ハードコードされた認証情報は、セキュリティリスクを招く可能性があります。

Secure Code Warriorは、セキュリティコミュニティや開発者コミュニティに対し、セキュアなコードの書き方や、セキュアでないコードによって生じる脆弱性のリスクを軽減する方法を教育することに深く尽力しています。その一環として、Uberで発生した最近のセキュリティインシデントを題材に、開発者主導のセキュリティとシフトレフトの重要性について議論します。

Uberにおけるセキュリティインシデント

Uberは9月16日、サイバーセキュリティインシデントに関する声明を発表し、その後も情報を更新し続けています。本件は現在進行中の事案であることをご留意ください。これまでにUberの発表やセキュリティコミュニティの信頼できる情報源から明らかになった事実を振り返ります。

攻撃者はまず、Uber従業員のWhatsApp番号を入手し、ソーシャルエンジニアリングを仕掛けました。攻撃者は従業員に接触してフィッシングを行い、偽のUberサイトにログインさせることで、ユーザー名とパスワードを盗み出しました。

Uberのアカウントは多要素認証（MFA）で保護されています。つまり、パスワードの入力に加え、本人確認のための第2の証拠を提示する必要があります。多くの場合、これはモバイルデバイスに送信されるプッシュ通知です。

認証情報を入手した後、攻撃者はMFA疲労攻撃を開始しました。正規のUberサイトへのログインを執拗に試み、従業員のデバイスに大量のプッシュ通知を送りつけて圧倒したのです。攻撃者は再びWhatsAppを通じて被害者に接触しました。今度はITサポートを装い、承認するように巧みに誘導しました。

ハードコードされた認証情報

Uberのセキュリティ侵害の根本には、フィッシング攻撃の成功がありました。侵入後、攻撃者はPowerShellスクリプトが含まれるネットワーク共有を発見しました。そのスクリプトの一つに、管理者ユーザーの認証情報がハードコードされており、これがAWS、G-Suite、コードリポジトリといったUberの内部サービスへの侵害につながりました。攻撃者はUberのHackerOneアカウントにもアクセスしました。ただしUberによると、「攻撃者がアクセスできたバグ報告については、すべて修正済み」とのことです。

この脆弱性がコード上でどのように見えるか興味がありますか？当社のPowerShellチャレンジを無料でお試しください。

こうした攻撃はどの程度一般的でしょうか？

ソーシャルエンジニアリングは、人間という要素が常にサイバーセキュリティにおける最も弱い部分と見なされてきたため、防御が困難な攻撃ベクトルです。今回のUberのハッキングは、MFAの実装がいかに簡単に回避され得るかを明確に示しました。これを防ぐ鍵は、フィッシング攻撃の手口について従業員の意識を高めることです。

しかし、Uberの内部サービスが露呈した原因は、PowerShellスクリプト内にあった管理者のユーザー名とパスワードです。認証情報のハードコードは決して推奨されません。開発者や、コードにアクセスできるあらゆる人が読み取れてしまうからです。

繰り返しになりますが、意識向上が鍵です！セキュリティを重視するマインドセットを持つ開発者は、脆弱性に気づきやすく、脆弱なコードを書く可能性も低くなります。

ソーシャルエンジニアリングに関する一般的な教育と、より具体的なプロアクティブなセキュアコーディングトレーニングという二段構えのアプローチは、コードベース内の脆弱性を減らし、セキュリティ脅威との戦いにおいて極めて重要な役割を果たします。

セキュアコーディングのベストプラクティスを最新の状態に保つ方法について詳しく知りたいですか？Secure Code Coachをご覧ください。ここでは、セキュアコーディングのガイドラインを学び、トレーニング演習を無料で試すことができます。