詐欺師はどうやって画像のメタデータにマルウェアを隠すのか？手口と対策を徹底解説

かつては、自分のメール受信箱に届くフィッシング詐欺に気をつけていれば十分だった時代もありました。しかし今は危険な新時代です。マルウェアはあらゆる場所に潜伏しており、ネット上でたまたま開いてしまった一枚の画像だけで、あなた自身とデバイスが危険にさらされる可能性さえあります。

では、マルウェアはどのようにして画像のメタデータに隠れるのでしょうか？そして、詐欺師の標的になることを避けるには、どうすればいいのでしょうか？

メタデータに潜むマルウェア：何が起きているのか？

近年、Slack、Discord、WooCommerce、Steamなどのプラットフォームで、トロイの木馬を仕込んだプロフィール画像が報告されています。これらの画像には危険な隠しコードが含まれており、画像そのものが「感染」しているわけではなく、マルウェアを運ぶ器（コンテナ）として機能しているのです。

この種の攻撃は、一見安全に見える複数の経路を通じて被害者に届きます。その鍵となるのがメタデータです。

サイバー犯罪者は、ユーザーのプロフィール画像のような何気ないファイルに便乗し、セキュリティ機関の目を巧みにかいくぐって侵入します。サーバーにアップロードされたすべての画像を一つひとつ精査しない限り、検出することは非常に困難です。

画像の中にマルウェア？なぜそれが可能なのか

ネット上の画像には、時に危険なマルウェアが潜んでいることがあります。Jeffrey's Image Metadata ViewerのようなEXIF解析ツールを使っても、発見は必ずしも容易ではありません。何を探せばいいのかを知っていなければならず、平均的なユーザーにはその知識や背景がないことも多いのです。

セキュリティ企業GDATAの調査例では、あるJPEGのミーム画像をEXIFツールで調査したところ、ICCプロファイルの「不正な長さ（bad length）」が検出されました。本来ここには画像の出力規格情報が記録されているはずですが、実際には暗号化されたJavaScript型マルウェアが埋め込まれていたのです。

こうした画像が前述のサイトなどを通じてあなたのもとへ届いた後、画像に搭載されたマルウェアが自己展開するためには、あなた側のデバイス上で何らかの実行ファイルが必要になります。標的にされている場合、このダウンローダーはメール添付ファイルや悪意のあるWebアプリの形で届くことがあります。

写真愛好家の方なら「こんなものをよく考えつくな」と思うかもしれません。恋も戦争もハッキングも、すべて手段を選ばないのが世の常というわけです。

メタデータマルウェアによるハッキングを防ぐ方法

最もわかりやすい対策は、この種の攻撃が多発しているプラットフォームの利用自体を避けることです。では、それ以外に安全を確保するためにできることは何でしょうか？

1. 怪しいものは絶対にダウンロードしない

内容に確信が持てないものはダウンロードしないこと。送り主が知らない相手であれば、なおさらです。

理論上、画像に付随する実行ファイルを自分のコンピュータにコピーしない限り、あなたは安全だとされています。とはいえ、うっかりミスを防ぐためにも、出所不明のファイルには常に警戒心を持ちましょう。

2. 見慣れないものは慎重に見極める

使ったことのないアプリやサイトを一切試してはいけない、と言っているわけではありません。言いたいのは、「何かおかしい」と感じたら直感を信じるべきだということです。

作りが雑で見た目が安っぽい、あるいは表面的な印象を受けるウェブサイトは避けましょう。万が一そうした怪しいサイトにアクセスしてしまった場合は、そこにあるフォーム、ポップアップ、ダウンロードリンクには決して反応しないでください。

3. デバイスへの個人情報入力を最小限に抑える

キーストロークを記録できるデバイスであれば、あなたが行うすべての操作が他人に収集可能なデータになってしまいます。クレジットカード番号、暗証番号（PIN）、社会保障番号、そしてすべてのユーザー名とパスワード——入力するたびに、盗み見られるリスクにさらされるのです。

もちろん、この問題を完全に回避するのは難しいものです。まずはセキュリティスイートでデバイスを定期的にスキャンし、感染していないことを確認しましょう。さらに、可能な場面では必ず二要素認証（2FA）を活用することが重要です。

4. 適切なアンチウイルスソフトへの投資を行う

迷ったときは、プロの力を借りるのが得策です。多くの企業が、ダウンロードのたびにスキャンを実行したり、定期的にコンピュータ内のマルウェアをチェックしたり、信頼性の低いサイトへのアクセスをバックエンドでブロックしたりできるソフトウェアパッケージを提供しています。中には無料で使えるアンチウイルスもあります。

悪意あるメタデータから身を守るために

この攻撃手法の巧妙さは、認めざるを得ません。多くの場合、被害に気づいたときにはすでに手遅れになっているのです。

だからこそ、常に注意を払い続ける必要があります。特に、新しいブランドやサービスを自分の環境に取り込む際には慎重になりましょう。「備えておく」ことは、「後悔する」よりも常に良い選択なのです。