キレのある攻撃の話――人気フォトブースメーカーがユーザー画像を危険にさらしている疑い

米国、UAE、オーストラリア各地で見かける人気フォトブースチェーンが、すべての画像データを、機器メーカーのウェブサイト経由で（容易に）アクセスできてしまうサーバーに保存していたことが判明し、結果として人々の身元情報が悪意ある者にさらされかねないと専門家が警告している。

サイバーセキュリティ研究者のZeacerはTechCrunchに対し、ある時点でメルボルンに設置されたブースの写真を1,000枚以上閲覧できたと語った。

ZeacerはHama Filmに連絡して同社サイトの脆弱性を通知したが、返答はなかった。そのため研究者はメディアに連絡せざるを得ず、同社サーバーから取得した写真のサンプルを共有した。そこには、明らかに若い人々のグループがフォトブースでポーズを取っている様子が写っていた。

1,000枚の露出写真

これにより、ある時点で露出する写真の数は確かに制限されるが、特に執拗な攻撃者（あるいは作業を自動化する者）であれば、インフラを通過する写真をすべてダウンロードできてしまう可能性がある。

ハッカーがこれらの写真を入手すると、悪用の可能性は急速に広がる。鮮明な顔写真は、説得力のある偽のSNSプロフィール作成に利用でき、それが恋愛詐欺、投資詐欺、ソーシャルエンジニアリング攻撃のために武器化される。

サイバー犯罪者は盗まれた写真を使って基本的な本人確認を通過したり、オンラインサービスに登録したり、脆弱な「自撮り認証」システムを回避したりできる。場合によっては、流出した個人データと組み合わせて、求人への応募、口座開設、あるいは合成IDの構築にまで利用され得る。

そもそも「なぜフォトブースがこれらの写真をどこかに保存する必要があるのか」という明白な疑問はさておき、画像が恒久的に保存されているようには見えない点にも触れておくべきだ。

Zeacerの初期調査では写真は2〜3週間ごとに削除されると判断されたが、その後、実際には24時間後に削除されると述べている。