eBayのXSS脆弱性から身を守る方法|詐欺被害を防ぐセキュリティ対策

eBayは、セキュリティ対策が必ずしも万全ではないことで知られています。しかし残念ながら、その状況はすぐには改善しそうにありません。最近明るみに出たセキュリティ脆弱性により、一部のユーザーが危険にさらされています。さらに懸念されるのは、eBayが完全な修正ではなく部分的な対応にとどめているという点です。

この記事では、この脆弱性の仕組みと、安全に取引するための具体的な対策を詳しく解説します。

アクティブコンテンツとXSS、eBay詐欺の仕組み

今回問題となっている脆弱性は、出品者が商品説明に埋め込める「アクティブコンテンツ」に関係しています。アクティブコンテンツとは、商品ページをより魅力的で便利にするために使われる技術の総称で、小さなFlashアプリ、JavaScriptメニュー、Webアンケートなど、埋め込み型のインタラクティブな要素全般を指します。

多くの場合、アクティブコンテンツは無害で、多少煩わしく感じる程度です。しかし「クロスサイトスクリプティング(XSS)」と呼ばれる攻撃手法では、外部サイトに置かれたスクリプトをeBayのページ上で読み込ませることが可能になります。このスクリプトの中身は何でもあり得ます。マルウェアをダウンロードさせたり、ユーザーの認証情報をフィッシングで盗み出したり、その他の悪事を働かせたりすることもできるのです。もちろん、XSSはよく知られた攻撃手法であるため、eBayもこれを防ぐフィルターを導入しています。

ところが、残念ながら誰かがそのフィルターを突破する方法を見つけてしまいました。鍵となったのが「JSF*ck」と呼ばれる技法です。これは、[ ] ( ) ! + のわずか6種類の記号だけで任意のJavaScriptコードを作成・実行できてしまうという驚きの書き方です。角括弧2つ、丸括弧2つ、感嘆符1つ、プラス記号1つ――これだけでどんなコードでも動かせます。

これはBrainf**kという難解プログラミング言語のように、一種のパズルとして楽しむこともできる試みです。しかし同時に、eBayのフィルターをすり抜ける手段として悪用されてしまったのです。

この脆弱性を最初に報告したのは、サイバーセキュリティ企業のCheck Pointです。同社によれば、この脆弱性はデスクトップ版サイトだけでなく、iOS・Androidアプリ経由でも悪用可能で、マルウェアのダウンロードや、フィッシングページへのリダイレクトによる認証情報の窃取につながり得るとのことでした。

Check Pointは2015年12月にこの脆弱性を実証してeBayに報告し、ソフトウェアのアップデートによる対処を期待しました。しかしBBCの報道によると、eBayは翌1月に「修正する予定はない」と回答し、2月になってようやく部分的な修正を実施したといいます。なぜ完全な修正ではなかったのか?eBayはBBCに対し、「当社のマーケットプレイスにおける悪意あるコンテンツは極めて稀であることを理解することが重要だ」と説明しています。

しかし、eBayが「リスクは極めて低い」と主張する一方で、セキュリティ企業Netcraftは、この脆弱性が実際に悪用されていると報告しました。手口は、購入希望者のメールアドレスをフィッシングで収集し、偽のエスクローサービスを通じて支払いを完了させるよう誘導するというもの。しかも、その詐欺は実際に成功していたのです。Netcraftは、eBayにも警察にも銀行にも助けを断られ、途方に暮れた被害者の訴えのスクリーンショットまで公開しています。

eBayのXSS脆弱性から自分を守る方法

eBayがこの問題を完全に解決しない限り、詐欺師によって改ざんされた出品に遭遇し、被害に遭うリスクは常につきまといます。ただし、以下の対策を講じることで、危険に遭う可能性を大きく減らせます。

まず最初に取り組むべきは、ブラウザの「クリックして再生(クリック・トゥ・プレイ)」機能の活用です。Chromeには標準でこの機能が備わっており、Firefoxでは人気の拡張機能「NoScript」を利用できます。Safariユーザーなら「JS Blocker 5」のインストールがおすすめです。これらの機能により、明示的に許可しない限りスクリプトは読み込まれなくなります。eBay上でスクリプトを読み込む必要は基本的にありませんが、どうしても必要な場合はワンクリックで有効化できます。

スクリプトやプラグインを有効にする場合は、いつも以上の警戒が必要です。eBayで今すぐ買う、オファーをする、入札などのボタンをクリックする前に、必ずブラウザのアドレスバーのURLがebay.comになっているか確認してください。フィッシング被害に遭っている場合、ドメインはebay.com以外のものになっているはずです。

eBayのモバイルアプリを利用している場合も、リンク先のURLを必ずダブルチェックしてください。特に、eBayのログイン情報を求められた場合は要注意です。また、別のアプリのダウンロードを促されたら絶対に従わないでください。正規のeBayアプリが他のアプリのインストールを勧めることはありません。著名なセキュリティブロガーのBrian Krebs氏が「オンライン安全のための3つの基本ルール」で説いているように、「自分で探し求めていないものは、インストールしない」のが鉄則です。

それ以外は、オンラインマーケットプレイスにおける一般的な安全対策がそのまま当てはまります。やり取りはメールではなく、必ずサイト内のメッセージ機能を使いましょう。eBayを名乗るメールに含まれるリンクはクリックせず、直接ebay.comへアクセスするのが安全です。サイト内のリンクも、利用前に安全性を確認する習慣をつけましょう。加えて、強力なパスワードを設定し、定期的に変更することも重要です。普段からお伝えしている「自分を守るための基本Tips」は、ここでもすべて有効です。

まとめ:eBayのクロスサイトスクリプティング詐欺に引っかからないために

eBayでの詐欺から身を守るには、少しの警戒心と予防的な対策があれば十分です。スクリプトをブロックするブラウザや拡張機能を使い、不審なURLに目を光らせ、見慣れないダウンロードや要求に注意していれば、eBayがこの脆弱性を修正しなくても(おそらく当面は修正されないでしょう)、安全にショッピングを楽しめます。ほんの数ステップの簡単な対策で、eBayならではのお得な買い物を存分に満喫してください!

あなたはeBayで買い物をしますか?セキュリティ脆弱性への対応の遅さが気になりますか?この件への対応ぶりを見て、eBayでの買い物を控えるようになりましたか?ぜひコメント欄であなたの考えをシェアしてください!