問題のマルウェアは 「infostealer」 と呼ばれるタイプで、感染した端末から以下のような情報を盗み出すことを目的としている。
こうした情報は攻撃者に送信され、アカウント乗っ取りや闇市場での売買に利用されることが多い。
この問題を最初に公に指摘したのは、X(旧Twitter)のユーザー 「Debbie」 だった。彼女は、サイトにマルウェアが仕込まれている可能性を投稿し、これがセキュリティ研究者やメディアの注目を集めた。
その後、研究者がサイトの挙動を分析し、実際にマルウェア配布の仕組みが仕込まれていた可能性を確認したと報じられている。
分析によると、改ざんされたサイトを訪れると通常のショップ画面ではなく、**Cloudflare風の「セキュリティ確認ページ」**が表示されていた。
Cloudflareはウェブサイトをボット攻撃などから守るサービスで、実際のサイトでも認証画面が表示されることがある。そのため利用者が警戒しにくい。
しかし今回のページは偽物で、次のようなメッセージが表示されたと報じられている。
そのうえで、ページに表示されたコードをコピーして自分のパソコンのターミナルに貼り付けて実行するよう指示される仕組みだった。
この操作を実行すると、裏でマルウェアがダウンロードされる。
この手口は 「ClickFix攻撃」 と呼ばれるソーシャルエンジニアリングの一種で、ユーザー自身にコマンドを実行させることでセキュリティ対策を回避するのが特徴だ。
サイトがオフラインになった理由は、被害拡大を防ぐための**緊急措置(コンテインメント)**とみられている。
通常、サイトが侵害された場合、運営者は次の対応を取る。
報道時点では、サイトは調査のため停止されたままだった。
さらに同じ週、Trump Mobile でも別のセキュリティ問題が明らかになった。ただし両者は直接関係していない。
Trump Mobileは、自社の顧客データがインターネット上で公開状態になっていたことを認めた。公開されていた情報には以下が含まれていたという。
同社は調査中で、金融情報が漏えいした証拠は確認されていないとしている。
今回のBased Apparelの事件で特に注目されたのは、ブラウザの脆弱性などを突く技術的ハックではなく、人の行動を利用するソーシャルエンジニアリング攻撃だった点だ。
攻撃者は、本物そっくりの認証画面を使い、ユーザーに「安全確認の手続き」と思わせて自らコマンドを実行させようとした。
こうした手口は近年増加しており、専門家は次のような基本ルールを挙げている。
一見すると普通のセキュリティ確認に見える画面でも、実際には攻撃の入口になっていることがある。今回の事件は、その典型例と言える。