Bluetoothを利用して乗っ取り？BlueBorneに注意！

みなさんが利用する多くの電子機器に、Bluetoothという機能が存在しています。
Bluetoothとは電子機器間を無線通信を通して、データ通信を行う機能です。
近距離間で利用するものであり、１０メートル程度の範囲で通信を行います。
スマートフォンやパソコンにも搭載されている機能であり、利用用途は多岐に渡ります。
一般的に利用されているものとしてはコードレスイヤホンやキーボードが想像しやすいでしょう。
今回はみなさんの生活に非常に身近に存在するBluetoothの脆弱性を利用した新たな脅威についてお話しします。

先ほどもお話したように、Bluetooth機能は多くの機器に搭載されています。
最近ではパソコン、スマートフォン以外にもIoT機器にも搭載されているのです。主な目的としてはデバイス間の接続に利用されています。
自転車やスマートフォンとの接続といった接続もあり、非常に生活に密着した技術と言えます。
そんな中、【BlueBorne】と呼ばれるBluetoothの脆弱性が明らかになり、話題になっています。

この脆弱性は米セキュリティ企業Armis Labsにより2017年4月に発見され、9月12日に公開されました。
Armis “The IoT Attack Vector “BlueBorne” Exposes Almost Every Connected Device”
また、JPCERT/CC（JPCERT コーディネーションセンタ）でも9月13日に注意喚起されています。
Bluetooth の実装における脆弱性 “BlueBorne” に関する注意喚起

この脆弱性はどれくらい深刻なのでしょうか。次に”BlueBorne”の特徴を説明します。

BlueBorneの特徴として、Bluetooth接続手順にある接続先デバイスとのペアリング※の必要がないことにあります。
また、接続先デバイスがBluetooth接続の検出可能モードになっていなくても攻撃が可能だということです。
つまり、BluetoothをONにしているだけで攻撃が可能なため、見知らぬ人の端末を感染させることも可能です。
例えば、スマートフォンで音楽を聴くためにヘッドフォンとBluetooth接続でペアリングしている場合、毎回Bluetooth設定をON/OFFを切り替えるのは面倒なので、常にONにしている方が多いと思います。このような方は特に注意が必要です。
スマートフォンがBlueBorneによって乗っ取られてしまった場合どのようことが起きるのでしょうか？

攻撃者の端末からBlueBorneに感染した端末を自由に操作することができます。
例えばユーザーが意図しない状況で、カメラを起動して撮影してしまったり、その撮影した写真を攻撃者の端末へ転送してしまうのです。
万が一重要な情報がその写真の中に写り込んでいた場合、いとも簡単に攻撃者のもとへ届けられてしまいます。
そのような事態にならないためにも、対策が必要です。
このBlueBorneの影響範囲は一体どこまであるのでしょうか？
※Blutooth接続におけるペアリングとは
Bluetooth接続デバイス同士を一対一接続となるように設定する作業のこと。
これにより、周囲にある他のデバイスと混線しないようにしている。
一度ペアリングの作業をすると、接続先機器に情報が保存され、次回のタイミングではペアリング作業すること無く一対一接続できるようになる。

影響範囲はAndroid、Linux、Windows、iOS（バージョン9.3.5以前）、tvOS（バージョン7.2.2以前）といった各OSで動作するすべてのデバイスに及び、Bluetoothのバージョンは関係しません。
OSのアップデートが施されていない端末が乗っ取りの被害を受けてしまいます。
対象となるものは以下となっています。

Google、Microsoftなど、関係するOSの開発元は、更新プログラムを公開しています。
AppleのiOS、tvOSについては、BlueBorneの情報公開以前から対応済みです。
IoT機器等、他のBluetooth接続機器も含め、更新プログラムが提供されているか、さらに最新バージョンが適用されているかを至急確認し、アップデートを行いましょう！

***

当サイト「CyberSecurityTIMES」を運営している弊社サイバーセキュリティクラウドでは、Webセキュリティ対策のソフトウェア「攻撃遮断くん」を提供しております。

専門家によるサポートも充実しておりますので、お気軽にお問合せください。

「攻撃遮断くん」の詳細資料は、こちらからダウンロード頂けます。

https://www.shadan-kun.com/
 

（2017/9/26 執筆、2020/2/20修正・加筆）