telephone Management System」と連携されていることを突き止めました。

さらに詳細を調査したところ問題点が明らかになりました。ログインメカニズム全体がクライアントサイドのJavaScriptリダイレクトに依存していたのです。このスクリプトを無効にするだけで、弊社チームはログインフロー全体を迂回し、バックエンドポータルへのフルアクセスを入手できたのです。さらにまずいことに管理画面の背後にあるAPIはまったく保護されておらず、セッションの検証もアクセスコントロールも一切なされていませんでした。

アクセスできたのは単なるダッシュボードではなく、リモート管理していた11,000台以上の電話機のコマンドセンターだったのです。

・再起動

・ファームウェアのプッシュ

・ROMのダウンロード

・設定変更

・IPアドレス、デバイスID、電話番号を含むCSVのエクスポート

もしこれらの脆弱性を脅威アクターが先に見付けていたら、大量のデバイスのブロックや、通信会社のハードウェアへのスパイウェア注入など、膨大な被害が発生していた可能性があります。

スクリーンショット1：

インターネット上で露出されているモバイルデバイスのリストには実施可能なアクションとIPアドレスが記載されており、ネットワークセグメンテーションとアクセスコントロールが適切に行われていないことを示している。

‍

スクリーンショット2：

露出されているデバイスのプロファイルには所有者名、電話番号、IPアドレス、ダウンロード可能なファームウェアが含まれており、深刻な機密情報の漏洩とファームウェア不正利用のリスクが明らかになった。

‍

通信会社のセキュリティ上の意味合いとは

今回のケースは単なる個別のバグではなく、通信業界全体に関わる非常に重要な問題です。

通信会社の環境はセキュリティ確保が難しいことで知られています。レガシーインフラストラクチャが層をなして無秩序に広がっており、公開API、一般向けのポータル、インターネット接続された数千のデバイスがあふれています。膨大な規模と複雑な構造により無数の盲点が発生し、従来のツールではそれらを検出しきれないのです。

サイバーセキュリティ部門は膨大な数のアラートに対処せざるを得ないため、問題の核心を明確に把握することが困難です。脆弱性スキャナーは数千もの問題点を指摘することはできても、実際にエクスプロイト可能かどうかの証拠を提示することはできないため、サイバーセキュリティ部門は混乱し、対処に追われ、脆弱な状態が続いてしまいます。

こうした状態は攻撃者にとって恰好のチャンスです。

自動化とAIという武器を手にした攻撃者は、アラームもトリガーさせずに、かつてないほど高速にエクスポージャをスキャンし、識別し、エクスプロイトできるようになりました。サーフェスレベルのスキャニングや不完全なインベントリに依存した防御ではもはや太刀打ちできません。

なぜ「検証」が重要なのか

ULTRA REDのプラットフォームはまさにこうした状況のために設計されています。潜在的な脆弱性を単にリストアップするだけではなく、テストを行って実際にエクスプロイト可能かどうかを検証し、証拠を提示します。

今回の通信会社のポータルのケースでは、こうした「検証第一」のアプローチによって大きな違いが生まれました。エクスポージャを検出しただけでなく、悪用可能であることをリアルタイムに検証し、フルアクセスのデモを行って、すぐに修復のためのガイダンスを提示しました。攻撃者に悪用される前にこうしたすべての作業を行ったのです。

しかも誤検出は1%未満なので、サイバーセキュリティ部門は ”ゴーストアラート” を追いかける必要はなく、本当に対処するべきリスクの解消に専念できるようになります。

まとめ：今回は事前に阻止できたが...

もし、ULTRA REDより先に 

お客様の環境で攻撃者が見ているものを知ることができます！

ULTRA REDが提供する無料のエクスポージャアセスメントをご依頼ください。

そして、何がエクスプロイト可能な状態なのか、攻撃者に狙われる前に、信頼できる証拠を入手してください。

‍