DEF CON でのハッカーのデモによると、ビデオ企業は、ファックスで送られる罠を仕掛けた画像データによるハッキングにさらされているようだ。
チェック・ポイントのセキュリティ研究者によって発見されたこのハッキングは、オールインワンのファックス対応プリンターなど、世界中の何千万台ものファックス対応デバイスで使用されている通信プロトコルの欠陥を悪用するものである。
ファックスやオールインワンプリンターがファックスの送受信に使用するプロトコルに脆弱性があり、悪意のあるユーザーがマルウェアをバンドルした画像ファイルを作成できるメカニズムが存在します。この罠を仕掛けた画像は、標的のファックス機器に送信されてしまう可能性があります。
同チームは、日曜日にラスベガスで開催された DEF CON ハッカー イベントでのプレゼンテーションで、人気の HP Officejet Pro オールインワン ファックス プリンターの脆弱性を実証しました。
YouTubeビデオ
プレゼンテーションに先立ち、チェック・ポイント社は調査結果をHP社に報告し、HP社はプリンター用のソフトウェアパッチを開発することで対応しました。HP社のアドバイザリでは、これらのセキュリティ上の欠陥を放置した場合、ハッカーが脆弱なインクジェットプリンター（多くのモデルが影響を受けています）にマルウェアを侵入させる手段となる可能性があると指摘されています。
特定のHPインクジェットプリンターに2つのセキュリティ脆弱性が確認されました。悪意のあるファイルが影響を受けるデバイスに送信されると、スタックオーバーフローまたは静的バッファオーバーフローが発生し、リモートコード実行が発生する可能性があります。
セキュリティ研究者によると、同じプロトコルは他の多くのベンダーのファックスや多機能プリンター、fax2email などのオンライン ファックス サービスでも使用されているため、これらも同じ方法による攻撃に対して脆弱である可能性が高いとのことです。
電話を切る
FAXは、サッカーの移籍期限日にしか真価を発揮しない、時代遅れの技術のように思えるかもしれません。しかし、世界中の企業では今でも4,500万台以上のFAX機が利用されており、年間170億通ものFAXが送信されています。
チェック・ポイントが引用したデータによると、英国のNHS（国民保健サービス）だけでも9,000台以上のファックス機が常時使用されている。ファックス機は、医療、法律、銀行、不動産などの分野でも広く利用されている。
多くの法域では、電子メールは法廷で証拠として認められないため、特定のビジネスプロセスや法的手続きではファックスが使用されます。ヨーロッパで販売されているレーザープリンターのほぼ半数は、ファックス機能を備えた多機能プリンターです。
「多くの企業は、自社のネットワークにファックス機が接続されていることにすら気づいていないかもしれないが、オフィスや家庭用の多機能プリンタの多くにはファックス機能が組み込まれている」とチェック・ポイントのセキュリティ調査グループ・マネージャー、ヤニフ・バルマス氏は言う。
セキュリティコンサルタント会社シンクマーブルのレッドチームリーダー、トム・B氏は、ファックス機とプリンターが一体となった機器をハッキングすることは可能だが、少なくとも金銭を目的としない標的型攻撃の領域を除けば、実際には他の攻撃の方が可能性が高いと述べた。
ファックス機のカスタムLinuxでダイヤルアップハッキングが可能に
続きを読む
「ファックスの受信は基本的に電話の受信と似ており、一般的に追跡可能です」と彼は主張した。「さらに、電話には費用もかかります。脆弱な機種を見つけるために何百万台ものファックス機に電話をかけるのは費用がかかり、一般的なサイバー犯罪者を思いとどまらせることになるでしょう。」
「ファックス機の脆弱性を突いた攻撃が実際に見られることは稀ですが、ファックス機、プリンター、オールインワンデバイスは、一般的なサイバーセキュリティのベストプラクティスに沿って定期的にアップデートとパッチ適用を行うことを強くお勧めします。私たちの経験では、ネットワーク周辺機器はインストールされた後、忘れ去られることが多く、脆弱な状態のままになっていることが多いのです」と彼は結論付けました。
セキュリティ研究の分野は全く新しいものではありません。例えば、エプソンの複合機ファームウェアにバックドアの危険性をもたらすバグが2016年に発見されました。他の事例はほとんどありません。しかし、今回の新たな研究は、PCやサーバーだけでなく、ネットワークに接続されたデバイスにもパッチ適用が必要であることを改めて認識させるものです。
セキュリティリスクを最小限に抑えるため、チェック・ポイントは、組織に対し、ファックス機器のファームウェアアップデートが利用可能かどうかを確認し、適用することを推奨しています。また、ファックス機器を、機密情報を取り扱うアプリケーションやサーバーから隔離された安全なネットワークセグメントに配置することも強く推奨します。セグメント化により、マルウェアがネットワーク全体に拡散する能力を抑制できます。®
