デジタルウォレットの欠陥：ロック済みの盗難クレジットカードが引き続き悪用される恐れ

8月21日：サイバーセキュリティ関連ニュース

デジタルウォレットでは盗まれたクレジットカードによる買い物を止められず

The Register – Tue 20 Aug 2024

ApplePayやGooglePay、PayPalといったデジタルウォレットは、盗難またはキャンセルされたペイメントカードを使った取引に悪用される恐れがある。米国で先週開かれたワークショップ『Usenix Security 2024』において、教育機関系セキュリティ研究者グループが発表した論文で明らかになった。

その原因となる脆弱性は複数存在するものの、一部は昨年修正されているとのこと。しかし、攻撃者はわずかな個人情報を入手できさえすれば、これらの脆弱性を悪用し、盗まれたペイメントカードの番号をデジタルウォレットに追加した上で、買い物に使うことが可能になるようだ。

この手法の要点は、盗まれたカードが銀行にブロックされたり、新規のカードが再発行されたとしても関係なく悪用を続けられる点。ペイメントカードをウォレットに登録する際にはカードの認証を行う必要があるが、これが済むと購入を許可するトークンが銀行から発行され、デジタルウォレット内に保存される。このトークンは、紛失したカードをブロックし、新しいカードが届けられたとしても更新されず、古いトークンが新しいPAN（プライマリアカウント番号）にリンクされると、前述の論文では説明されている。攻撃者はウォレットへカードを登録さえできれば、上記の仕組みを利用して不正な購入や送金を行い続けることが可能になる。

また、銀行における現在の確認体制にも課題があるようで、更新されたトークンを受け取るウォレットがカード所有者のものかどうかをチェックしていない上、店舗端末でもカード所有者の身元を確かめず、デバイス所有者の身元しか確認しないことが状況を悪化させるという。

「Styx Stealer」マルウェアの開発者、「重大なOPSECエラー」で個人情報をネットに露出

The Record – August 20th, 2024

新種のマルウェア「StyxStealer」の開発者とされる人物が「重大なオペレーショナルセキュリティエラー」により、自身のクライアントや収益の詳細を含む個人情報をネットに露出させた。

サイバーセキュリティ企業チェック・ポイントによると、StyxStealerはブラウザデータやTelegramおよびDiscordのインスタントメッセージ、さらに暗号資産を盗むことができる強力なマルウェアで、その開発者はリモートアクセス型トロイの木馬「Agent Tesla」を使う脅威アクターFucosRealとの関連が疑われている。

StyxStealerの開発者は自身のコンピューター上でTelegramボットトークンを使ってこのマルウェアをデバッグしたことにより、TelegramのアカウントやEメール、連絡先などの個人情報を露出させたようだ。このトークンは、2024年3月のAgent Teslaキャンペーンに関与したクライアントから提供されたものだったという。

流出した情報を分析した結果、研究者らはStyxStealerをトルコのハッカーグループ「Sty1x」に関連付けただけでなく、FucosRealがナイジェリア在住の人物であることを突き止めている。