マルバタイジングがスマートホームIoTを脅かす：隠れた広告がデバイスを侵害する可能性

最近まで、マルバタイジング（悪意のある広告）という用語を耳にしたことはなく、ましてやスマートホームIoTデバイスを標的とするその能力について知ることはありませんでした。IoTセキュリティについて執筆する者として、東欧の犯罪グループがマルバタイジングを用いて家庭用デバイスを侵害したという報告を受け、さらに調査を進めました。

スマート電力メーターのディスプレイが標的になる仕組みを不思議に思いました。私の限られた理解では広告をクリックする必要があると思っていましたが、現実ははるかに深刻です：クリックは一切必要ありません。

マルバタイジングは、広告ネットワークを通じてオンラインディスプレイ広告に悪意のあるコードを注入し、ユーザーネットワークと接続デバイスを感染にさらします。広告ネットワークは通常、配信するコンテンツを認識していません。モバイル広告サイバーセキュリティ企業GeoEdgeの調査によると、ユーザーがクリックしたり悪意のあるページを訪れたりしなくても、攻撃がホームネットワークデバイスに到達することが明らかになりました。

GeoEdgeは、ホームネットワークIoTデバイスを具体的に標的としたグローバルなマルバタイジングキャンペーンを特定しました。彼らの研究は2021年半ばから継続しており、攻撃ベクトルをスロベニアとウクライナの悪意ある行為者にまで遡らせました。

この広範なベクトルは、オンライン広告を使用してWi-Fi接続IoTデバイスにアプリをサイレントにインストールする最初の事例です。攻撃者は、デバイスAPIドキュメントの基本的な理解、いくつかのJavaScriptスキル、初歩的なプログラマティック広告の知識のみを必要とします。IoT Analyticsが2025年までに世界で300億台以上のデバイス接続を予測している中、潜在的な攻撃対象領域は巨大です。

結果は深刻です：攻撃者はデバイスを操作し、ユーザーの同意なしにアプリをインストールし、個人データを窃取し、金融商品をハイジャックし、スマートロックやカメラなどのホームシステムを改ざんできます。GeoEdgeは、従来のウイルス対策やファイアウォールでは不十分であり、感染広告のリアルタイムブロックが不可欠だと強調します。

攻撃の規模について尋ねられた際、GeoEdge CEOのAmnon Siev氏は、調査が進行中であるため定量的な詳細は不明だと述べました。しかし、脅威が存在し、悪意のある広告がセキュリティ保護されたホームネットワーク内のデバイスにも到達し得ることを確認しました。

このキャンペーンは、プログラマティック広告（コスト効率が良くスケーラブルな配布チャネル）を活用する東欧の犯罪グループに由来します。GeoEdgeはアドテック企業のInMobiとVerve Groupと提携し、攻撃の起源、インフラ、グローバルな足跡を追跡し、ユーザー保護の新たな基準を確立しました。

教訓は明確です：十分に保護されたスマートホームであっても、予期せぬ侵入ポイントに対して脆弱になり得ます。マルバタイジングは、攻撃者が悪用できる多数の攻撃ベクトルの一つに過ぎません。

>> この記事はもともと姉妹サイトEE Timesで公開されました。