Microsoft Edgeのセキュリティアラートは技術サポート詐欺の悪用に対して脆弱です

ビデオ: therunofsummer 2024

Microsoft EdgeはChromeやFirefoxよりも安全であると宣伝されていますが、ブラウザのセキュリティ警告はテクニカルサポート詐欺の悪用の影響を受けやすくなっています。セキュリティ研究者は、詐欺師が任意のドメインの偽のセキュリティアラートを表示できる脆弱性をEdgeに発見しました。

Broken Browserブログを管理しているManuel Caballeroは、詐欺師が偽のアラートのテキストをカスタマイズして、疑いを持たないユーザーを技術サポートの電話番号に誘導できることを発見しました。実際、コールセンターのオペレーターは、被害者をだまして多額の手数料を払わせます。

Caballeroは、悪意のあるキャンペーンは新しいものではないと指摘しました。しかし、彼は詐欺師がより多くのユーザーをだますためにトリックを進めていることを認めました。彼はブログ記事に書いています：

「偽のメッセージで赤い警告またはBSODを表示し、ユーザーが立ち去ることを防ぐためにブロックアラートをスローすることもあります。ユーザーがアラートボックスを閉じると、新しいアラートが無限に表示されます。」

EdgeのSmartScreenセキュリティ機能に欠陥がある

Caballeroは、セキュリティバグはEdgeのSmartScreenセキュリティ機能に存在し、この欠陥はEdgeにのみ固有であると付け加えました。 SmartScreenは、ドライブバイダウンロードとフィッシングURLを検出して、ブラウザーウィンドウ内にセキュリティ警告を表示するように機能します。

警告メッセージは、Edgeのインストールプロトコル ms-appx：および ms-appx-webにあります。 Edgeは、これらのプロトコルを使用して、ブラウザがフィッシングサイトまたはマルウェア配信サイトを検出したときに警告メッセージを表示します。

セキュリティ研究者は、この欠陥により、ハッカーがプロトコルを抽出して警告メッセージをカスタマイズできるようになるだけでなく、サイバー詐欺師がEdgeのアドレスバーのURLを偽装できるようになると説明しました。詐欺師はハッシュを追加し、テクニカルサポート詐欺ページを偽造して、なりすましが本物に見えるようにすることもできます。同様に、疑いを持たないユーザーは、実際には偽装されているにもかかわらず、訪問するWebサイトは正当であると考えるでしょう。

この脆弱性は、技術サポート詐欺師が正当なURLで攻撃を隠すための効果的なツールとして機能する可能性があります。また、Microsoftが過去に彼の報告を無視したと主張したCaballeroによると、現在、この問題に対する修正はありません。