【要注意】ブラウザの自動入力機能が個人情報を漏洩させる?知っておきたいリスクと無効化の手順

多くの人にとって、面倒なWebフォームへの入力を楽にしてくれるのがブラウザの「自動入力(オートフィル)」機能でしょう。過去に入力した情報をもとに、名前やメールアドレスなどの項目を自動的に埋めてくれる、とても便利な機能です。

しかし残念なことに、この自動入力機能は悪意ある第三者やブラックハットハッカーによって悪用される恐れがあります。フィンランドのホワイトハットハッカーでありWeb開発者でもあるViljami Kuosmanen氏は、GitHub上で公開したデモを通じて、攻撃者がブラウザだけでなく、拡張機能やパスワード管理ツールなどの自動入力機能を乗っ取り、ユーザーの機密情報を盗み取れることを実証しました。

実はこの脆弱性は、Kuosmanen氏より前の2013年の時点で、セキュリティ企業ElevenPathsのアナリスト、Ricardo Martin Rodriguez氏によってすでに発見されていました。にもかかわらず、Googleは長年にわたり根本的な解決策を見出せていないのが現状です。

知らないうちに機密情報が流出する仕組み

Kuosmanen氏のコンセプト実証(PoC)デモサイトでは、一見すると「名前」と「メールアドレス」の2つの項目しかないシンプルなフォームが表示されます。ところが実際には、住所、所属組織、電話番号、市区町村、郵便番号、国といった多数の「非表示フィールド」がフォーム内に隠されています。

このようなフォームでは、画面上に見えるのは名前とメールアドレスの欄だけですが、自動入力機能が有効になっていると、見えない残りのフィールドにも個人情報が自動的に流し込まれます。送信ボタンをクリックした瞬間、ユーザーが認識しているよりもはるかに多くの情報が、フィッシングサイトへ送信されてしまうのです。

自分のブラウザや拡張機能の自動入力設定が安全かどうかは、Kuosmanen氏が公開しているPoCサイトで実際に確かめられます。筆者も最新版のMozilla Firefoxでテストしてみたところ、入力した以上の情報が取得されていることに驚かされました。

Chromeの場合、HTTPSで保護されていないサイトで金融情報を自動入力しようとすると警告が表示されます。それでも筆者の経験では、Kuosmanen氏のフォームは、フォームに入力した日時、住所、クレジットカード番号、CVV(セキュリティコード)、カードの有効期限、市区町村、国、メールアドレス、名前、所属組織、電話番号、郵便番号に至るまで収集しようとしました。

さらに、使用中のブラウザの種類や現在のIPアドレスといったメタデータまで取得しようとしていました。下のスクリーンショットをご覧ください。

Kuosmanen氏の攻撃テストでは、Apple Safari、Google Chrome、Operaのいずれも脆弱であることが確認されました。

一方、2017年1月には、Mozillaのプリンシパル・セキュリティエンジニアであるDaniel Veditz氏が、「Firefoxはプログラム的にテキストボックスへ自動入力させるような欺瞞的な手法を受け付けない」と述べています。Firefoxには複数フィールドを一括自動入力する仕組みがなく、事前入力されたデータを使う場合も、各テキストボックスごとにユーザーが手動で選択する必要があります。そのため、少なくとも現時点では、Firefoxユーザーはこの種の自動入力攻撃から守られていると言えるでしょう。

対策：ブラウザの自動入力機能をオフにしよう

フィッシング攻撃への最も手軽な対策は、ブラウザ、拡張機能、またはパスワード管理ツールの設定で、フォームの自動入力機能を無効にすることです。多くのブラウザでは、この機能は初期状態でオンになっているため注意が必要です。

Chromeで自動入力をオフにする方法

1. ブラウザの「設定」を開きます。
2. ページ下部にある「詳細設定」を選択します。
3. 「パスワードとフォーム」の項目で「自動入力を有効にする」のチェックを外します。

※Chromeのバージョンによっては、「設定」→「自動入力とパスワード」から各項目をオフにする仕様に変更されています。

Operaで自動入力をオフにする方法

1. 「設定」を開きます。
2. 「自動入力(Autofill)」の項目を見つけてオフにします。

Safariで自動入力をオフにする方法

1. メニューバーから「環境設定」を開きます。
2. 「自動入力」タブを選択し、チェックを外して無効化します。

この記事が役に立ったと思われた方は、ぜひ下の「はい」をクリックしてください。コメントもお待ちしています。